El tráfico de bots ya supera al de las personas: según el Bad Bot Report 2026 de Imperva, el 53% de todas las peticiones web las hacen programas automáticos y el 40% procede de bots maliciosos. Para una empresa, el tráfico de bots supone más costes de servidor, estadísticas infladas, spam en los formularios e intentos de robo de cuentas. En Addmira lo vemos cada semana en los paneles de seguridad de las webs que mantenemos.
La buena noticia es que no hace falta bloquearlo todo. No todos los bots son enemigos: algunos te ayudan a aparecer en Google y en los asistentes de IA, y otros actúan en nombre de clientes reales. En este artículo te explicamos por qué está pasando, qué tipos de bots existen, cómo afectan a tu negocio, cómo detectarlos y qué capas de protección puedes aplicar sin cerrar la puerta a tus clientes.
¿Por qué el tráfico de bots ya supera al humano?
Porque la inteligencia artificial ha multiplicado el número de programas que leen la web. Durante treinta años, el tráfico de bots fue una minoría formada sobre todo por rastreadores de buscadores que, a cambio de leer tu web, te enviaban visitas. Ese equilibrio se ha roto en muy poco tiempo.
Cloudflare, la red por la que pasa más de una quinta parte de la web, lo explica en su análisis sobre la llegada de un segundo público a internet (septiembre de 2026): su red ha pasado de gestionar 63 millones de peticiones por segundo a finales de 2024 a 115 millones en 2026, las peticiones diarias de agentes de IA han crecido más de un 1700% en un año y, en 2026, por primera vez, más de la mitad del tráfico de internet no ha sido humano.
Peticiones no es lo mismo que personas
Que el tráfico de bots supere al humano no significa que haya menos gente navegando. Las mediciones cuentan peticiones, y un solo programa puede solicitar miles de páginas mientras tú lees un párrafo. Lo que sí ha cambiado es la rentabilidad: según Cloudflare, sectores muy rastreados como el comercio minorista o los servicios financieros han visto caer su tráfico humano hasta un 40% en menos de un año, mientras sus servidores atienden cada vez más tráfico de bots.
De los rastreadores clásicos a los agentes de IA
Primero crecieron los rastreadores que recopilan contenido para entrenar modelos: según Cloudflare, pasaron del 22% de las peticiones de rastreo en primavera de 2025 al 52% en junio de 2026. Después llegaron los agentes, programas que visitan una web porque alguien le ha pedido algo a un asistente. El Bad Bot Report 2026 de Imperva añade que los ataques de bots apoyados en IA se han multiplicado por 12,5 en un año.
¿Qué es el tráfico de bots y qué tipos existen?
El tráfico de bots es el conjunto de visitas y peticiones que recibe una web desde programas automáticos en lugar de personas. Se divide en tres grandes tipos: bots buenos (como los rastreadores de Google), bots de IA y bots maliciosos. Por eso en Addmira insistimos en que la pregunta útil no es «¿esto es un bot?», sino «¿qué hace y qué me aporta?».
| Tipo de bot | Qué hace | Ejemplos | Qué conviene hacer |
|---|---|---|---|
| Bots buenos | Indexan, monitorizan o generan previsualizaciones | Googlebot, Bingbot, monitores de disponibilidad | Permitirlos siempre |
| Bots de IA | Entrenan modelos, citan contenido o actúan por un usuario | Rastreadores de entrenamiento, buscadores con IA, agentes | Decidir según tu modelo de negocio |
| Bots maliciosos | Roban credenciales, envían spam, copian precios o buscan fallos | Fuerza bruta, scraping, bots de spam | Bloquearlos y vigilar |
Bots buenos: buscadores y servicios legítimos
Los bots buenos son los que quieres tener. Bloquearlos por error es uno de los fallos más caros que vemos: una regla demasiado agresiva puede sacar una web de Google en pocas semanas.
Bots de IA: entrenamiento, búsqueda y agentes
Dentro de los bots de IA conviven tres usos. El rastreador de entrenamiento se lleva tu contenido sin devolver nada, el de búsqueda puede citarte en una respuesta y el agente puede ser, literalmente, un cliente. Por eso, según Cloudflare, el 17% de los sitios de su red bloquea el entrenamiento, pero menos del 1% bloquea la búsqueda.
Bots maliciosos: el problema real
Los bots maliciosos prueban contraseñas robadas, llenan formularios de spam, copian catálogos completos y buscan plugins desactualizados. El proyecto OWASP Automated Threats to Web Applications cataloga más de veinte amenazas automatizadas de este tipo, y muchas explotan la lógica del negocio, no un fallo del código. Por eso un plugin de seguridad genérico rara vez basta.
¿Cómo afecta el tráfico de bots a una empresa?
El tráfico de bots afecta a una empresa de cuatro formas: encarece el alojamiento y ralentiza la web, distorsiona la analítica, llena los formularios de spam y facilita el fraude. Según el informe de Imperva de 2025, en las webs de viajes los bots maliciosos ya generaban el 48% del tráfico, más que las personas.
Costes de servidor y velocidad de carga
Cada petición consume ancho de banda y procesador, la haga una persona o un script. Cuando el tráfico de bots se dispara, la web se ralentiza para los visitantes que importan, con efecto en la conversión y en las Core Web Vitals (lo vimos al triplicar la velocidad de una tienda WooCommerce). Proponemos a nuestros clientes calcular su coste por visita útil: lo que pagan al año por alojamiento y mantenimiento dividido entre las visitas humanas reales. Esa cifra sube cada mes que el tráfico de bots crece sin control.
Tráfico de bots en Google Analytics: decidir con datos falsos
Google Analytics 4 excluye el tráfico de bots conocidos, pero no el de los que imitan un navegador real. Esos bots se cuelan en tus informes y generan picos sin explicación, visitas desde países donde no trabajas y tasas de interacción imposibles. Si inviertes en anuncios o rediseñas una página con esos datos, decides a ciegas.
Formularios, cuentas y fraude
El spam en formularios hace perder horas al equipo comercial, los registros falsos ensucian tu base de datos y los ataques al área de clientes pueden acabar en robos de cuentas. Según Imperva, el 27% de los ataques de bots se dirige ya a las API y a los sistemas de identidad.
Cómo detectar el tráfico de bots en tu web
La forma más fiable de detectar el tráfico de bots es comparar las sesiones de tu analítica con las peticiones que registra el servidor. Si el servidor atiende diez veces más, esa diferencia es, sobre todo, tráfico de bots invisible en tus informes. Otras señales: avisos del alojamiento por consumo de recursos e intentos fallidos y repetidos de acceso al panel de administración.
¿Cómo proteger tu web de bots sin perder clientes?
Para proteger tu web de bots hay que trabajar por capas, no bloquearlo todo, porque te quedarías fuera de los buscadores y de los asistentes de IA que usan tus clientes. Este es el orden que seguimos en Addmira:
- Hacer un mapa de puertas: qué páginas deben leerse, cuáles reciben datos y cuáles no debería ver nunca un bot.
- Ordenar a los bots legítimos con el archivo robots.txt.
- Colocar un cortafuegos de aplicaciones web con límites de peticiones.
- Sustituir el CAPTCHA clásico por verificación invisible en los formularios.
- Decidir qué bots de IA permites según tu modelo de negocio.
- Revisar los datos cada semana y ajustar las reglas.
Bloquear bots con criterio: robots.txt y sus límites
El archivo robots.txt indica qué se puede rastrear, pero es una petición, no un candado: los bots maliciosos lo ignoran. Úsalo para ordenar a los buenos, nunca como única defensa.
Cortafuegos, límites de peticiones y mantenimiento
Un cortafuegos de aplicaciones web (WAF) filtra el tráfico de bots antes de que llegue al servidor: bloquea patrones de ataque, frena redes con mala reputación y limita peticiones. Súmale el gestor de contenidos actualizado, el doble factor y las recomendaciones del INCIBE para empresas. Ninguna medida garantiza una protección total, pero las capas reducen mucho el riesgo.
Verificación invisible en formularios
Los CAPTCHA de semáforos molestan a las personas y los bots ya los resuelven con IA. Las alternativas modernas verifican al visitante en segundo plano. En Addmira trabajamos con Cloudflare Turnstile en formularios de clientes y revisamos cada semana sus analíticas para detectar a tiempo un ataque o una regla que esté frenando a usuarios reales.
Qué hacer con los bots de IA
Desde julio de 2026, Cloudflare permite gestionar por separado la búsqueda, los agentes y el entrenamiento, incluso en su plan gratuito. Una empresa de servicios suele permitir búsqueda y agentes, porque quiere que la encuentren; una tienda online debe vigilar el scraping de precios; y una web que vive de la publicidad puede restringir agentes y entrenamiento, porque un anuncio solo genera ingresos cuando lo ve una persona.
Tu web ya tiene dos públicos: prepárala para ambos
El tráfico de bots no es una moda ni un problema exclusivo de las grandes plataformas. Más de la mitad de las peticiones que recibe cualquier web ya proceden de programas, y la proporción sigue creciendo de la mano de la inteligencia artificial. Unos te ayudan a que te encuentren, otros pueden traerte clientes y otros solo buscan aprovecharse de tus recursos o tus formularios.
La clave no está en bloquear, sino en decidir: saber qué bots te visitan, proteger las puertas sensibles con capas que no molesten a las personas y elegir tu relación con los bots de IA según tu modelo de negocio. Y revisarlo de forma periódica, porque el tráfico de bots cambia de comportamiento cada pocos meses y lo que hoy funciona puede quedarse corto mañana.
En Addmira llevamos desde 2001 diseñando, desarrollando y manteniendo webs de empresa, y hoy lo hacemos con esta realidad en mente. Configuramos la capa de seguridad, la verificación de formularios y las reglas para bots de IA, y te enviamos informes periódicos para que sepas qué pasa en tu web. Si quieres saber cuánto tráfico de bots recibe la tuya, solicita un diagnóstico de tu web y lo revisamos contigo, sin compromiso.
Preguntas frecuentes sobre el tráfico de bots
¿Qué porcentaje del tráfico de internet son bots?
Más de la mitad. Según el Bad Bot Report 2026 de Imperva, el 53% del tráfico web es automatizado y el 40% procede de bots maliciosos. El resto del tráfico de bots incluye buscadores y bots de IA que pueden darte visibilidad.
¿Cómo puedo detectar el tráfico de bots en Google Analytics?
Busca picos sin causa aparente, sesiones de duración cero en masa y visitas desde países donde no trabajas. Como Google Analytics 4 solo filtra los bots conocidos, contrasta sus datos con los registros del servidor.
¿Bloquear bots de IA perjudica a mi posicionamiento?
Bloquear los bots de IA de búsqueda sí reduce tu visibilidad en buscadores y en respuestas generadas por IA. Bloquear solo el uso para entrenamiento no afecta a tu indexación, siempre que la configuración distinga bien ambos usos.
¿Basta con un CAPTCHA para proteger tu web de bots?
No. Un CAPTCHA por sí solo no basta para proteger tu web de bots, porque muchos ya los resuelven con IA. Necesitas varias capas, como cortafuegos, límites de peticiones y verificación invisible.
Fuentes
- Incidentes de seguridad, los enemigos de tu negocio, INCIBE
- The Internet has a second audience, blog de Cloudflare (30 de septiembre de 2026)
- The 2026 Bad Bot Report is here, Imperva (Thales)
- 2025 Imperva Bad Bot Report: How AI is Supercharging the Bot Threat
- OWASP Automated Threats to Web Applications
