El tráfico de bots es tráfico no humano a un sitio web. Si bien parte del tráfico de bots es beneficioso, el tráfico abusivo de bots puede ser muy perjudicial.
Después de leer este artículo podrás:
Contenido relacionado
¿Qué es un bot?
¿Qué es la gestión de bots?
¿Qué es el relleno de credenciales?
¿Qué es la apropiación de contenidos?
Apropiación de datos
Suscríbete a theNET, el resumen mensual de Cloudflare sobre las ideas más populares de Internet.
Copiar el enlace del artículo
El tráfico de bots describe todo tráfico no humano a un sitio web o una aplicación. El término tráfico de bots suele tener una connotación negativa, pero en realidad no necesariamente es bueno o malo; todo depende del propósito que tengan los bots y las preferencias del operador del sitio web.
Algunos bots son esenciales para servicios útiles como los motores de búsqueda y asistentes digitales (por ejemplo, Siri y Alexa). La mayoría de las empresas aceptan este tipo de bots en sus sitios.
Otros bots pueden ser maliciosos; por ejemplo, los que se utilizan para el relleno de credenciales, la extracción de datos y el lanzamiento de ataques DDoS. Incluso algunos de los bots "malos" más benignos, como los rastreadores web no autorizados, son una molestia, ya que pueden interrumpir el análisis del sitio y generar fraude de clics.
Se cree que más del 40 % de todo el tráfico de Internet corresponde a bots, y gran parte de ellos son maliciosos. Por ese motivo, muchas organizaciones están buscando formas de administrar el tráfico de bots que llega a sus sitios.
Los ingenieros web pueden ver directamente las solicitudes de red a sus sitios e identificar el posible tráfico de bots. Una herramienta de análisis web integrada, como Google Analytics o Heap, también puede ayudar a detectar el tráfico de bots.
Las siguientes anomalías de análisis son características del tráfico de bots:
Como se mencionó anteriormente, el tráfico de bots no autorizado puede incidir en las métricas de análisis, como visualizaciones de páginas, tasa de rebote, duración de la sesión, geolocalización de usuarios y conversiones. Estas desviaciones en las métricas son motivo de frustración para el propietario del sitio, ya que resulta muy difícil medir el rendimiento de un sitio que se inunda con actividad de bots. Los intentos por mejorar el sitio, como las pruebas A/B y la optimización de la tasa de conversión, también se ven interrumpidos por el ruido estadístico que generan los bots.
Google Analytics ofrece una opción para "excluir todos los resultados de arañas y bots conocidos" (las arañas son bots de motores de búsqueda que rastrean páginas web). Si se puede identificar la fuente del tráfico de bots, los usuarios también pueden proporcionar una lista específica de IP que Google Analytics debe ignorar.
Si bien estas medidas evitarán que algunos bots afecten el análisis, no pueden detenerlos a todos. Por otro lado, la mayoría de los bots maliciosos persiguen un objetivo que va más allá de interrumpir el análisis del tráfico, y aunque estas medidas preservan los datos de análisis, no mitigan la actividad perjudicial de los bots.
El envío de grandes cantidades de tráfico de bots es una método muy común con el que los atacantes inician un ataque DDoS. En algunos tipos de ataques DDoS, se envía una gran cantidad de tráfico de ataque a un sitio web, que sobrecarga el servidor de origen y hace que el sitio se vuelva lento o totalmente inaccesible para los usuarios legítimos.
Algunos sitios web pueden perjudicarse financieramente por el tráfico malicioso de bots, incluso si su rendimiento no se ve afectado. Los sitios que dependen de la publicidad y los que venden productos con inventario limitado son particularmente vulnerables.
Los bots que aterrizan en sitios que publican anuncios y hacen clic en varios elementos de la página pueden generar clics falsos en la publicidad, lo que se conoce como fraude de clics. Si bien al principio esto puede generar un aumento en los ingresos por anuncios, las redes de publicidad en línea son muy buenas para detectar clics de bots. Si sospechan que un sitio web está cometiendo fraude de clics, tomarán medidas, que generalmente implican prohibir que el sitio y su propietario accedan a su red. Por esta razón, los propietarios de sitios que alojan anuncios deben ser cautelosos ante el fraude de clics de bots.
Los sitios con inventario limitado pueden ser un objetivo de los bots de acumulación de inventario. Como su nombre lo indica, estos bots se dirigen a sitios de comercio electrónico y colocan toneladas de productos en sus carritos de compras, lo que hace que esas mercancías dejen de estar disponibles para la compra por parte de compradores legítimos. En algunos casos, esto también puede hacer que el proveedor o fabricante realice una reposición innecesaria del inventario. Los bots que acumulan inventario nunca hacen compras, sino que están diseñados simplemente para afectar la disponibilidad del inventario.
Muchos sitios web apuestan por crear contenido propio para atraer usuarios y monetizar ese tráfico, a veces con publicidad. El aumento en el uso de las herramientas de IA en la década de 2020 ha tenido un impacto negativo en esos modelos de negocio. Las herramientas de IA utilizan contenido original de la web para entrenar sus modelos lingüísticos de gran tamaño (LLM), crear índices de búsqueda que se conectan con esos modelos y recuperar contenido en tiempo real en respuesta a las instrucciones del usuario. Es posible que los usuarios que reciben respuestas de los LLM nunca visiten los sitios web en los que se basó ese contenido. Los bots rastreadores de IA que recopilan contenido original también pueden generar costos directos para los administradores de sitios web, ya que suelen enviar una gran cantidad de solicitudes a sus páginas.
El primer paso para detener o gestionar el tráfico de bots a un sitio web es que un administrador del sitio web establezca sus preferencias en un archivo robots.txt. Los archivos robots.txt dan instrucciones para que los bots rastreen la página, y se pueden configurar para indicar a los bots que no deben visitar o interactuar con ciertas páginas web. Sin embargo, se debe tener en cuenta que solo algunos bots cumplen las reglas de los archivos robots.txt; esos archivos en realidad no evitan que los bots rastreen los sitios web. Cloudflare ofrece un avanzado servicio de gestión de robots.txt para que los administradores de sitios web puedan comunicar sus preferencias a los operadores de rastreadores.
Para controlar el tráfico de los bots rastreadores de IA, los operadores de sitios web deben utilizar un servicio como AI Audit de Cloudflare. Este servicio permite a los administradores de sitios web autorizar o bloquear rastreadores de IA (bloquearlos significa que no pueden acceder al contenido bajo ningún concepto). La función de pago por rastreo de AI Audit también permite que los administradores de sitios web cobren a los operadores de bots de IA por el rastreo, si así lo desean.
También hay una serie de otras herramientas que pueden mitigar el tráfico abusivo de bots. Una solución de rate limiting, como WAF de Cloudflare, puede detectar y prevenir el tráfico de bots abusivos y de alto volumen que se origina en una sola dirección IP.
Los ingenieros de red también pueden revisar el tráfico, identificando manualmente las solicitudes de red sospechosas que se originan en un rango de direcciones IP, así como todas las solicitudes de esas direcciones IP. Sin embargo, este es un proceso que requiere mucha mano de obra y es poco probable que detenga la mayor parte del tráfico de bots maliciosos al que se puede enfrentar un sitio web.
Además de la limitación de velocidad y de la intervención directa de un ingeniero, la forma más sencilla y efectiva de detener el tráfico de bots perjudiciales es con una solución de gestión de bots. Una solución de gestión de bots puede aprovechar la inteligencia y el análisis de comportamiento de uso para detener los bots maliciosos antes de que lleguen a un sitio web. Por ejemplo, Cloudflare Bot Management utiliza la inteligencia de millones de propiedades de Internet y aplica el aprendizaje automático para identificar y parar de forma proactiva el abuso de los bots. Super Bot Fight Mode, disponible en los planes Pro y Business, ofrece a las organizaciones más pequeñas una visibilidad y control similares, además del control sobre su tráfico de bots.
El tráfico de bots se refiere a cualquier actividad no humana en un sitio web o aplicación. El tráfico de bots no es inherentemente bueno o malo; depende del propósito del bot. Algunos bots son esenciales para servicios como los motores de búsqueda, mientras que otros son maliciosos.
Puedes identificar el tráfico de bots buscando anomalías en los análisis de tu sitio web. Entre los signos clave se incluyen un número de páginas vistas o porcentajes de rebote inusualmente altos, cambios repentinos en la duración de la sesión, un aumento repentino de conversiones no deseadas o un incremento repentino del tráfico procedente de una ubicación geográfica inesperada.
Algunos bots son beneficiosos e incluso esenciales. Por ejemplo, los bots de los motores de búsqueda (también conocidos como arañas o rastreadores) son necesarios para que un sitio web se indexe y aparezca en los resultados de búsqueda. Sin embargo, los bots maliciosos pueden realizar acciones dañinas, como extraer datos, rellenar credenciales y lanzar ataques DDoS.
El tráfico de bots maliciosos puede perjudicar tu sitio web de varias maneras. Puede distorsionar tus análisis, lo que dificulta medir el rendimiento. Los bots maliciosos también pueden perjudicar el rendimiento del sitio web sobrecargando tu servidor. Para las empresas, los bots pueden cometer fraude de clics en anuncios o acaparar inventario en sitios de comercio electrónico, e interrumpir las ventas.
Un buen comienzo es usar un archivo robots.txt para dar instrucciones a los bots, aunque no es un método totalmente seguro, ya que los bots maliciosos lo ignorarán. Entre las herramientas más eficaces se incluye el rate limiting para bloquear el tráfico de gran volumen y, aún más eficaz, una solución específica de gestión de bots que utiliza el aprendizaje automático y el análisis del comportamiento para distinguir entre bots buenos y bots maliciosos.
Un archivo robots.txt es un conjunto de instrucciones para los bots que visitan tu sitio web. En este archivo, puedes especificar reglas, como las páginas que los bots no tienen permitido rastrear. Aunque los bots buenos sigan estas reglas, muchos bots maliciosos no lo harán.