El tráfico de bots es cualquier petición a un sitio hecha por software y no por una persona ante una pantalla. Esa única definición abarca cosas tan distintas como Googlebot indexando una ficha de producto, un monitor de disponibilidad consultando la portada cada sesenta segundos, un scraper copiando los precios y un script de relleno de credenciales recorriendo una lista de contraseñas filtradas. Meterlo todo en el mismo saco es el error. Esta guía trata de distinguirlos, porque la respuesta adecuada a cada uno es completamente distinta.
Ideas clave
- El tráfico de bots no es un fenómeno único. Se divide en automatización útil, automatización hostil y tráfico sintético generado por uno mismo, y cada tipo suele tener un responsable distinto dentro de una organización.
- Google Analytics 4 excluye automáticamente el tráfico de bots y arañas conocidos usando la lista internacional de arañas y bots de la IAB/MRC. Ese filtro es real, pero funciona a partir de una lista de bots conocidos, que es justo la herramienta equivocada para detectar automatización que intenta no ser conocida.
- Las cadenas de User-Agent y
robots.txtson declaraciones, no controles. Ambas funcionan bien con bots que se portan bien y no significan nada para el resto. - La identidad debe verificarse a nivel de red (DNS inverso o rangos de IP publicados), no darse por buena a partir de una cabecera que cualquier cliente puede fijar.
- En cuanto la automatización apunta a inicios de sesión, pagos, formularios o precios, deja de ser una molestia para los informes y se convierte en un asunto de seguridad con otra vía de escalado.
¿Qué cuenta realmente como tráfico de bots?
La frontera útil es la intención de quien lo opera, no la tecnología. Un navegador sin interfaz no es intrínsecamente malicioso; la propia suite de control de calidad probablemente use uno. Tres preguntas resuelven la mayoría de los casos: ¿quién ejecuta esto, qué se lleva o qué hace, y se ha anunciado? Un rastreador que se identifica y respeta las directivas de rastreo es un invitado con tarjeta de visita. Un conjunto de IP residenciales recorriendo las URL de producto a tres peticiones por segundo tras un User-Agent de Chrome estándar es otra cosa, aunque técnicamente ambos se limiten a descargar páginas.
Las tres categorías que conviene separar
Automatización útil
Estos bots existen porque ser visible u observable resulta beneficioso. Los rastreadores de buscadores como Googlebot y Bingbot construyen el índice del que depende el tráfico orgánico. Los monitores de disponibilidad descargan páginas según una programación para avisar de una caída antes de que lo hagan los clientes. Los rastreadores de comparadores de precios y de afiliación pueden formar parte de un canal de distribución que se desea activamente. Los recuperadores de vista previa de enlaces generan la tarjeta que se ve cuando alguien comparte una URL en un chat.
Una incorporación más reciente a este grupo es el rastreador de IA. OpenAI documenta GPTBot, Anthropic documenta ClaudeBot y Common Crawl opera desde hace tiempo CCBot. Cada uno publica documentación que describe el agente y cómo permitirlo o bloquearlo. Quererlos o no es una decisión de negocio sobre el uso del contenido propio, no una cuestión de defensa técnica. Cabe destacar que bloquearlos es una opción legítima con un coste en ambos lados, cosa que no ocurre con la siguiente categoría.
Automatización hostil
Aquí lo que gana quien opera lo pierde el sitio. Los scrapers de contenido y de precios copian el catálogo, a menudo a un ritmo de peticiones que consume capacidad real de servidor. Los scripts de relleno de credenciales reproducen pares de usuario y contraseña procedentes de filtraciones ajenas contra el endpoint de inicio de sesión, y por eso un repunte de inicios de sesión fallidos desde muchas IP merece atención en cuestión de horas y no en el siguiente ciclo de informes. El fraude de clics consume presupuesto publicitario en clics que no hizo ninguna persona. El spam de formularios y comentarios contamina el CRM y, peor aún, los datos de conversión. Los bots de acaparamiento de inventario añaden existencias limitadas a carritos que nunca piensan pagar.
El comportamiento que los define es la evasión. Este tráfico rota direcciones IP, imita huellas de navegador habituales, se dosifica por debajo de los umbrales evidentes e ignora todo lo que se escriba en robots.txt, porque cumplirlo solo reduciría lo que recoge.
Tráfico de prueba sintético
La tercera categoría es la automatización encargada por uno mismo: pruebas de carga, ejecuciones de validación de analítica, comprobaciones de disponibilidad configuradas por el equipo, sesiones preparadas para confirmar que un evento de conversión se dispara con los parámetros correctos. No es hostil, pero tampoco es humana, y distorsionará cualquier informe que la incluya. El rasgo distintivo es que está bajo control propio, lo que permite etiquetarla, programarla y excluirla con limpieza. Que eso se haga de verdad es la diferencia entre un experimento reversible y una propiedad de analítica enturbiada para siempre.
| Categoría | ¿Se identifica? | ¿Respeta robots.txt? | Quién debería asumir la respuesta |
|---|---|---|---|
| Rastreadores de buscadores y de IA | Sí, y de forma verificable | Por lo general, sí | SEO / estrategia de contenidos |
| Monitorización y vistas previas | Habitualmente | A menudo exentos por diseño | Ingeniería / operaciones |
| Scrapers y relleno de credenciales | No | No | Seguridad |
| Fraude de clics y spam de formularios | No | No aplicable | Medios de pago / seguridad |
| El tráfico sintético propio | Solo si se etiqueta | Bajo control propio | Responsable de analítica |
Qué filtra GA4 automáticamente y qué se cuela
Google Analytics 4 excluye por defecto el tráfico de bots y arañas conocidos. La propia documentación de Google describe que se basa en la lista internacional de arañas y bots de la IAB/MRC combinada con la identificación interna de Google, y que se aplica de forma automática y no como un ajuste que se active. Para el caso habitual, rastreadores declarados que visitan una página con el código de medición instalado, funciona bien y sin ruido.
La limitación se deriva directamente del mecanismo. Un filtro basado en listas detecta la automatización que figura en una lista. No está diseñado para identificar software que se presenta como una sesión normal de Chrome desde una dirección IP residencial, y no cabe esperar que lo haga. Merece la pena nombrar tres huecos prácticos:
- Automatización no declarada. Todo lo que imite deliberadamente un navegador se medirá por lo general como una sesión, con un dispositivo, una geografía y un referente verosímiles.
- Tráfico que nunca ejecuta el JavaScript. Muchos bots descargan el HTML y se detienen ahí. GA4 no llega a verlos, así que la analítica infravalora la carga total. Es el modo de fallo opuesto al anterior, y por eso la analítica por sí sola no puede decir cuánta automatización está atendiendo el servidor.
- Las sesiones sintéticas propias. Nada en el filtro automático sabe que la prueba de carga encargada por el equipo no era un cliente. Esa exclusión hay que construirla.
La lección general: el filtro de bots de GA4 es una función de higiene para los informes, no un sistema de detección. Conviene entenderlo como algo que elimina el ruido evidente, no como una respuesta a la pregunta «¿qué parte de este tráfico era humana?».
Cómo distinguirlos en los registros del servidor
Los registros del servidor recogen todas las peticiones que llegaron, incluidas las que nunca ejecutaron una línea de JavaScript. Eso los convierte en el registro más completo y en el lugar donde ocurre realmente la clasificación.
Las señales que tienen peso, aproximadamente por orden de fiabilidad:
- Identidad verificada. Google publica un procedimiento de verificación para sus rastreadores: una consulta de DNS inverso sobre la IP que hace la petición y después una consulta directa sobre el nombre de host resultante para confirmar que apunta de vuelta a la misma dirección. Google también publica en JSON los rangos de IP de sus rastreadores, y OpenAI publica los rangos de GPTBot. Bing ofrece una herramienta de verificación comparable. Es la única clase de señal que un cliente no puede afirmar sin más.
- Patrón de peticiones. Intervalos perfectamente regulares, enumeración secuencial de URL y peticiones de HTML sin las correspondientes descargas de CSS, imágenes o fuentes apuntan todas a un cliente que no es un navegador.
- Concentración en endpoints. Un tráfico intenso hacia
/login, un endpoint de búsqueda o una plantilla que muestra precios, con poco interés por lo demás, describe un propósito. - Origen de red. El espacio de direcciones de centros de datos es normal en rastreadores declarados e inusual en visitas de consumidores. El tráfico por proxy residencial invierte esto, y es una de las razones por las que el origen por sí solo no es concluyente.
- Cadena de User-Agent. Útil para agrupar, inservible como prueba. Va la última por algo.
Un apunte más, específico de la clasificación: el grupo de clientes que aparece en el registro de acceso pero nunca en la analítica es, casi por definición, automatización que no usa navegador. Ese grupo es invisible para quien trabaje solo con la analítica.
Por qué robots.txt y el User-Agent son señales débiles
robots.txt es una petición de cooperación voluntaria. El Protocolo de Exclusión de Robots se formalizó como RFC 9309 en 2022, y el propio estándar describe el cumplimiento como voluntario por parte del rastreador. Los grandes buscadores lo respetan; un scraper no tiene motivo para hacerlo. Hay una trampa añadida: publicar una regla Disallow para una ruta sensible anuncia esa ruta a cualquiera que lea el archivo, que es público por definición. Sirve para gestionar el comportamiento y el presupuesto de rastreo, nunca como control de acceso.
La cabecera User-Agent tiene la misma debilidad estructural. Es una cadena que elige el cliente. Cualquiera puede enviar Googlebot en ese campo, y cualquiera puede enviar en su lugar una cadena de Chrome actual. Por eso existe el paso de verificación descrito arriba. En la práctica, conviene tratar el User-Agent como una etiqueta para organizar tráfico ya clasificado por otros medios.
¿Qué parte de la web está automatizada?
Respuesta honesta: nadie puede dar una cifra que se pueda citar con confianza. Las estimaciones publicadas proceden sobre todo de proveedores de seguridad, muy visiblemente del informe anual sobre bots maliciosos de Imperva y de telemetría similar de otros proveedores. Son útiles como orientación, pero se derivan del tráfico que pasa por la base de clientes de cada proveedor, lo que sesga hacia sitios lo bastante grandes como para contratar mitigación de bots y hacia las superficies de ataque que esos sitios presentan. Proveedores distintos, metodologías distintas, cifras distintas.
Lo que sí es seguro decir en términos cualitativos es que la parte automatizada es lo bastante grande como para importar en prácticamente cualquier sitio público, y que varía enormemente según el tipo de sitio. Un servicio de consumo con muchos inicios de sesión, una plataforma de venta de entradas y un sitio de documentación estática no se enfrentan en absoluto a la misma mezcla. La cifra que debe guiar las decisiones es la de los registros propios, no una media del sector.
Cuándo el tráfico de bots se convierte en un problema de seguridad
La línea es de comportamiento, no de volumen. El tráfico de bots es un problema de analítica mientras se limita a inflar recuentos. Se convierte en un problema de seguridad en cuanto interactúa con algo que tiene consecuencias.
Hay que escalar en lugar de filtrar ante cualquiera de estos casos: un aumento de intentos fallidos de inicio de sesión repartidos entre muchas direcciones de origen, envíos de formularios que generan eventos de conversión sin ninguna actividad posterior verosímil, acciones de pago o de carrito que nunca se completan, enumeración sistemática de identificadores de usuario o números de pedido, o un volumen de peticiones que provoca tensión real de capacidad. Cada uno de ellos tiene un coste que continúa se excluya o no ese tráfico de un panel.
La consecuencia práctica de equivocarse en esa frontera es que una campaña de relleno de credenciales se trata como una molestia para los informes, se filtra fuera de una vista de GA4 y se deja funcionando contra el endpoint de inicio de sesión. El filtro hizo invisible el síntoma sin tocar la causa.
Preguntas frecuentes
¿Todo el tráfico de bots es malo?
No, y tratarlo así causa daños reales. Bloquear los rastreadores de buscadores deja el sitio fuera del índice. Bloquear los recuperadores de vista previa de enlaces estropea el aspecto de las URL cuando se comparten. El objetivo es clasificar y responder de forma adecuada, no eliminar.
¿GA4 elimina todo el tráfico de bots?
Elimina automáticamente el tráfico de bots y arañas conocidos que figuran en la lista de la IAB/MRC. No elimina la automatización que se presenta como un navegador corriente, y nunca ve a los clientes que no ejecutan el código de medición. Son dos puntos ciegos distintos que apuntan en direcciones opuestas.
¿Puedo identificar a Googlebot solo por la cadena de User-Agent?
No. La documentación de Google recomienda explícitamente verificar mediante una consulta de DNS inverso seguida de una consulta directa, o cotejando con los rangos de IP de rastreadores publicados por Google. El User-Agent es trivialmente falsificable y nunca debería ser la base para conceder acceso.
¿Debería bloquear rastreadores de IA como GPTBot o ClaudeBot?
Eso es una decisión de licencia de contenido, no de seguridad. Ambos están documentados y ambos pueden bloquearse en robots.txt. Hay que sopesar el valor de aparecer en respuestas generadas por IA frente a la propia postura sobre el uso del contenido para entrenamiento. No hay una respuesta técnicamente correcta, solo una comercial.
¿Qué es lo primero que hay que revisar ante un repunte de tráfico sin explicación?
Los registros del servidor, no la analítica. Conviene mirar qué endpoints recibieron peticiones, a qué intervalo, desde qué redes y si las peticiones descargaron los recursos de la página o solo el HTML. Esas cuatro observaciones suelen identificar la categoría en minutos, y la categoría determina a quién le corresponde ocuparse.