# Puntuación de riesgo de Verify, en modo log

> Cada reto de navegador y cada comprobación del widget Verify recibe una puntuación de riesgo de 0 a 100 con lo que la petición ya trae; solo registro por defecto. Los eventos de seguridad llevan ahora el ASN del cliente.

El [reto de navegador](https://developers.openwaf.dev/es/waf/browser-challenge/), el [modo bajo ataque](https://developers.openwaf.dev/es/waf/under-attack/) y el [widget Verify](https://developers.openwaf.dev/es/waf/verify-widget/) dan ahora a cada reto una [puntuación de riesgo](https://developers.openwaf.dev/es/waf/verify-risk/) de 0 a 100. La puntuación sale de señales que la petición ya trae: una red de hosting o de centro de datos, las listas de amenazas y la reputación de la dirección, el volumen reciente de retos, los fallos y reenvíos de la misma red o ASN, un ClientHello TLS o unas cabeceras de baja entropía que contradicen el navegador declarado, User-Agents de automatización, `navigator.webdriver` y una prueba de trabajo resuelta más deprisa de lo que puede un navegador o siempre en el mismo tiempo. Sin huellas de canvas, WebGL, audio ni fuentes, sin client hints de alta entropía y sin terceros.

La puntuación elige un nivel: `pass`, `harder` (hasta 3 bits más de prueba de trabajo), `interactive` (el paso de un clic) o `block` (`403`). Cada zona fija el modo y los umbrales en `challenge.risk`: **log** por defecto, que cuenta los niveles y **no aplica nada**, con umbrales 30, 60 y 90. Déjalo en log, lee la sección de riesgo de la analítica de Verificación (panel, `openwaf-cloud ctl challenge report` o la herramienta MCP `challenge_report`) y pasa a `enforce` cuando el reparto te convenza: en **Seguridad → Verificación → Puntuación de riesgo**, `PATCH …/edge` con `{"challenge": {"risk": {"mode": "enforce"}}}`, `openwaf-cloud ctl zones set example.com challenge.risk.mode=enforce` o la herramienta MCP `update_settings`.

La puntuación de riesgo encarece la automatización; no demuestra que el visitante sea humano, y un navegador real manejado desde direcciones residenciales puede pasar igual. Consulta los [límites](https://developers.openwaf.dev/es/waf/verify-risk/#limits).

Corregido también: el `asn` de los [eventos de seguridad](https://developers.openwaf.dev/es/analytics/security-events/) y de la analítica del control de rastreadores IA era siempre `0`; ahora lleva la red del cliente.