La puntuación de riesgo tiene un ajuste de zona nuevo, challenge.risk.lie_block: navegadores que mienten. Caza un reto cuando dos comprobaciones independientes del servidor dicen las dos que el cliente miente sobre su navegador: el ClientHello TLS no cuadra con el navegador del User-Agent (tls_mismatch), los client hints Sec-CH-UA también lo contradicen (client_hints_mismatch), y el handshake no viene de la pila TLS de ningún navegador.
Cada comprobación por separado puede venir de una persona real: un proxy corporativo que inspecciona TLS, un cambiador de User-Agent, la emulación de dispositivos de las DevTools. Por eso ninguna bloquea sola, y por eso la regla solo salta cuando la pila TLS no es de un navegador. A Firefox, Safari, los WebView de Android y los navegadores de iOS nunca se les piden client hints.
Funciona en la página del reto y en el widget de Verify, al emitir el reto y al resolverlo. Viene desactivada. En log solo cuenta; en enforce responde 403, igual que el nivel block de la puntuación, sea cual sea la puntuación y aunque el umbral de bloqueo esté a 0. Necesita la puntuación de riesgo en log o enforce.
Actívala en Seguridad → Verificación → Puntuación de riesgo → Bloquear navegadores que mienten, con PATCH …/edge y {"challenge": {"risk": {"lie_block": "log"}}}, openwaf-cloud ctl zones set example.com challenge.risk.lie_block=log o la herramienta MCP update_settings. La analítica de Verificación (panel, openwaf-cloud ctl challenge report, MCP challenge_report) muestra risk.lie_block y risk.browser_lie, los retos que cazó la regla; en enforce, risk.blocked los incluye. Empieza en log y pasa a enforce cuando hayas visto unos días de tráfico normal.