# Verify bloquea los navegadores que mienten, desactivado por defecto

> Una nueva regla de la puntuación de riesgo rechaza los retos de scripts cuyo handshake TLS y cuyos client hints contradicen los dos el navegador que dicen ser. Desactivada por defecto; log o enforce por zona.

La [puntuación de riesgo](https://developers.openwaf.dev/es/waf/verify-risk/) tiene un ajuste de zona nuevo, `challenge.risk.lie_block`: [navegadores que mienten](https://developers.openwaf.dev/es/waf/verify-risk/#lie-block). Caza un reto cuando dos comprobaciones independientes del servidor dicen las dos que el cliente miente sobre su navegador: el ClientHello TLS no cuadra con el navegador del User-Agent (`tls_mismatch`), los client hints `Sec-CH-UA` también lo contradicen (`client_hints_mismatch`), y el handshake no viene de la pila TLS de ningún navegador.

Cada comprobación por separado puede venir de una persona real: un proxy corporativo que inspecciona TLS, un cambiador de User-Agent, la emulación de dispositivos de las DevTools. Por eso ninguna bloquea sola, y por eso la regla solo salta cuando la pila TLS no es de un navegador. A Firefox, Safari, los WebView de Android y los navegadores de iOS nunca se les piden client hints.

Funciona en la página del reto y en el [widget de Verify](https://developers.openwaf.dev/es/waf/verify-widget/), al emitir el reto y al resolverlo. Viene **desactivada**. En `log` solo cuenta; en `enforce` responde `403`, igual que el nivel `block` de la puntuación, sea cual sea la puntuación y aunque el umbral de bloqueo esté a `0`. Necesita la puntuación de riesgo en `log` o `enforce`.

Actívala en **Seguridad → Verificación → Puntuación de riesgo → Bloquear navegadores que mienten**, con `PATCH …/edge` y `{"challenge": {"risk": {"lie_block": "log"}}}`, `openwaf-cloud ctl zones set example.com challenge.risk.lie_block=log` o la herramienta MCP `update_settings`. La analítica de Verificación (panel, `openwaf-cloud ctl challenge report`, MCP `challenge_report`) muestra `risk.lie_block` y `risk.browser_lie`, los retos que cazó la regla; en `enforce`, `risk.blocked` los incluye. Empieza en `log` y pasa a `enforce` cuando hayas visto unos días de tráfico normal.