Los bots ya son la mayoría de las peticiones web: Cloudflare los sitúa en el 57,5 %
El 3 de junio de 2026, el consejero delegado de Cloudflare, Matthew Prince, afirmó que los sistemas automatizados suponen ya el 57,5 % de las peticiones HTTP de páginas web, frente al 42,5 % de las personas. Es la primera vez que Cloudflare mide ese cruce, y lo atribuye a la IA agéntica. 1 En marzo, en el SXSW, había dicho que no lo esperaba antes de 2027. 2
Conviene precisar qué es esa cifra, porque se repite como si fuera algo más grande. Cuenta peticiones de páginas web dentro de la red de Cloudflare. No es tráfico en bytes, ni tiempo pasado en internet, ni el conjunto de la red: un bot que descarga una página de 5 KB y una persona que abre un vídeo cuentan una vez cada uno. La gente no ha dejado de usar la web.
Lo que sí significa es más concreto y más caro. Si tienes cualquier cosa con un extremo HTTP público, más de la mitad de lo que se te pide ya no lo pide una persona.
Tráfico, CPU, caché y tus gráficas
El tráfico de bots no es gratis solo porque no sea malicioso.
Lo evidente es el ancho de banda: cada rastreo son datos transferidos, y en un hosting con tráfico medido eso es una factura directa. Menos evidente es la CPU: un rastreador que recorre páginas dinámicas ejecuta la lógica de tu aplicación, las consultas a tu base de datos y el renderizado de plantillas igual que una petición real, salvo que no se detiene en una página y no tiene caché de sesión.
Luego está la contaminación de la caché. Los rastreadores tienden a pedir URL de «cola larga», a las que casi no llegan personas, y eso expulsa de la caché el contenido caliente y empeora el rendimiento para los usuarios reales. Y el volumen de registros distorsiona tu analítica: si la mitad de tu gráfica de tráfico no son clientes y no lo has separado, cualquier decisión de capacidad se apoya en un número equivocado.
El patrón que más daño hace a los operadores pequeños es este: un rastreador descubre un espacio de URL generado dinámicamente —búsqueda por facetas, calendarios, combinaciones de filtros— y se pone a enumerarlo. Un sitio con cien páginas de contenido puede exponer un millón de URL, y antes o después alguien intentará descargarlas todas.
Cinco cosas que ayudan
Antes que nada, mira tus registros. Separa el tráfico por user agent y por ASN. La proporción sorprende a casi todo el mundo.
Trata robots.txt como una petición, no como un mecanismo de control. Los rastreadores educados lo respetan. Los que te causan problemas, muchas veces no, y algunos se disfrazan rotando el user agent.
Limita la tasa por red, no por user agent. Un rastreador que miente sobre quién es sigue viniendo de algún sitio, y los límites por ASN y por prefijo sobreviven a la suplantación de user agent.
Cierra los espacios infinitos de URL. No generes enlaces a permutaciones de filtros, porque nofollow desincentiva el rastreo pero no lo impide; bloquea las combinaciones de parámetros que nunca quisiste que se rastrearan; y devuelve 404 en lugar de crear una página para cada entrada posible.
Cachea de forma agresiva y sirve desde caché. Un rastreador que da con una respuesta cacheada solo te cuesta tráfico. Uno que llega a tu aplicación te cuesta todo.
Root, y reglas que puedes leer
Aquí importan dos cosas, y ninguna es una función inventada para un artículo.
La primera son recursos predecibles que controlas tú. Todos los VPS y VDS de AVS ISP son virtualización KVM completa con acceso root real, así que cada medida de la lista anterior es tuya: tu nginx, tus límites de tasa, tu caché, tu fail2ban, tus reglas, legibles y modificables por ti. No hay un panel compartido decidiendo qué puedes bloquear ni un WAF de fabricante cuya lógica no puedas inspeccionar.
La segunda es que la protección DDoS va incluida en todos los planes y cubre el extremo hostil de la automatización. El extremo educado pero caro —los rastreadores que no te atacan, solo te leen sin descanso— es una cuestión de capacidad y configuración. Justo por eso tener root importa más que antes.
Los planes empiezan en 5 €/mes para un VPS, 40 €/mes para un VDS de 4 vCPU hasta 160 €/mes con 16, y 150 €/mes para un servidor dedicado. Los VPS y VDS están en Tirana, Skopie, Ámsterdam y Dublín; los dedicados, en Tirana, Skopie y Ámsterdam. Si servir robots es ya la mitad de tu carga, poder dimensionar y ajustar eso con honestidad vale más que un plan que parece más barato hasta que llega la factura del tráfico.
Quién paga esa mayoría
Hay un debate vivo sobre si rastrear para entrenar IA es un uso legítimo de una página web pública, y no lo va a zanjar el blog de un proveedor de hosting. Lo que no se discute es la aritmética. La mayoría de las peticiones que llegan a la web ya son automatizadas, alguien paga por servirlas, y ahora mismo ese alguien es quien tiene el servidor de origen.
Llegues a la conclusión ética que llegues, decide a conciencia qué parte de tu capacidad estás dispuesto a regalar. Si no lo decides, tu infraestructura asume ese coste por defecto.
Fuentes
- Bot Traffic Passes Humans Online: Cloudflare Says Agentic AI Drove 57.5% Share, Tech Times, 5 de junio de 2026
- Online bot traffic will exceed human traffic by 2027, Cloudflare CEO says, TechCrunch, 19 de marzo de 2026