El 99% de tu tráfico web son bots — y no son los que esperas

Un webmaster publicó en Hacker News su hallazgo impactante: el 99% de todo el tráfico de su sitio eran bots. No crawlers de Google, no spiders de Bing. Bots maliciosos, scrapers de IA y bots de spam que consumen ancho de banda, inflan métricas y destruyen la experiencia real del usuario.

Y su historia no es un caso aislado. Según el reporte más reciente de Thales, los bots ahora representan casi el 50% de todo el tráfico de internet a nivel global. Casi la mitad de lo que se mueve en la red no son personas.

Los números que nadie quiere ver

El reporte de SC Media lo dice sin rodeos: el 49% de toda la actividad online son bots, y el 99% de esos bots son no deseados. Es decir, de cada 100 visitas a tu sitio web, aproximadamente 50 son máquinas, y de esas 50, 49 están ahí para algo que no te conviene.

¿Qué hacen estos bots exactamente? Scraping de contenido para entrenar modelos de IA es la causa #1. Cada vez que publicas un artículo, un bot de OpenAI, Google o Anthropic puede estar descargándolo completo para entrenar al siguiente LLM. También hay bots quesimulan clics en anuncios (ad fraud), bots que inflan métricas de redes sociales, y bots que probean vulnerabilidades de seguridad.

El dueño de patronview.com lo describió con una frase demoledora: publicó su sitio, compartió el enlace en un par de foros, y al día siguiente tenía 10,000 visitas. Parecía exitoso. Hasta que revisó los logs y descubrió que 9,900 de esas visitas eran bots.

Cómo detectar si tu sitio tiene el mismo problema

La primera señal es obvia pero la ignoramos: si tu sitio tiene tráfico alto pero las métricas de engagement son pésimas — tiempo en página bajo, bounce rate altísimo, cero comentarios, cero conversiones — probablemente estás mirando bots, no personas.

Herramientas como Google Analytics 4 pueden filtrar bots conocidos, pero los bots modernos se saltan esos filtros como si fueran papel de cocina. Usan headless browsers, rotan IPs,simulan user agents, y ejecutan JavaScript real. Los CAPTCHAs tradicionales ya no funcionan — un reporte de Ars Technica demostró que los bots de IA ahora resuelven el 100% de los CAPTCHAs de imagen.

La solución más efectiva hoy es Cloudflare Bot Management o Cloudflare Turnstile (gratuito), que usa ML para distinguir tráfico humano de bot. Para sitios pequeños, la versión gratuita de Cloudflare ya bloquea la mayoría de bots maliciosos.

¿Por qué debería importarte esto?

Si tienes un blog, una tienda online o cualquier presencia digital, el tráfico de bots infla tus métricas artificialmente. Piensas que tu sitio va bien cuando en realidad estás hablando con paredes de código. Peor aún: los bots maliciosos pueden robar tu contenido, enumerar tus usuarios, o inyectar scripts en tu sitio.

Para los anunciantes, es un desastre multimillonario. El ad fraud mueve miles de millones de dólares al año — empresas pagan por impresiones que nunca vio un ser humano. Y para los desarrolladores de IA, el scraping masivo de contenido está creando una crisis decopyright que nadie sabe cómo resolver.

La paradoja de la era de los bots

Vivimos en una era donde la infraestructura de internet fue diseñada para humanos pero está siendo consumida por máquinas. Googleindex es un bot. Los crawlers de Bing son bots. Los spiders de Archive.org son bots. Pero también lo son los scrapers de IA, los spambots y los bots de fraude publicitario.

La diferencia entre un bot "bueno" y uno "malo" se reduce a una pregunta: ¿está aportando algo al ecosistema o solo extrayendo valor? Googlebot indexa tu contenido para que la gente te encuentre. El scraper de IA descarga tu artículo para entrenar un modelo que competirá contigo.

Qué puedes hacer ahora mismo

Si tienes un sitio web, estos son los pasos inmediatos:

1. Activa Cloudflare (gratuito) — La barrera de entrada más fácil. Turnstile reemplaza los CAPTCHAs y bloquea la mayoría de bots sin afectar a usuarios reales.

2. Revisa tus métricas reales — Compara tráfico total vs. sesiones de usuarios reales en GA4. Si la brecha es mayor al 40%, tienes un problema serio de bots.

3. Configura robots.txt agresivo — Bloquea los user agents de scrapers de IA conocidos. No es infalible (los bots maliciosos ignoran robots.txt), pero reduce el scraping casual.

4. Usa honeypots — Links invisibles en tu HTML que solo un bot seguiría. Si alguien clickea tu honeypot, es un bot — banealo inmediatamente.

La guerra entre humanos y bots por el control de internet apenas comienza. Y por ahora, los bots van ganando.

¿Tu sitio web también está siendo invadido por bots? ¿Has revisado tus métricas últimamente? Cuéntame en los comentarios 👇

Comparte esto con alguien que todavía cree que su tráfico web son personas reales.