El reto de navegador, el modo bajo ataque y el widget Verify dan ahora a cada reto una puntuación de riesgo de 0 a 100. La puntuación sale de señales que la petición ya trae: una red de hosting o de centro de datos, las listas de amenazas y la reputación de la dirección, el volumen reciente de retos, los fallos y reenvíos de la misma red o ASN, un ClientHello TLS o unas cabeceras de baja entropía que contradicen el navegador declarado, User-Agents de automatización, navigator.webdriver y una prueba de trabajo resuelta más deprisa de lo que puede un navegador o siempre en el mismo tiempo. Sin huellas de canvas, WebGL, audio ni fuentes, sin client hints de alta entropía y sin terceros.
La puntuación elige un nivel: pass, harder (hasta 3 bits más de prueba de trabajo), interactive (el paso de un clic) o block (403). Cada zona fija el modo y los umbrales en challenge.risk: log por defecto, que cuenta los niveles y no aplica nada, con umbrales 30, 60 y 90. Déjalo en log, lee la sección de riesgo de la analítica de Verificación (panel, openwaf-cloud ctl challenge report o la herramienta MCP challenge_report) y pasa a enforce cuando el reparto te convenza: en Seguridad → Verificación → Puntuación de riesgo, PATCH …/edge con {"challenge": {"risk": {"mode": "enforce"}}}, openwaf-cloud ctl zones set example.com challenge.risk.mode=enforce o la herramienta MCP update_settings.
La puntuación de riesgo encarece la automatización; no demuestra que el visitante sea humano, y un navegador real manejado desde direcciones residenciales puede pasar igual. Consulta los límites.
Corregido también: el asn de los eventos de seguridad y de la analítica del control de rastreadores IA era siempre 0; ahora lleva la red del cliente.