Preguntas frecuentes (FAQ)

CleanIP organiza los tipos de IP según la coherencia de titularidad, el propósito de la red y el riesgo de anonimato. Los tipos más comunes son los siguientes:

Los colores solo indican una tendencia de riesgo, no una conclusión absoluta. El juicio final sigue dependiendo del historial de abuso, la reputación del ASN y el escenario de negocio concreto.

Un método habitual es comprobar el tipo de titular del ASN. Sin embargo, esto solo muestra que la IP pertenece a un ISP; no significa que se use realmente para banda ancha doméstica. Por ejemplo, en China la mayoría de las IP de servidores IDC tradicionales están registradas a nombre de los tres grandes operadores (China Telecom, China Unicom, China Mobile), ya que son ISP, pero en realidad esas IP se usan en servidores de centros de datos.

CleanIP combina el tipo de ASN, el nombre de la organización, el DNS inverso, los puertos abiertos, los banners de servicio, las señales de proxy/VPN y el comportamiento histórico para tomar esta decisión. Así se distinguen dos casos que se confunden con facilidad: IP de servidores de centros de datos registradas a nombre de un operador y salidas de proxies residenciales disfrazadas de banda ancha doméstica.

IP nativa es una IP cuyo país de registro del rango coincide con el país de geolocalización seleccionado. Si los países difieren, es broadcast. El país de registro del rango es el que figura en los archivos de delegación diarios de los cinco RIR, es decir, el país del titular al que el RIR asignó el bloque; es el mismo criterio que el país registrado de MaxMind y de otras bases de datos de referencia. Solo cuando el archivo de delegación da un código de región recurrimos a whois y RDAP. El país de inetnum en whois lo rellena el titular y no decide el veredicto. Un país de registro del ASN distinto genera un aviso aparte de región cruzada y nunca cambia este veredicto. Tanto las redes residenciales como las de centros de datos pueden usar IP nativas.

Algunos proveedores IDC globales y multinacionales (como AWS, GCP y Azure) compran grandes bloques de IP para facilitar su gestión y los anuncian en varios países. Este tipo de IP se denomina IP broadcast.

Cuando una IP está marcada como nativa, normalmente indica que pertenece a una banda ancha doméstica o a un proveedor IDC local. Cuando una IP aparece como broadcast, normalmente indica que no es de banda ancha doméstica ni de un proveedor IDC local.

CleanIP determina si una IP es nativa según su ubicación de registro. Si el país registrado coincide con el país de la dirección geolocalizada, se muestra como "IP nativa"; de lo contrario, como "IP broadcast". La tabla "Historial de registro" de abajo permite ver la ubicación de registro de la IP y su historial.

Tres motivos típicos, ordenados por frecuencia:

1. IP broadcast: el país registrado de la IP difiere del país de su dirección geolocalizada. Es habitual en IDC multinacionales, proveedores de nube, nodos de operadores en el extranjero o broadcast desde centros de datos. CleanIP lo marca con IP broadcast en una insignia amarilla.
2. Infraestructura pública: los DNS públicos, las CDN o los nodos de plataformas de nube globales pueden usar los mismos bloques de direcciones en varias regiones, por lo que las bases de datos geográficas pueden indicar países o ciudades diferentes según la ubicación de la sonda y la perspectiva de enrutamiento.
3. Retraso de las bases geográficas: después de que un bloque de IP cambia de titular, los distintos proveedores geográficos se actualizan a ritmos diferentes (las bases de datos geográficas comerciales suelen actualizarse cada semana, mientras que algunas fuentes gratuitas lo hacen cada mes o con menos frecuencia). Esto tiende a converger con el tiempo; para identificar los datos obsoletos de una minoría de fuentes hace falta validación cruzada.

CleanIP compara lado a lado los datos de geolocalización, ASN y titularidad de red de varias fuentes. A mayor coherencia, mayor confianza; cuando hay una discrepancia clara, CleanIP prioriza señalar las causas probables, como IP broadcast, infraestructura pública o retraso de las bases de datos.

CleanIP ofrece dos puntuaciones independientes que van en direcciones opuestas; no las confundas:

En la mayoría de las IP, las dos puntuaciones tienen una correlación negativa (una puntuación de pureza alta suele implicar una puntuación de riesgo más baja), pero no son complementos exactos. Se calculan de forma distinta: la pureza es una puntuación de calidad compuesta, mientras que la puntuación de riesgo se orienta más a amenazas y decisiones de bloqueo.

La puntuación de pureza (0–100, más alta significa más limpia) es una combinación ponderada de 6 dimensiones:

• Confianza de identidad (20%): coherencia entre el país de registro del rango de IP y su país de geolocalización, validación RPKI y si es infraestructura pública conocida
• Evasión por anonimato (25%): detección de proxy / VPN / Tor / proxy residencial (cuanto más oculto, mayor la deducción)
• Historial de abuso (20%): número de denuncias de abuso y su antigüedad, con validación cruzada entre varias fuentes de datos
• Cobertura en listas negras (15%): 21 fuentes DNSBL, bases de datos de honeypots (HTTPBL) y listas de IP comprometidas conocidas
• Comportamiento de ataque (10%): recuentos de ataques en toda la red, que reflejan registros de escaneo activo o de fuerza bruta
• Reputación local (10%): evaluación de reputación propia de CleanIP y eventos de amenaza de los últimos 30 días

Correspondencia de niveles:

La puntuación no es el resultado de un solo campo, sino un juicio compuesto que forman seis dimensiones en conjunto: identidad, anonimato, abuso, listas negras, ataques y reputación local.

La puntuación de riesgo es una puntuación aparte, independiente de la pureza (0–100, más alta significa más peligrosa, en la dirección opuesta a la pureza). Se usa específicamente en decisiones de control de riesgos del negocio para bloquear una IP o incluirla en una lista negra:

Los datos de control de riesgos proceden del monitoreo de honeypots, denuncias de abuso, listas negras DNSBL, análisis de comportamiento y otras fuentes multidimensionales. El valor de riesgo de una IP disminuye con el tiempo a medida que envejecen los registros de control de riesgos.

Nota: la cifra grande de la página de inicio es la puntuación de pureza, no la puntuación de riesgo. Una pureza más alta es mejor; una puntuación de riesgo más alta es más peligrosa.

La puntuación de riesgo no está ligada directamente a si una IP es de banda ancha doméstica. Si una IP doméstica se ha usado antes para escaneos, fuerza bruta, rastreo web o ataques salientes, su puntuación de riesgo puede ser alta. Por el contrario, incluso una IP de centro de datos puede tener una puntuación de riesgo baja si no hay registros de comportamiento malicioso.

Motivos habituales de una puntuación alta en banda ancha doméstica:

• • Contaminación histórica — un usuario anterior generó tráfico de proxy, rastreo web o ataques desde esta IP y las fuentes de datos conservaron el registro
• • Marcado de todo el prefijo — hay una IP maliciosa en otra parte del mismo bloque /24 y las fuentes de datos marcaron todo el bloque
• • Dispositivo comprometido — un dispositivo IoT de la casa fue comprometido y pasó a formar parte de una botnet
• • Cliente de proxy residencial — en la red se ejecuta software de proxy residencial como ProxyScrape o 911

La clasificación de CleanIP a nivel de bloque de IP tiene una precisión relativamente alta. Sin embargo, el uso de las direcciones IP no es estático: cada día una gran cantidad de IP cambia de manos. La precisión general de los datos ronda el 95%.

Para comprobar si una IP cambió de manos recientemente, mira la marca de tiempo "visto por primera vez" en los datos de ASN. Si los datos de esta IP son recientes, puede indicar que su titularidad o su estado han cambiado.

La calificación de seguridad por plataforma estima la probabilidad de que esta IP active verificaciones, restricciones o bloqueos en distintos escenarios de negocio. Tiene en cuenta el tipo de IP, el riesgo de anonimato, la coherencia geográfica, el historial de abuso y la tolerancia de la plataforma. Las calificaciones se dividen en tres niveles:

• Segura: en general apta para uso prolongado, con baja probabilidad de activar verificaciones adicionales
• Riesgo: puede activar verificaciones o restricciones de vez en cuando
• Bloqueo: alta probabilidad de sufrir restricciones o la suspensión de la cuenta

La calificación de seguridad por plataforma no es una garantía. El historial de la cuenta, la huella digital del dispositivo, el método de pago, la región y el comportamiento de acceso influyen en el resultado final del control de riesgos.

Las plataformas varían en el rigor de su control de riesgos:

• Permisivas (YouTube, X/Twitter, Facebook, comercio electrónico, videojuegos): vigilan sobre todo Tor, los proxies públicos y los abusos graves
• Estrictas (Netflix, Disney+, TikTok): bloquean activamente las IP de centros de datos y las VPN
• Nivel de pagos: más sensibles a servicios de anonimato, IP de centros de datos, discrepancias geográficas y dispositivos inusuales
• Plataformas de IA: bastante sensibles a proxies e IP de centros de datos

La huella digital del navegador recopila una serie de atributos del navegador y del dispositivo (como la versión del navegador, el sistema operativo, la resolución de pantalla, las fuentes instaladas, la zona horaria y la salida de Canvas/WebGL) y los combina en un identificador casi único, que sirve para reconocer o rastrear el mismo dispositivo sin necesidad de cookies.

Entre las señales de huella digital más comunes están: User-Agent, resolución de pantalla/profundidad de color, zona horaria/idioma, salida de renderizado de Canvas/WebGL, diferencias en la medición de fuentes, huella de audio, concurrencia de hardware y más. Aunque borres las cookies o uses una ventana privada, la huella digital puede seguir reconociéndote.

Una fuga de WebRTC ocurre cuando el proceso de conexión WebRTC del navegador (el intercambio de candidatos ICE) expone sin querer tu dirección IP local o tu IP pública real; es decir, aunque uses una VPN o un proxy, el sitio web de destino puede seguir viendo tu IP real.

• Chrome: instala la extensión "WebRTC Network Limiter" (de Google) o "WebRTC Leak Prevent"
• FirefoxEn la página about:config, establece media.peerconnection.enabled en false

Huella digital JA3 es una huella hash que se genera analizando los campos del mensaje Client Hello que envía el cliente durante el handshake TLS (versión de SSL, conjuntos de cifrado, extensiones, curvas elípticas, etc.) y que identifica de forma única la implementación del cliente. Los distintos navegadores y aplicaciones usan combinaciones de parámetros TLS diferentes al establecer conexiones HTTPS, y esas diferencias forman una especie de "huella digital de la capa de red".

JA4 es una versión mejorada de JA3 que corrige su sensibilidad a los cambios de orden y permite distinguir mejor las implementaciones ligeramente modificadas.

"Doble ISP" solo significa que el titular de la IP es un ISP; no significa que la IP se use realmente para banda ancha doméstica. Por ejemplo, la IP 110.242.68.66 que devuelve ping baidu.com pertenece a China Unicom y su tipo de ASN es ISP, pero en realidad es una de las IP de servidor de Baidu.

El motor de detección de servidores de CleanIP usa DNS inverso, escaneo de puertos, análisis de banners y otras técnicas para identificar las IP de servidores reales dentro de las redes de ISP, lo que permite una clasificación más precisa.

CleanIP combina fuentes comerciales de inteligencia de IP, datos públicos de red, bases de datos de enrutamiento, listas negras de DNS y sus propios datos de comportamiento. Cada fuente cubre dimensiones distintas:

• Geolocalización y titularidad del ASN
• Detección de proxy, VPN, Tor y proxy residencial
• Denuncias de abuso y registros en listas negras
• Tráfico de ASN y perfiles de red
• Enrutamiento BGP e historial de registro
• Puertos abiertos y huellas digitales de servicios
• Honeypots propios y monitoreo de comportamiento
• Base de datos de marcas e infraestructura pública mantenida manualmente

Cuando las fuentes de datos no coinciden, CleanIP prioriza mostrar una conclusión explicable y mantiene abierto un canal de comentarios de los usuarios para corregir muestras anómalas.

"Usuarios compartidos" es una estimación del número de usuarios distintos asociados a una dirección IP, basada en el monitoreo y el análisis de big data de toda la red. Una IP compartida por muchos usuarios suele indicar una IP de proxy público o de VPN.

Dado el uso generalizado de NAT en China continental, una gran cantidad de usuarios finales accede a internet a través de la misma IP pública, lo cual es un comportamiento de red normal. Por eso, el sistema no muestra por defecto la métrica de usuarios compartidos para las direcciones IP de China continental.

Las direcciones IP de banda ancha doméstica suelen permanecer registradas bajo un ASN y una organización fijos, con poca frecuencia de cambio. Cuando el ASN histórico o la organización titular de una IP cambian con frecuencia, eso indica una titularidad inestable; es lo que suele llamarse una IP "no limpia".

Las tablas de historial de ASN y de historial de la empresa te permiten ver con claridad todos los cambios registrados de la IP, lo que ayuda a evaluar su estabilidad.

El módulo de recopilación de datos de CleanIP identifica las IP que pertenecen a CDN habituales (como Cloudflare, Akamai, Tencent Cloud CDN, Alibaba Cloud CDN y otras). Si ejecutas un proxy inverso en tu servidor y el dominio al que hace de proxy usa una CDN, la IP de tu servidor puede identificarse como IP de CDN.

CleanIP realiza un escaneo de conexión TCP sobre 26 puertos comunes de la IP de destino. Además de descubrir puertos abiertos, también:

• Captura de banners: identifica el software y la versión concretos que se ejecutan en los puertos abiertos
• Mapeo CPE: asigna el software identificado a identificadores CPE estandarizados
• Inferencia de etiquetas: deduce el tipo de IP a partir de las combinaciones de puertos y los datos CPE (p. ej., CDN, base de datos, IoT, etc.)
• Coincidencia de vulnerabilidades CVE: compara las versiones de software identificadas con bases de datos de vulnerabilidades CVE conocidas

CPE (Common Platform Enumeration) es un esquema estandarizado de nombres de software; por ejemplo, cpe:/a:nginx:nginx:1.24.0 representa Nginx 1.24.0.

CVE (Common Vulnerabilities and Exposures) es el identificador estándar de las vulnerabilidades de seguridad conocidas; por ejemplo, CVE-2024-6387 es una vulnerabilidad de ejecución remota de código en OpenSSH. CleanIP compara automáticamente las versiones de software escaneadas con las CVE conocidas de alta gravedad.