Para bloquear usuarios de VPN en tu web, comprueba la IP de cada visitante con una API de detección de VPN y decide según la acción: bloquea o verifica las VPN con puntuación de confianza alta en el registro, el inicio de sesión y el pago, y deja pasar a quien solo lee. La comprobación se hace con una llamada a la API desde tu backend, o sin código delante de tu web con un Worker de Cloudflare, un plugin de WordPress o una pasarela para Traefik, Caddy o nginx. Bloquear todas las VPN rara vez es lo correcto, porque muchos usuarios de VPN son clientes legítimos.
Decide qué quieres realmente
Antes de implementar nada, separa el objetivo del método:
- Cumplimiento / licencias: es posible que realmente necesites bloquear el acceso desde IPs anonimizadas en ciertas regiones.
- Reducción del fraude: no necesitas bloquear, necesitas añadir fricción donde el riesgo es alto.
- Prevención de abuso: quieres frenar la creación de cuentas múltiples y el abuso de pruebas gratuitas, algo relacionado con los registros, no con la navegación.
La mayoría de los sitios están en la segunda o tercera categoría, donde desafiar supera a bloquear.
Comprobar si una IP usa una VPN
Paso 1: detectar el tráfico VPN de forma fiable
No puedes actuar sobre lo que no ves. Usa un servicio de detección que devuelva un veredicto y una puntuación de confianza en lugar de una simple lista sí/no. Consulta cómo funciona la detección de VPN para entender por qué importa esa puntuación. La API de detección de VPN devuelve ambos datos para cualquier IP.
Paso 2: elegir entre bloquear y desafiar según la acción
Asocia la puntuación de confianza con una respuesta acorde al riesgo de la acción:
| Acción | Puntuación baja | Puntuación media | Puntuación alta |
|---|---|---|---|
| Leer contenido | permitir | permitir | permitir |
| Registrarse | permitir | verificación por correo/teléfono | verificación + revisión |
| Iniciar sesión | permitir | autenticación reforzada | autenticación reforzada |
| Pago / retiro | permitir | verificar | bloquear o revisión manual |
Así, un lector preocupado por su privacidad nunca se ve incomodado, mientras que una VPN de alta confianza en el pago recibe el escrutinio adecuado.
Paso 3: implementar en el servidor
Ejecuta la comprobación en tu backend, no en el navegador, para que no pueda eludirse y tu clave de API se mantenga secreta. El flujo:
- El usuario activa una acción sensible.
- Tu servidor llama a la API de detección con la IP del cliente.
- Lees el veredicto y la puntuación, y aplicas la tabla anterior.
Para una implementación concreta, consulta cómo detectar VPN en Node.js.
¿No puedes tocar el backend? Ejecuta la misma comprobación delante de tu web con el Worker de Cloudflare, el plugin de WordPress o las integraciones para Traefik, Caddy y nginx. Todos empiezan en modo monitor, así que primero ves qué se bloquearía; bloquear requiere un plan de pago.
Paso 4: preferir la puntuación sobre reglas rígidas
Si te encuentras escribiendo muchas sentencias if, consolida. Incorpora la señal VPN junto con proxy, Tor y reputación en una puntuación de fraude de IP y decide según ese único número. Es más fácil de ajustar y más difícil de burlar.
Evitar falsos positivos
- Usa la puntuación, no una marca binaria. Reserva los bloqueos estrictos para los casos de alta confianza.
- Incluye en la lista blanca las salidas corporativas o de nube conocidas de las que provienen legítimamente tus usuarios reales.
- Ofrece a los usuarios una salida. Si debes bloquear, muestra un mensaje claro y una forma de verificar en lugar de un callejón sin salida.
En resumen
No bloquees a todos los usuarios de VPN: detecta el tráfico VPN con una puntuación de confianza y luego bloquea o desafía según el riesgo de la acción. Ejecuta la comprobación en el servidor, prefiere los desafíos a los bloqueos estrictos, y consolida la lógica en una única puntuación de fraude para que sea fácil de ajustar.
FAQ