Consulta de reputación de IP (AbuseIPDB)

Resumen — qué hace

La consulta de reputación de IP es una capacidad compartida: al hacer clic en una IP de origen sospechosa (src_ip) en cualquier punto del área de Seguridad, el servidor consulta en su nombre la inteligencia de amenazas de AbuseIPDB y muestra el resultado en una ventana emergente dentro de la aplicación. Nunca sale de la consola: valora «cuán conocida es esta IP» justo donde está haciendo el triaje.

Características principales:

• Consulta pura (solo lectura). Esta función únicamente llama a /api/v2/check de AbuseIPDB. No denuncia ni publica la IP en el exterior: la denuncia saliente (cooperación internacional) es una fase de respuesta aparte y aplazada.
• Indicador de confianza de abuso 0–100, además del número de denuncias, denunciantes distintos, tipo de uso, ISP, país, dominio, indicadores de Tor/lista blanca e historial de denuncias recientes, todo normalizado.
• Rotación entre varias claves. El conjunto de claves de AbuseIPDB registrado en API de reputación se consume por orden; ante un 429 (cuota superada) o un 401/403 (problema con la clave), el servicio pasa automáticamente a la siguiente clave (agrupación de cuotas).
• Caché de 1 hora por IP. Para proteger la cuota de 1000 peticiones/día del plan gratuito, las consultas repetidas de la misma IP dentro de una hora devuelven el resultado en caché.
• Mixin compartido. Amenazas, Detecciones, Resumen de seguridad y Lista de bloqueo reutilizan todas el mismo componente de ventana emergente.

El botón en vivo de este artículo abre el área de Seguridad (/security). La consulta de reputación no es una página independiente: es una ventana emergente compartida que aparece al hacer clic en el símbolo de escudo con lupa (.infr-ipsym) junto a una IP o en el botón [Consultar reputación] de una pantalla de Seguridad.

Cuándo usarla

• Al hacer el triaje de las IP atacantes de mayor gravedad en Amenazas: ¿es realmente maliciosa o se trata de un escáner/botnet conocido?
• Para justificar si una IP infractora de JA3 o una IP anómala de Kitsune en Detecciones supone una amenaza real.
• Para contrastar la reputación externa de un objetivo antes de bloquearlo o desbloquearlo en Lista de bloqueo y reputación.
• Para revisar rápidamente la reputación de una IP desde los paneles de IP más amenazantes o de infractores JA3 del Resumen de seguridad.

Disposición

La ventana emergente (security/partials/abuse-modal.blade.php) se presenta en uno de estos tres estados según el resultado de la consulta.

Éxito — tarjeta de reputación

Puntuación de confianza → tono del veredicto

Estados de no configurado / fallo

• Sin clave configurada: icono de alerta de clave y aviso. Use el botón [Abrir AbuseIPDB] del pie para consultar directamente el sitio externo.
• Consulta fallida: cuota superada, error de red, etc. Reinténtelo en breve o recurra al enlace externo.

Botones de acción del pie

Cómo se usa

1. En una pantalla de Seguridad (Amenazas, Detecciones, Resumen, Lista de bloqueo), haga clic en el símbolo de escudo con lupa o en el botón [Consultar reputación] junto a una IP.
2. La ventana emergente se abre con un indicador de carga y el frontend solicita la consulta al servidor:

GET /security/ip-reputation?ip=203.0.113.10

3. El servidor valida la IP de forma estricta (filter_var FILTER_VALIDATE_IP), consulta después a través de AbuseIpdbService y devuelve JSON normalizado.
4. Revise el indicador, las cifras y las denuncias recientes. Use los botones del pie para copiar, rastrear o bloquear según convenga.

Esquema de respuesta (normalizado)

Si la consulta tiene éxito, el servidor devuelve el JSON que consume la ventana emergente:

{
  "ok": true,
  "configured": true,
  "ip": "203.0.113.10",
  "score": 84,
  "reports": 128,
  "distinct_users": 41,
  "country": "CN",
  "usage": "Data Center/Web Hosting/Transit",
  "isp": "Example Hosting Ltd",
  "domain": "example-host.net",
  "is_tor": false,
  "is_whitelisted": false,
  "last_reported": "2026-08-12T22:14:07+00:00",
  "recent": [
    { "at": "2026-08-12T22:14:07+00:00", "country": "US", "categories": [18, 22], "comment": "SSH brute-force" }
  ],
  "checked_at": "2026-08-13 09:31:20",
  "external_url": "https://www.abuseipdb.com/check/203.0.113.10"
}

En caso de fallo controlado:

{ "ok": false, "configured": false, "external_url": "https://www.abuseipdb.com/check/203.0.113.10" }

Categorías de denuncia (1–23)

recent[].categories es un array de identificadores numéricos. La ventana emergente presenta las etiquetas mediante el mapa de idioma security.abuse.cat.

Fuentes de datos

Esta función no crea ninguna tabla nueva. Funciona únicamente con una llamada a una API externa + un registro de claves + una caché.

Flujo de rotación de claves / conmutación por error

check(ip)
  ├ cache hit? → return
  └ miss → iterate providers.rotated()
        key#1 → 200? → normalize·cache·return
              → 429/401/403 → fail over to next key (secret never printed)
        key#2 → …
        all fail → { ok:false, error:"http_429"|"unreachable" }

Registre varias claves del plan gratuito y sus cuotas se agruparán. Cuando una clave agote su cuota diaria y devuelva un 429, el servicio avanza automáticamente a la siguiente: los equipos con mucha carga de investigación deberían registrar 2–3 claves en API de reputación.

Acceso

• Endpoint de consulta GET /security/ip-reputation: al tratarse de una consulta pura, no exige reconfirmación reforzada ni deja registro de auditoría. Se sitúa detrás del área de menú de Seguridad (min_req 2), de modo que el personal de seguridad (staff=5) y superiores llegan a ella en la práctica. No publica nada en el exterior, así que no es una acción destructiva.
• IP no válida: si falla la validación de filter_var se devuelve HTTP 422 {"ok":false,"message":"invalid_ip"}.
• Gestión de claves API de reputación: el CRUD, la prueba en vivo y el arrastre de prioridades sobre infr_reputation_provider son exclusivos del administrador (admin=10, level≥5) y quedan auditados. Las claves se almacenan cifradas y solo pueden sustituirse o borrarse durante la edición.
• Sin fugas de secretos: las claves de API nunca se filtran en las respuestas ni en los cuerpos de error (los errores se registran únicamente como una cadena http_STATUS).

Resolución de problemas y preguntas frecuentes

La ventana emergente dice «clave de API no configurada»

No hay ninguna clave registrada en infr_reputation_provider y .env ABUSEIPDB_KEY está vacío. Añada una clave de AbuseIPDB en API de reputación o defina ABUSEIPDB_KEY=YOUR_KEY en el .env. Mientras tanto, use el botón [Abrir AbuseIPDB] para consultar el sitio externo.

«Consulta fallida» aparece una y otra vez

• 429 (cuota superada): es posible que haya consumido las 1000 peticiones diarias del plan gratuito. Registre claves adicionales para agrupar cuota o reinténtelo al día siguiente.
• 401/403 (problema con la clave): la clave ha caducado, está mal escrita o está inactiva. Compruébela con [Prueba en vivo] en API de reputación.
• Red (unreachable): confirme que la salida hacia api.abuseipdb.com (443) no está bloqueada desde el host de la consola.

Una IP que acabo de bloquear sigue mostrando una puntuación baja

Los resultados se almacenan en caché por IP durante 1 hora (infr:sec:abuse:{ip}). Si necesita un valor actualizado, vuelva a consultar pasada como máximo una hora. La caché existe para proteger su cuota gratuita.

¿Puedo denunciar la IP a AbuseIPDB desde aquí?

No. Esta función es solo de consulta. El envío de denuncias (cooperación internacional) es una fase de respuesta aparte y aplazada: aquí no se publica nada en el exterior.

Solo veo 6 denuncias recientes

El paso de normalización conserva únicamente las 6 más recientes (MAX_REPORTS=6). Consulte el historial completo con [Abrir AbuseIPDB] en el sitio externo.

Es una IP interna o en lista blanca, pero el botón de consulta está oculto

Las pantallas de Seguridad marcan las IP de instancias registradas (su propia red) con un distintivo Internal y ocultan el botón de reputación (SecurityScope); así se evita la confusión cuando las etiquetas direccionales de Suricata señalan a nuestro propio servidor como «origen». Las definiciones de red interna se gestionan en Política de operaciones.

Relacionado

• Gestión de la API de reputación — registro de varias claves de AbuseIPDB, rotación, prueba en vivo
• Amenazas — consultar la reputación de una IP durante el triaje de entidades de amenaza del IDS
• Detecciones · JA3 — verificar la reputación de IP infractoras JA3 o anómalas
• Lista de bloqueo y reputación — lista de bloqueo + contraste de reputación + enlace directo de bloqueo
• Resumen de seguridad — embudo de defensa e IP más amenazantes
• Lista blanca — exención de bloqueo e inclusión automática por inocencia de srct