Protección contra Bots

Con la protección contra bots de Kinsta, puedes controlar cómo se bloquean o impiden los diferentes tipos de tráfico en tu sitio.

La protección contra bots de Kinsta añade otra capa a la seguridad integrada de nuestra plataforma. Nuestra protección predeterminada bloquea el tráfico malicioso; esto filtra automáticamente el tráfico malicioso dirigido a endpoints específicos y el tráfico procedente de direcciones IP vinculadas a amenazas conocidas. Además de los controles de seguridad internos de Kinsta, el cortafuegos de nivel empresarial de Cloudflare detiene muchos ataques antes de que lleguen a tu servidor, utilizando un estricto conjunto de reglas para filtrar el tráfico entrante y bloquear las direcciones IP asociadas a intentos de hackeo y ataques DDoS.

Kinsta también monitoriza de forma proactiva el tráfico entrante diario para detectar amenazas y posibles infecciones en toda la plataforma. Para proteger aún más tus datos, utilizamos cortafuegos de hardware junto con medidas de seguridad activas y pasivas, así como otras medidas de protección avanzadas, para evitar el acceso no autorizado.

Por defecto, las defensas a nivel de plataforma de Kinsta bloquean entre un 15 % y un 20 % del tráfico clasificado como malicioso antes de que afecte a tu sitio. Esta capa básica se centra en las solicitudes claramente dañinas y en las fuentes de amenazas conocidas en toda la red. Como el comportamiento del tráfico y los requisitos empresariales varían de un sitio a otro, puede ser importante contar con mayor flexibilidad. La protección contra bots de Kinsta mejora esta base permitiéndote ajustar con precisión cómo se gestionan las diferentes categorías de tráfico, ya sea para reducir la carga durante los picos de actividad o para aplicar controles de seguridad más estrictos.

Kinsta excluye automáticamente el tráfico procedente de bots conocidos y reconocibles de los cálculos de uso del plan. Los agentes de usuario que se identifican claramente como bots o rastreadores se filtran de las estadísticas y no cuentan para tu uso. En algunos casos, el tráfico automatizado que se asemeja mucho al comportamiento humano puede seguir apareciendo en tus métricas. Si ves patrones de tráfico inusuales, activar un nivel más alto de protección contra bots puede ayudarte a identificar si los bots son los responsables. Aunque se excluyen de la facturación, los grandes volúmenes de solicitudes automatizadas de bots o rastreadores claramente identificados pueden seguir afectando al rendimiento si no se gestionan.

¿Qué es un bot?

Los bots son solicitudes identificadas como procedentes de software automatizado en lugar de usuarios humanos. Kinsta mantiene su propio sistema de clasificación de bots, basado en los patrones de tráfico observados en nuestra plataforma y en las normas del sector, para identificar y categorizar el tráfico automatizado, en particular los bots que generan grandes volúmenes de solicitudes o aumentan la carga de los sitios.

Complementamos esto con la clasificación de bots en tiempo real basada en el aprendizaje automático de Cloudflare, que asigna a los visitantes una puntuación del 1 al 99, indicando la probabilidad de que una solicitud sea automatizada. Una puntuación de 1 indica que es muy probable que la solicitud haya sido automatizada, mientras que una puntuación de 99 indica que lo más probable es que la solicitud proceda de un humano.

Cómo se clasifica el tráfico en MyKinsta

En MyKinsta, el tráfico se clasifica en las siguientes categorías:

• Bots verificados: Tráfico automatizado procedente de empresas legítimas y verificadas, como Google, Bing, herramientas de monitorización y de SEO. Kinsta permite la mayoría de los bots verificados, independientemente del nivel de protección contra bots seleccionado. Entre los bots verificados se incluyen los que figuran en la lista oficial de bots verificados de Cloudflare, como el bot de tiempo de actividad (uptime) de Kinsta, los rastreadores de los principales motores de búsqueda, multitud de bots de API (incluidas las herramientas de gestión de WordPress) y los bots de IA.
  Además, Kinsta aplica sus propias reglas de clasificación sobre esta lista. Los rastreadores de IA y los rastreadores con una frecuencia excesiva pueden ser reclasificados, incluso si son bots verificados, lo que garantiza que el tráfico automatizado que genera una carga significativa se clasifique y gestione adecuadamente.
  Los bots verificados que permitimos garantizan que tu SEO, tu posicionamiento en los buscadores y tu visibilidad en las herramientas basadas en IA nunca se vean afectados negativamente.
• Probablemente humanos: Visitantes reales que, con toda probabilidad, son humanos y tienen un comportamiento de navegación normal. Estos tienen puntuaciones de bot de entre 30 y 99.
• Posibles bots: Se ha detectado actividad automatizada no verificada; lo más probable es que estos visitantes sean bots, con puntuaciones de bot entre 2 y 29.
• Tráfico no clasificado: Tráfico que no se ha podido clasificar con seguridad, una cantidad de tráfico muy pequeña y normalmente inofensiva. Este tráfico suele consistir en solicitudes de servicios internos que no afectan al servidor de origen, como las solicitudes generadas cuando tu sitio devuelve una página de error. Representa menos del 0,07% del tráfico total, y sólo un tercio de ese tráfico se sirve en última instancia.
  
• Tráfico automatizado: Solicitudes automatizadas confirmadas generadas por software en lugar de por usuarios humanos. Este tráfico se identifica de forma definitiva como actividad de bots con una puntuación de bot de 1. Cuando configuras la protección contra bots de Kinsta en un nivel superior al de bloquear tráfico malicioso, se bloquea el tráfico automatizado.
  Esta categoría puede incluir herramientas y servicios legítimos que se conectan a tu sitio, pero que no se clasifican como bots verificados, como ciertas herramientas de gestión de WordPress, integraciones de API personalizadas, monitores de disponibilidad, scripts de despliegue o servicios de terceros que realizan solicitudes automatizadas sin la identificación adecuada.
  Si confías en alguna de estas herramientas para tu sitio de WordPress y aumentas la protección contra bots de Kinsta por encima de bloquear el tráfico malicioso, te recomendamos que compruebes que aparecen en la lista de bots verificados de Cloudflare. Si el servicio no está en la lista, el proveedor del servicio puede registrarlo para su verificación y evitar que sea bloqueado; este registro puede llevar algún tiempo.
  
• Tráfico malicioso: Tráfico de ataques, DDoS y abuso. Tráfico que se bloquea automáticamente en todos los sitios como parte de la protección de seguridad predeterminada de Kinsta. Esto incluye la mitigación de DDoS y reglas globales para direcciones IP y endpoints utilizados exclusivamente por tráfico malicioso. Kinsta combina estas protecciones con monitorización continua, cortafuegos de hardware y medidas de seguridad avanzadas para mantener tu sitio a salvo. Aunque la seguridad básica filtra aproximadamente entre el 15 % y el 20 % del tráfico malicioso antes de que llegue a tu sitio, los bots en constante evolución que imitan a usuarios reales pueden seguir requiriendo protecciones adicionales, como un nivel más alto de la protección contra bots de Kinsta.
• Rastreadores de IA de tasa excesiva: Rastreadores de IA que realizan peticiones que sobrecargan los recursos del servidor; se trata de bots de IA no deseados.

¿Qué es un desafío de seguridad (Challenge)?

Un desafío (challenge) añade un paso de verificación que ayuda a determinar si el tráfico entrante proviene de un usuario real o de un programa automatizado. En lugar de permitir o bloquear una solicitud de inmediato, los desafíos actúan como un filtro, dejando pasar a los visitantes legítimos y bloqueando a muchos bots no deseados.

Cuando se cuestiona una visita, la solicitud se retiene temporalmente mientras el visitante completa un paso de verificación para demostrar que es legítimo. Este enfoque ayuda a reducir el tráfico abusivo o automatizado, al tiempo que minimiza las molestias para los usuarios reales.

El paso de verificación puede incluir:

• Un desafío basado en el navegador (por ejemplo, comprobaciones de JavaScript)
• Un CAPTCHA o prueba interactiva
• Una validación en segundo plano que se ejecuta automáticamente sin interacción del usuario

Si el desafío se completa correctamente, se permite la solicitud y el visitante puede continuar en el sitio. Si el desafío falla o no puede completarse, la solicitud se bloquea. Los visitantes humanos legítimos suelen pasar estas comprobaciones sin apenas interrupción visible, mientras que la gran mayoría de las solicitudes automatizadas no pueden completar el proceso de verificación.

Si un visitante completa el cuestionamiento con éxito, no volverá a ser cuestionado durante al menos 10 días, siempre que siga utilizando el mismo navegador y la misma dirección IP.

Cuándo utilizar la protección contra bots de Kinsta

Tienes total control sobre cuándo y cómo usar la protección contra bots de Kinsta, y puedes activar un nivel de protección más alto en cualquier momento, incluso de forma permanente, si se adapta a las necesidades de tu sitio. Dicho esto, dado que la protección contra bots puede afectar a la forma en que los visitantes y las integraciones interactúan con tu sitio, es mejor usarla de forma deliberada y siendo consciente de las posibles desventajas.

Recomendamos activar un nivel más alto de protección contra bots en las siguientes situaciones:

• Durante un pico de tráfico: Si tu sitio sufre un aumento repentino de tráfico, activar un nivel más alto de la protección contra bots de Kinsta puede reducir rápidamente la carga maliciosa sin bloquear a todos los visitantes. Para identificar los picos de tráfico, puedes usar el gráfico Visitas en Sitios > nombre del sitio > Analíticas > Uso del plan.
• Problemas de rendimiento: Si tu sitio experimenta problemas de rendimiento, activar un nivel más alto de protección contra bots de Kinsta puede ayudar a determinar si el tráfico automatizado está contribuyendo al aumento de la carga en tu sitio. Para identificar problemas de rendimiento, utiliza los gráficos de Rendimiento dentro de Sitios > nombre del sitio > Analíticas > Rendimiento.
• Evaluar el tráfico sospechoso: Si observas un comportamiento inusual pero aún no quieres bloquearlo por completo, activar un nivel más alto de la protección contra bots de Kinsta te permite observar si el tráfico puede pasar la verificación antes de tomar medidas más estrictas.

Consideraciones para un uso prolongado o continuo

Aunque un nivel más alto de protección contra bots puede dejarse activado a largo plazo, hacerlo puede introducir efectos secundarios, incluyendo:

• Experiencia de usuario: Si desafías a todo el mundo, incluso los desafíos ligeros añaden un breve paso de verificación para los visitantes. Para la mayoría de los usuarios, esto ocurre sin problemas y sólo una vez dentro de un período más largo, permitiendo que las solicitudes posteriores pasen sin interrupción. Aunque un pequeño porcentaje puede notar un ligero retraso, sobre todo en dispositivos móviles o conexiones más lentas, este enfoque puede reducir significativamente el tráfico oculto de bots, manteniendo al mismo tiempo una experiencia de usuario equilibrada.
• Problemas de accesibilidad: Algunos desafíos (en particular los CAPTCHA) pueden resultar difíciles o imposibles para los usuarios que dependen de tecnologías de apoyo.
• Automatización legítima: Las APIs no verificadas y los servicios automatizados serán bloqueados o desafiados, lo que podría interrumpir las integraciones. Debes revisar tus integraciones críticas para el negocio y cualquier herramienta de terceros que se conecte a tu sitio para asegurarte de que aparecen en la lista de robots verificados de Cloudflare. Si tu servicio no está en la lista, puedes registrarlo para su verificación. Algunos ejemplos comunes son las integraciones personalizadas, los monitores autohospedados (self-hosted) o automatizaciones de despliegue.
• Consideraciones sobre SEO y rendimiento: Los robots de motores de búsqueda ampliamente reconocidos, incluidos Google y Bing, forman parte del directorio de robots verificados y no se ven afectados. Sin embargo, los rastreadores SEO menos conocidos o las herramientas especializadas que no estén verificadas podrían verse afectados.

En última instancia, decidir cuándo utilizar la protección contra bots y qué nivel de protección depende de ti. Recomendamos probar los cambios con cuidado y ajustar la configuración en función de los patrones de tráfico, el rendimiento y los objetivos de experiencia del usuario de tu sitio.

Protección contra bots de Kinsta con capas de seguridad externas

Cloudflare puede utilizarse junto con la protección contra bots de Kinsta, siempre que no actives las funciones WAF o de protección contra bots de Cloudflare. Cuando ambas están activadas, Cloudflare evalúa primero el tráfico. Cualquier solicitud bloqueada en esa capa nunca llegará a Kinsta, lo que significa que la protección contra bots de Kinsta sólo se aplica al tráfico que pasa a través de Cloudflare.

No recomendamos combinar la protección contra bots de Kinsta con reglas de protección contra bots personalizadas adicionales. Ejecutar múltiples capas de protección contra bots puede dar lugar a clasificaciones conflictivas, en las que el tráfico legítimo puede ser marcado incorrectamente como bots y bloqueado. En algunos casos, esto puede interrumpir el tráfico normal o incluso impedir por completo el acceso a tu sitio.

La protección contra bots de Kinsta no puede utilizarse con plataformas de terceros como AWS, Microsoft Azure, Sucuri, Fortinet, otra CDN o una configuración de proxy inverso. Esto se debe a que no se puede identificar de forma fiable la fuente original del tráfico y, por tanto, no se puede determinar si la solicitud es automatizada o humana.

Protección contra bots de Kinsta y reglas WAF personalizadas

Si tienes reglas WAF personalizadas configuradas a través del Soporte de Kinsta y estás utilizando la protección contra bots, ambas capas se aplicarán al tráfico entrante. En la mayoría de los casos, se evalúan primero las reglas gestionadas de Kinsta. Si una solicitud coincide con una de estas reglas (permitir, bloquear o cuestionar), se aplica esa acción. Si no, entonces se evalúan tus reglas personalizadas y aún pueden permitir o bloquear la solicitud. Si una regla personalizada está configurada para ejecutarse antes que las reglas de Kinsta, puede anularlas. Por ejemplo, una regla que permita todo el tráfico y eluda la WAF impediría que se aplicaran la protección contra bots y las reglas administradas de Kinsta. Si necesitas más información sobre las reglas WAF personalizadas aplicadas a tu sitio o quieres personalizar tus reglas y excepciones, ponte en contacto con nuestro Equipo de Soporte.

Cambiar el nivel de protección contra bots

Para cambiar tu nivel de protección contra bots, ve a Sitios > nombre del sitio > Protección contra bots, dentro de Nivel de protección, haz clic en Cambiar. También puedes cambiar el nivel de protección de varios sitios simultáneamente. Dentro de Sitios, selecciona los sitios necesarios y luego haz clic en Acciones > Cambiar protección contra bots.

A continuación, puedes elegir entre los siguientes:

• Bloqueo de tráfico malicioso: Esta es la protección predeterminada que ofrece Kinsta. El tráfico malicioso se bloquea automáticamente en todos los sitios web como parte de la protección de seguridad básica de Kinsta. Esto incluye la mitigación de ataques DDoS y reglas globales para direcciones IP y endpoints utilizados exclusivamente por tráfico malicioso.
• Bloquea automatizaciones: Bloquea tanto el tráfico automatizado como el malicioso.
• Desafiar bots: Bloquea el tráfico automatizado y malicioso, y desafía a los bots probables y al tráfico no clasificado.
• Desafía a todos: Este es el nivel más alto de protección. Bloquea el tráfico automatizado y malicioso, y desafía a los humanos probables, a los bots y al tráfico no clasificado.

Los iconos de cada sección representan lo siguiente:

• Permitir: Este tráfico está permitido sin desafíos.
• Desafío: Este tráfico es desafiado y sólo se permite si supera el desafío.
• Bloquear: Este tráfico está bloqueado.

Una vez seleccionado el nivel de protección, haz clic en Cambiar nivel de protección.

Bloquear rastreadores AI

Un rastreador de IA es un bot que escanea y recopila contenido de sitios web para ser procesado por sistemas de IA. Son similares a los rastreadores tradicionales de los motores de búsqueda, pero en lugar de limitarse a indexar páginas para los resultados de búsqueda, recopilan datos para entrenar, analizar o alimentar modelos de IA.

Algunos rastreadores de IA se identifican claramente a sí mismos y su propósito cuando acceden a tu sitio, como los bots verificados por Cloudflare y GPTBot. Otros pueden generar un tráfico significativo realizando peticiones frecuentes, incluso a activos no almacenados en caché, lo que puede afectar al rendimiento del sitio.

La protección contra bots de Kinsta te permite bloquear por completo los rastreadores de IA, incluidos los rastreadores verificados. Esto solo bloquea los rastreadores de IA; no incluye los rastreadores de motores de búsqueda como GoogleBot y Bing.

Esto puede ser útil para solucionar problemas de grandes volúmenes de tráfico o problemas de rendimiento, ya que te ayuda a determinar si los responsables son los robots. Sin embargo, bloquear los rastreadores puede afectar a la forma en que tu sitio aparece en los resultados de las búsquedas. Algunos rastreadores son utilizados por los motores de búsqueda para indexar tu contenido, mientras que otros son utilizados por herramientas de IA que pueden hacer aparecer tu contenido en experiencias de búsqueda, resúmenes o recomendaciones.

Bloquear estos robots puede reducir el tráfico no deseado y la carga del servidor, pero también puede limitar la visibilidad de tu sitio en los motores de búsqueda y en los resultados impulsados por IA. Por esta razón, cualquier cambio debe hacerse con cuidado y supervisarse para comprender su impacto en tu tráfico y rendimiento SEO.

Para bloquear los rastreadores de IA, dentro de Sitios > nombre del sitio > Protección de bots, haz clic en el control deslizante Bloquear rastreadores de IA. También puedes bloquear rastreadores de IA para varios sitios simultáneamente. En Sitios, selecciona los sitios necesarios y haz clic en Acciones > Cambiar bloqueo de rastreadores de IA.