Del modo de prueba al bloqueo

En modo de prueba (también llamado detección o aprendizaje) el WAF evalúa la petición, anota la coincidencia y la deja pasar. Sirve para medir cuánto tráfico legítimo dispararía una regla antes de que corte a nadie. En modo de bloqueo la misma coincidencia devuelve un rechazo, normalmente un código 403.

El detalle que se olvida: durante la prueba todo lo que la regla detecta sigue llegando a la aplicación. Una regla en prueba no protege; solo informa. Por eso la prueba debe ser corta y tener un criterio de salida, y no quedarse abierta por comodidad. Quien lee estos mismos registros desde un centro de monitoreo los trata como incidentes; aquí se leen como medida de la calidad de la regla.

La empresa fijó un criterio escrito: una regla pasa de prueba a bloqueo si lleva al menos 14 días en prueba, no tiene coincidencias legítimas y no tiene coincidencias sin revisar. Una regla que coincide sobre todo con tráfico legítimo, cortada tal cual, provoca una caída de la aplicación para personas reales.

Consulta coincidencias_por_regla y compara las columnas legitimas y maliciosas de cada regla. Una de ellas tiene casi todo su tráfico legítimo.

Aplica el criterio completo a las cinco reglas: días en prueba, legítimas y sin revisar. Una sola condición incumplida basta para dejarla en prueba.

Una regla puede tener un tráfico limpio y aun así no estar lista: 14 días no es una cifra decorativa, cubre al menos dos semanas completas de tráfico, con sus picos de fin de mes o de campañas. Otra puede estar lista en todo menos en una revisión pendiente.

El resumen dice cuántas veces coincidió una regla; el registro dice de quién y en dónde. Cuando una regla acumula coincidencias legítimas, normalmente las produce una pantalla concreta de la aplicación (un editor, un formulario) y unos pocos usuarios que la usan. Eso orienta el arreglo: una exclusión acotada, o un cambio en la aplicación.

Lee muestra_registro, donde todas las líneas son de prueba, y busca qué dirección de cliente aparece más veces.