Seg\u00fan Daniel Pataki, director t\u00e9cnico de Kinsta: \u00abDesde el punto de vista de la infraestructura, no existe eso de \u201csolo tr\u00e1fico de bots\u201d\u00bb. \u00abCada solicitud supone un trabajo real. A gran escala, el rastreo ineficiente deja de ser un problema de tr\u00e1fico y se convierte en un problema de recursos\u00bb.<\/p>\n
Este art\u00edculo explica por qu\u00e9 se produjo ese cambio, cu\u00e1nto les cuesta realmente a los propietarios de sitios de WordPress y c\u00f3mo debe cambiar la narrativa.<\/p>\n
El modelo antiguo ya no funciona<\/h2>\n
La gesti\u00f3n tradicional de los bots se basaba en una premisa sencilla: bloquear los malos y dejar pasar a los buenos. Durante a\u00f1os, eso fue suficiente. Googlebot rastreaba tus p\u00e1ginas, indexaba tu contenido y segu\u00eda su camino. Los bots maliciosos intentaban colarse en tu p\u00e1gina de inicio de sesi\u00f3n. Dos problemas muy diferentes, dos soluciones muy diferentes.<\/p>\n
Lo que ninguno de los dos modelos ten\u00eda en cuenta era una tercera categor\u00eda: el tr\u00e1fico automatizado que no es malicioso ni est\u00e1 bloqueado, pero que est\u00e1 causando un perjuicio cuantificable en el rendimiento de tu sitio a gran escala.<\/p>\n
Los rastreadores de IA<\/a>, que son bots dise\u00f1ados no solo para indexar p\u00e1ginas para los resultados de b\u00fasqueda, sino tambi\u00e9n para recopilar contenido destinado al entrenamiento de modelos, la generaci\u00f3n aumentada por recuperaci\u00f3n y las consultas de los usuarios en tiempo real, operan a una escala totalmente diferente a la de sus predecesores. Solo GPTBot creci\u00f3 un 305 % entre mayo de 2024 y mayo de 2025. A principios de 2025, aproximadamente una de cada 200 visitas a la web era de un bot de IA. A finales de a\u00f1o, esa proporci\u00f3n hab\u00eda pasado a ser de una de cada 31.<\/p>\n A finales de 2025, los rastreadores de IA representaban el 4,2 % de todas las solicitudes HTML en la red de Cloudflare, una cifra que oscil\u00f3 entre el 2,4 % a principios de abril y el 6,4 % a finales de junio, casi triplic\u00e1ndose en un a\u00f1o.<\/p>\n Estos rastreadores son persistentes y frecuentes, y no se comportan como los bots tradicionales de los motores de b\u00fasqueda. Muchos generan grandes vol\u00famenes de solicitudes a endpoints din\u00e1micos que no est\u00e1n almacenados en cach\u00e9, lo que supone un \u00abtrabajo de verdad\u00bb para tu servidor.<\/p>\n Aqu\u00ed es donde se hace evidente el problema de la infraestructura, y es un aspecto que suele pasarse por alto en la mayor\u00eda de los an\u00e1lisis sobre el tr\u00e1fico de bots.<\/p>\n Cuando un visitante carga una p\u00e1gina almacenada en cach\u00e9 en un sitio de WordPress, tu servidor apenas hace nada. Devuelve un archivo HTML<\/a> ya generado, igual que har\u00eda al servir una imagen o un archivo CSS<\/a>. El servidor de origen apenas se da cuenta. De eso se trata el almacenamiento en cach\u00e9.<\/p>\n Pero una parte importante de las solicitudes en un sitio web real de WordPress, y en las tiendas de WooCommerce en particular, no se pueden servir desde la cach\u00e9. Estas solicitudes incluyen:<\/p>\n Cuando un bot accede a estos endpoints, esto es lo que ocurre realmente en tu servidor:<\/p>\n Este es el mecanismo por el que el tr\u00e1fico de bots se convierte en un problema de infraestructura. No es algo te\u00f3rico. Es la cadena concreta de acontecimientos que se produce cuando las solicitudes automatizadas inundan los endpoints din\u00e1micos de una p\u00e1gina de WordPress en funcionamiento.<\/p>\n Lo abstracto se vuelve concreto cuando analizas datos reales de la infraestructura que gestionamos a gran escala.<\/p>\n Un dato que nos ha llamado especialmente la atenci\u00f3n es que un solo bot (ClaudeBot) gener\u00f3 3,75 millones de solicitudes de a\u00f1adir al carrito en un plazo de 24 horas.<\/strong> Eso supone aproximadamente una solicitud cada 23 milisegundos (d\u00eda y noche), y el servidor las trata a todas como solicitudes nuevas porque los endpoints del carrito son din\u00e1micos por naturaleza.<\/p>\n Para ponerte esto en contexto: las solicitudes de a\u00f1adir al carrito est\u00e1n entre los endpoints m\u00e1s costosos que tiene una tienda de WooCommerce. Crean sesiones, ejecutan consultas y actualizan el estado del carrito. Cada una supone un trabajo de verdad. Los 3,75 millones de solicitudes que vimos procedentes de una sola fuente en un d\u00eda es el tipo de patr\u00f3n de tr\u00e1fico que puede dejar un sitio fuera de servicio.<\/p>\n Un segundo dato subraya lo persistentes que pueden ser estos patrones: un bucle defectuoso gener\u00f3 550 millones de solicitudes en 30 d\u00edas<\/strong>, suficiente tr\u00e1fico como para justificar su propia regla de mitigaci\u00f3n dedicada en nuestra infraestructura. No se trata de un ataque DDoS ni de una campa\u00f1a de malware, sino de un bot atascado en un bucle de rastreo, que solicita una y otra vez URLs que ya ha visitado.<\/p>\n No son casos aislados. Son patrones que observamos en toda nuestra plataforma.<\/p>\n Uno de los aspectos m\u00e1s subestimados del problema actual del tr\u00e1fico de bots es que la mayor parte de lo que causa da\u00f1os en la infraestructura no tiene nada de malicioso. Se trata de una automatizaci\u00f3n ineficaz a gran escala.<\/p>\n Los sitios web modernos, sobre todo las tiendas online, generan URLs ligeramente diferentes para lo que, en esencia, es la misma p\u00e1gina:<\/p>\n Para un humano, todas estas son \u00abla misma p\u00e1gina\u00bb. Para un bot que sigue las URL, cada una parece una p\u00e1gina nueva que rastrear.<\/p>\n As\u00ed que el bot sigue el primer enlace. Esa p\u00e1gina genera otra variante de la URL, a la que el bot sigue. Luego otra. Y otra m\u00e1s. No tiene ning\u00fan mecanismo para darse cuenta de que est\u00e1 dando vueltas en c\u00edrculo, y algunos de estos bucles pasaron desapercibidos en la infraestructura supervisada durante varios d\u00edas antes de que las reglas de mitigaci\u00f3n los detectaran.<\/p>\n En el informe sobre tr\u00e1fico de IA y bots que publicamos hace poco, David Belson<\/a>, antiguo jefe de An\u00e1lisis de Datos en Cloudflare, coment\u00f3: \u00abHay gente que ayer no ten\u00eda ni idea de lo que estaba haciendo, pero hoy ha programado un bot sobre la marcha y lo ha soltado. Ni siquiera se molestan en consultar el archivo Este comportamiento no siempre viene de gente con malas intenciones. Viene de sistemas de rastreo basados en IA que no se dise\u00f1aron teniendo en cuenta la navegaci\u00f3n por facetas, la proliferaci\u00f3n de par\u00e1metros en las URLs o las URLs generadas por sesi\u00f3n, que son funcionalidades habituales en los sitios web modernos de WordPress.<\/p>\n El propio Google identifica expl\u00edcitamente la navegaci\u00f3n por facetas<\/a> y las URLs basadas en par\u00e1metros como una fuente de ineficiencia en el rastreo, se\u00f1alando que los bots pueden explorar variaciones casi infinitas de la misma p\u00e1gina.<\/p>\n Hasta hace poco, muchos planes de alojamiento se dimensionaban en funci\u00f3n del n\u00famero de visitas, lo que funcionaba razonablemente bien como indicador del uso real por parte de personas. Se part\u00eda de la base de que las visitas se correspond\u00edan, m\u00e1s o menos, con el n\u00famero de personas que interactuaban con tu sitio.<\/p>\n Esa suposici\u00f3n ya no se sostiene.<\/p>\n El tr\u00e1fico automatizado ha inflado las cifras de visitas de una forma que poco tiene que ver con la actividad real del negocio. Las solicitudes de los bots pueden generar visitas sin que eso se traduzca en interacci\u00f3n, conversiones o ingresos. Los propietarios de las p\u00e1ginas web recib\u00edan avisos de sobreconsumo en los planes basados en visitas debido a la actividad de los bots, algo que no pod\u00edan controlar y que no hab\u00edan solicitado.<\/p>\n Esto qued\u00f3 tan claro como patr\u00f3n sist\u00e9mico que Kinsta lanz\u00f3 planes de alojamiento basados en el ancho de banda<\/a> como respuesta directa a un tipo de sitios web cuyas m\u00e9tricas de visitas hab\u00edan empezado a desviarse significativamente de su consumo real de recursos. Si las visitas de un sitio web aumentaban pero el ancho de banda no segu\u00eda el ritmo, eso casi siempre era se\u00f1al de que hab\u00eda bots. Pasar a un modelo basado en el ancho de banda desvincul\u00f3 de forma efectiva la facturaci\u00f3n de una m\u00e9trica que los bots hab\u00edan aprendido a inflar.<\/p>\n El problema de la facturaci\u00f3n es cuantificable y se puede solucionar. Lo m\u00e1s complicado es que la mayor\u00eda de los propietarios de sitios web no se dan cuenta de que esto est\u00e1 pasando porque sus paneles de control no muestran el panorama completo.<\/p>\n Una de las consecuencias del tr\u00e1fico de bots a esta escala es que las herramientas de anal\u00edtica est\u00e1ndar ya no son una fuente fiable para conocer el rendimiento real de tu sitio web.<\/p>\n Si tus cifras de visitas est\u00e1n subiendo, pero los ingresos, el tiempo de permanencia en la p\u00e1gina y la tasa de rebote no var\u00edan en la misma proporci\u00f3n, es probable que los bots tengan algo que ver. Si tu servidor muestra una disminuci\u00f3n del rendimiento que no se corresponde con los picos de tr\u00e1fico que cabr\u00eda esperar por el contenido o las acciones de marketing, merece la pena investigar el tr\u00e1fico de bots hacia endpoints sin cach\u00e9.<\/p>\n Kinsta filtra autom\u00e1ticamente los agentes de usuario de bots conocidos de las estad\u00edsticas y de los c\u00e1lculos de uso del plan. Pero el tr\u00e1fico automatizado que se asemeja mucho al comportamiento humano puede seguir apareciendo en tus m\u00e9tricas.<\/p>\n Los patrones a los que debes prestar atenci\u00f3n:<\/p>\n Ninguno de estos factores es concluyente por s\u00ed solo, pero cualquier combinaci\u00f3n de ellos justifica una investigaci\u00f3n antes de atribuir las cifras al crecimiento del negocio.<\/p>\n Lo m\u00e1s habitual cuando te enfrentas a datos de tr\u00e1fico de bots es bloquearlo todo. Otros quiz\u00e1 lo permitan todo, porque \u00abla IA es el futuro\u00bb.<\/p>\n \u00a1Ninguna de las dos opciones funciona!<\/p>\n Bloquear sin distinci\u00f3n significa bloquear rastreadores verificados, incluido Googlebot, cuya cobertura de rastreo determina si tu contenido aparece o no en los resultados de b\u00fasqueda. Significa bloquear los bots de descubrimiento de IA que podr\u00edan estar mostrando tu contenido en resultados de b\u00fasqueda conversacional, recomendaciones basadas en IA o motores de respuestas. Para una tienda de WooCommerce<\/a> o un editor de contenido, eso supone un coste de distribuci\u00f3n significativo.<\/p>\n Permitir todo significa asumir costes de infraestructura que no generan ning\u00fan beneficio. Y en el caso de los endpoints din\u00e1micos, que suelen ser los m\u00e1s afectados por los bots, esos costes no son insignificantes. Se acumulan y se multiplican, sobre todo bajo una carga automatizada constante.<\/p>\n La respuesta real est\u00e1 en alg\u00fan punto intermedio, y requiere entender las diferencias entre las categor\u00edas de tr\u00e1fico en lugar de tratar a todos los bots como si fueran lo mismo.<\/p>\n Como coment\u00f3 Cristian L\u00f3pez, editor jefe de HostingAdvice, en el informe<\/a>: \u00abEl error es pensar que el tr\u00e1fico de bots es un simple problema de \u201cbloquear o permitir\u201d. En realidad, se trata de pol\u00edtica, visibilidad y control econ\u00f3mico\u00bb.<\/p>\n Por lo general, se deber\u00eda permitir el acceso a los bots verificados, como Googlebot, Bing y las herramientas de monitorizaci\u00f3n leg\u00edtimas, aunque se pueden aplicar restricciones de ruta a los endpoints que no aporten nada al rastreo (tu p\u00e1gina de pago, por ejemplo, no contribuye en nada a tu posicionamiento en los buscadores). Los bots no verificados que no tengan informaci\u00f3n identificativa ni un prop\u00f3sito claro merecen m\u00e1s atenci\u00f3n. Los rastreadores de entrenamiento de IA que generan un gran volumen de solicitudes a endpoints din\u00e1micos constituyen una categor\u00eda espec\u00edfica que puede justificar el bloqueo o la limitaci\u00f3n de la tasa de solicitudes, dependiendo del tipo de tu sitio web y de tus prioridades.<\/p>\n En nuestro informe sobre tr\u00e1fico de IA y bots<\/a>, hemos creado un framework interactivo que te gu\u00eda por el enfoque adecuado para cada tipo de sitio web. El ejemplo que aparece a continuaci\u00f3n muestra la configuraci\u00f3n recomendada para una tienda de WooCommerce, centrada en el rendimiento y la estabilidad del sitio:<\/p>\n Ese tipo de control matizado y que tiene en cuenta las categor\u00edas es precisamente lo que la mayor\u00eda de las herramientas existentes no te ofrecen.<\/p>\n Lo que hemos creado con la protecci\u00f3n contra bots de Kinsta<\/a> se dise\u00f1\u00f3 espec\u00edficamente para hacer frente a los retos de infraestructura que hemos descrito anteriormente.<\/p>\n El sistema clasifica el tr\u00e1fico<\/a> en categor\u00edas como bots verificados, probablemente humanos, probablemente bots, tr\u00e1fico automatizado y tr\u00e1fico malicioso, y te permite establecer niveles de protecci\u00f3n que se adapten a las necesidades reales de tu sitio web.<\/p>\n Los niveles no son binarios. La opci\u00f3n \u00abBloquear automatizaciones\u00bb se centra en el tr\u00e1fico automatizado confirmado, sin afectar a los bots verificados. \u00abDesafiar a los bots\u00bb a\u00f1ade un paso de verificaci\u00f3n para las automatizaciones no verificadas sin molestar a los visitantes leg\u00edtimos. La opci\u00f3n \u00abDesafiar a todos\u00bb est\u00e1 disponible para periodos de gran presi\u00f3n de tr\u00e1fico, pero tiene las desventajas que cabr\u00eda esperar.<\/p>\n Lo m\u00e1s importante es que la herramienta se basa en el sistema de puntuaci\u00f3n de bots de nivel empresarial de Cloudflare, una clasificaci\u00f3n en tiempo real basada en aprendizaje autom\u00e1tico que asigna a cada visitante una puntuaci\u00f3n del 1 al 99 seg\u00fan se\u00f1ales de comportamiento, y no solo seg\u00fan las cadenas de agente de usuario. Esto es importante porque la simple comparaci\u00f3n de agentes de usuario es cada vez menos eficaz, ya que el 12,9 % de los bots de IA ahora ignoran las directivas Tambi\u00e9n hay un sistema de excepciones Permitir Siempre<\/a> para integraciones de confianza, servicios de monitorizaci\u00f3n y automatizaciones cr\u00edticas para el negocio que no deber\u00edan verse afectadas por las reglas de protecci\u00f3n, ya que el bloqueo excesivo tambi\u00e9n supone un coste real, sobre todo para las tiendas de WooCommerce que dependen de la sincronizaci\u00f3n autom\u00e1tica de pedidos, las integraciones con pasarelas de pago o los monitores de disponibilidad.<\/p>\n El interruptor para bloquear los rastreadores de IA<\/a> se centra espec\u00edficamente en los bots de entrenamiento de IA sin afectar a los rastreadores de los motores de b\u00fasqueda, como Googlebot o Bingbot. Para los sitios web que hayan identificado la actividad de los rastreadores de IA como un factor que mejora el rendimiento, esta es una medida de mitigaci\u00f3n que se aplica en un solo paso y que no requiere configurar reglas individuales.<\/p>\n Una cosa es saber que la herramienta existe. Otra muy distinta es saber cu\u00e1ndo y c\u00f3mo usarla.<\/p>\n Si observas los patrones descritos anteriormente, aqu\u00ed tienes un punto de partida pr\u00e1ctico, ordenado por impacto:<\/p>\n Primero: verifica la fuente.<\/strong> Usa el gr\u00e1fico de desglose de solicitudes<\/a> en la vista de protecci\u00f3n contra bots de MyKinsta para entender c\u00f3mo se clasifica el tr\u00e1fico de tu sitio web.<\/p>\n Si una parte importante es automatizada o no verificada, esa es tu se\u00f1al para actuar. No te saltes este paso, ya que realizar cambios en la protecci\u00f3n sin saber contra qu\u00e9 te est\u00e1s protegiendo lleva a configuraciones err\u00f3neas.<\/p>\n Segundo: adapta el nivel de protecci\u00f3n al tipo de sitio.<\/b> Una tienda de WooCommerce tiene prioridades distintas que un sitio de publicaci\u00f3n de contenidos, que a su vez tiene otras prioridades que un entorno de staging. Bloquear el tr\u00e1fico automatizado y poner trabas a los posibles bots tiene sentido para una tienda con puntos de acceso din\u00e1micos. Un sitio de contenidos podr\u00eda dar prioridad a permitir el acceso a los bots de descubrimiento de IA, mientras que bloquear\u00eda los rastreadores de entrenamiento de IA. En cualquier caso, un entorno de staging deber\u00eda estar totalmente bloqueado.<\/p>\n Tercero: protege primero las rutas m\u00e1s costosas.<\/b> Antes de aplicar reglas de protecci\u00f3n generales, piensa si tus endpoints m\u00e1s costosos, como el carrito, la proceso de pago y los controladores AJAX, son accesibles para rastreadores que no tienen por qu\u00e9 estar ah\u00ed. Bloquear los user-agents de bots conocidos en Cuarto: monitoriza y luego ajusta.<\/b> Los patrones de tr\u00e1fico de los bots cambian m\u00e1s r\u00e1pido de lo que la mayor\u00eda de los propietarios de sitios web se dan cuenta. La cuota de tr\u00e1fico de GPTBot se triplic\u00f3 en solo un a\u00f1o. Establecer reglas de protecci\u00f3n una vez y olvidarte de ellas no es una estrategia. El gr\u00e1fico de resultados de protecci\u00f3n contra bots<\/a> de MyKinsta muestra lo que se bloquea, se revisa y se permite a lo largo del tiempo.<\/p>\n Estos datos deber\u00edan servirte de gu\u00eda a la hora de ajustar tu configuraci\u00f3n.<\/p>\n Si los bots est\u00e1n superando el l\u00edmite de visitas en un plan basado en visitas, quiz\u00e1 tambi\u00e9n te interese revisar los planes de alojamiento basados en ancho de banda<\/a> de Kinsta. Cambiar a un plan basado en ancho de banda no resuelve el problema subyacente de los bots, pero puede reflejar mejor el coste real de infraestructura de tu composici\u00f3n de tr\u00e1fico, que suele ser bastante m\u00e1s bajo de lo que sugieren los recuentos de visitas.<\/p>\n El tr\u00e1fico de agentes ya est\u00e1 apareciendo en los registros de la infraestructura. Google ha anunciado un agente de usuario espec\u00edfico<\/a> para cuando sus agentes de IA interact\u00faen con los sitios web. Se trata de sistemas automatizados que hacen clic en enlaces, rellenan formularios y realizan solicitudes que se parecen cada vez m\u00e1s al comportamiento de una sesi\u00f3n humana.<\/p>\n Las se\u00f1ales que ahora mismo sirven para clasificar los bots, como las cadenas de agente de usuario, la frecuencia de las solicitudes y la puntuaci\u00f3n de comportamiento, se vuelven m\u00e1s dif\u00edciles de aplicar con claridad a medida que la l\u00ednea entre la interacci\u00f3n automatizada y la humana se difumina cada vez m\u00e1s.<\/p>\nQu\u00e9 significa \u00abtrabajo de verdad\u00bb para un sitio de WordPress<\/h2>\n
\n
?add-to-cart=<\/code>, \/cart<\/code>, \/checkout<\/code>)<\/li>\n\n
![\"C\u00f3mo](\"https:\/\/kinsta.com\/wp-content\/uploads\/2026\/05\/how-bot-talk-to-server.png\")
Lo que realmente muestran los datos de infraestructura de Kinsta<\/h2>\n
![\"7,67](\"https:\/\/kinsta.com\/wp-content\/uploads\/2026\/05\/bots-hit-add-to-cart-url.png\")
El problema del bucle: los bots no est\u00e1n atacando, est\u00e1n atascados<\/h2>\n
\n
![\"Los](\"https:\/\/kinsta.com\/wp-content\/uploads\/2026\/05\/bot-causing-loop-problem.png\")
robots.txt<\/code>\u00ab.<\/p>\nLa factura del servidor ahora es un problema de gesti\u00f3n de bots<\/h2>\n
![\"Planes](\"https:\/\/kinsta.com\/wp-content\/uploads\/2026\/05\/kinsta-bandwidth-hosting-plans.png\")
Lo que tus estad\u00edsticas te dicen (y lo que no te dicen)<\/h2>\n
\n
Por qu\u00e9 este problema es m\u00e1s complicado de lo que parece<\/h2>\n
![\"Framework](\"https:\/\/kinsta.com\/wp-content\/uploads\/2026\/05\/ai-bot-traffic-report-decision-framework.png\")
El enfoque de protecci\u00f3n contra bots de Kinsta<\/h2>\n
![\"Niveles](\"https:\/\/kinsta.com\/wp-content\/uploads\/2026\/05\/bot-protection-levels-mykinsta.png\")
robots.txt<\/code>, frente al 3,3 % de tan solo un trimestre antes. La clasificaci\u00f3n basada en el comportamiento detecta lo que se les escapa a las reglas basadas en el agente de usuario.<\/p>\n![\"Permitir](\"https:\/\/kinsta.com\/wp-content\/uploads\/2026\/05\/always-allow-exception-bot-protection-mykinsta.png\")
![\"Bloquea](\"https:\/\/kinsta.com\/wp-content\/uploads\/2026\/05\/mykinsta-bot-protection-ai-crawlers.png\")
Qu\u00e9 hacer si el tr\u00e1fico de bots es tu problema<\/h2>\n
![\"Gr\u00e1fico](\"https:\/\/kinsta.com\/wp-content\/uploads\/2026\/05\/bot-request-breakdown-mykinsta.png\")
\/cart<\/code> y ?add-to-cart=<\/code> a trav\u00e9s de robots.txt<\/code> es un buen punto de partida; pero aplicarlo a nivel del WAF (y no solo indicarlo) es lo que realmente evita la sobrecarga.<\/p>\n![\"Gr\u00e1fico](\"https:\/\/kinsta.com\/wp-content\/uploads\/2026\/05\/bot-protection-results.png\")
El panorama general: este problema se va a complicar<\/h2>\n