Marta lleva tres semanas con la misma rutina. A las 7:55 h abre el portátil en la cocina, antes de llevar a sus hijos al colegio, y espera a las 8:00 h, la hora a la que el organismo público habilita nuevos huecos para atención presencial. Necesita una cita para tramitar una documentación que caduca a final de mes. Rellena el formulario con el código postal, el motivo y su DNI. El sistema responde: no hay citas disponibles.
Su hermano lo intenta a las 8:01 desde el móvil. Una compañera, a las 8:03. Un vecino, a las 12:00. Ninguno ve un solo hueco. Aun así, las citas se están concediendo: una conocida de Marta consiguió la suya pagando a un intermediario que, según cuenta, «las tiene todas».
Este es el relato de cómo un organismo público con este problema trabajó con los ingenieros de Transparent Edge para que personas como Marta pudieran encontrar citas legítimas de forma justa.
El desafío
Una cita previa es un recurso limitado y de mucha demanda. Se libera en ventanas de tiempo concretas, y esas ventanas son el objetivo de quien automatiza para hacerse con ellas y luego revenderlas. Una persona tarda minutos en completar el formulario. Un script lo completa en milisegundos.
Los operadores que acaparan citas actúan con método. Analizan el flujo del formulario, buscan el punto más débil y lo recorren con navegación automatizada: navegadores controlados por programa, extensiones de automatización y, cada vez más, motores generados con ayuda de IA. Los huecos se reservan y se revenden como un servicio.
Las defensas habituales se quedaban cortas por cuatro motivos:
➜ El CAPTCHA se resuelve a escala. Hay granjas de resolución, humanas o basadas en modelos de IA, que lo superan a volumen.
➜ El bloqueo por IP o por país no sirve. El tráfico llega por proxies residenciales y móviles de operadores locales, desde las mismas redes que usa cualquier ciudadano. Su geolocalización a veces contradice el origen que declaran.
➜ El rate limiting clásico se esquiva. El volumen se reparte entre miles de IP únicas con muy pocas peticiones cada una, y ninguna alcanza un umbral por IP.
➜ Los datos de la petición se falsifican. Cabeceras, cookies, parámetros, ejecución de JavaScript y huella del cliente pueden simularse.
El tráfico malicioso se parecía al legítimo en casi todo lo que una defensa tradicional mide. La detección tenía que combinar varias señales.
Despliegue de la estrategia de protección
El equipo de Transparent Edge empezó por entender qué quería proteger el cliente para decidir la mejor configuración de Perimetrical. El objetivo principal era devolver el acceso a los ciudadanos que querían consultar y reservar citas de forma legítima. Los ingenieros colocaron el servicio detrás de la CDN para que el filtrado se aplicara antes de llegar al origen, analizaron el tráfico real y diseñaron un esquema en capas que separaba el tráfico válido del que no lo era. Cada capa descartaba una parte del tráfico no válido y dejaba pasar el resto a la siguiente.
Las capas que la estrategia cubre son seis:
- Reputación y origen. Evaluación de la IP, su geolocalización y su coherencia con el resto de señales de la petición.
- Identidad del cliente. Verificación de las cookies y del user-agent, y análisis de la huella digital del cliente.
- Ejecución en el navegador. Comprobación de que el cliente ejecuta JavaScript como lo haría un navegador real.
- Comportamiento. Análisis de cómo interactúa el cliente con la página, frente a los patrones de un usuario humano.
- Secuencia de navegación. Validación de que el recorrido por el servicio tiene el orden y las transiciones esperables.
- Integridad de la petición y volumen. Protección del WAF frente a peticiones manipuladas, y control de volumen con endurecimiento automático en los picos.
Los ingenieros parametrizaron cada capa con el cliente y la ajustaron con tráfico real, revisando falsos positivos para minimizar fricciones.
La solución de Transparent Edge en acción
Cuando se publica una tanda de citas, el tráfico hacia el formulario se multiplica en segundos. Es el momento para el que se diseñó la configuración.
Cada petición pasa por las capas en orden. Las señales sospechosas suman puntos de riesgo y el tráfico dudoso recibe un desafío de JavaScript. El navegador legítimo lo resuelve sin que la persona lo note. El cliente automatizado que no lo supera queda fuera.
El Bot Management de Transparent Edge aporta la capa de cliente y de comportamiento. Esa capa detecta a los operadores que intentan imitar a un usuario real y descarta lo que no coincide con el comportamiento de una persona. El WAF protege la integridad de las peticiones, de modo que una petición alterada no se puede reutilizar. Cuando el volumen supera el límite definido, el Under Attack Mode endurece la verificación mientras dura el pico.
Los ingenieros siguieron la configuración después de la puesta en producción. Ante cada variante de automatización que aparecía, ampliaron o ajustaron las reglas.
Nuestras acciones producen resultados
Las personas como Marta vuelven a encontrar citas libres cuando se publican. El tráfico automatizado que antes agotaba los huecos recibe desafíos o queda bloqueado antes de llegar al formulario.
El resultado depende de la calidad del filtrado. Una configuración laxa deja pasar bots y una estricta rechaza a ciudadanos. Por eso la parametrización se construye con ingenieros que conocen el comportamiento de los bots actuales y que siguen el servicio después del despliegue, porque los operadores de automatización cambian de método cuando se los bloquea.
Si reconoces este patrón en tu servicio, cuéntanos tu caso. Nuestros ingenieros revisan contigo el flujo y el tráfico, y proponen una configuración a medida de lo que necesitas proteger.
Sonia Arévalo es Product Marketing Manager en Transparent Edge
Cómo acabó una Analista de Sistemas estudiando Tecnología de los Alimentos es complicado de explicar. Si le añades que luego decidió dedicarse al Marketing Digital, ya es un enigma completo que esta chica haga tantas cosas bien. Más argentina que el asado, Sonia mantiene nuestra web y redes sociales traduciendo el
élficolenguaje técnico a algo asimilable para la gente normal. “Excelente” es su interjección favorita, que hace juego con su trabajo.
