Bots superan el 50% del tráfico web; Cloudflare reinventa sus defensas

El punto de inflexión

Según datos de Cloudflare, por primera vez en la historia los bots generan más del 50% del tráfico web. La compañía ha detectado que el volumen de solicitudes automatizadas supera al de los humanos, lo que obliga a replantear los modelos de seguridad tradicionales. En respuesta, Cloudflare ha lanzado Precursor, un sistema que sustituye la verificación de identidad en el acceso por un análisis continuo del comportamiento dentro del sitio. Este hito no es sorprendente si se observa la tendencia: en 2023, Imperva reportaba que el 47% del tráfico web era de bots, y el crecimiento de asistentes de IA, scrapers de entrenamiento y bots de comercio electrónico ha acelerado el cambio. Cloudflare, que gestiona aproximadamente el 20% del tráfico web global (según datos de W3Techs), tiene una posición privilegiada para detectar esta transformación. La empresa afirma que el tráfico de bots ha aumentado un 30% interanual desde 2022, impulsado por la popularización de modelos de lenguaje como GPT y la automatización de tareas empresariales.

¿Qué es Precursor y cómo funciona?

Precursor forma parte de la estrategia de Cloudflare para lo que denominan la web agentic, un entorno donde los agentes de IA navegan en nombre de los usuarios. En lugar de bloquear o permitir el acceso basándose en CAPTCHAs o listas negras, Precursor monitoriza las acciones de cada visitante —ritmo de clics, patrones de navegación, tiempos de respuesta— y asigna una puntuación de riesgo en tiempo real. Si un bot se comporta de forma sospechosa, se le redirige a un entorno aislado o se le limita el acceso a datos sensibles. Este enfoque se inspira en sistemas de detección de fraude bancario, donde el comportamiento transaccional es clave. Según Cloudflare, Precursor puede identificar bots avanzados que imitan movimientos humanos con una precisión del 99.7%, superando a los CAPTCHAs tradicionales, que tienen una tasa de falsos positivos del 10-15% en usuarios legítimos (datos de Google). Además, el sistema se integra con la red global de Cloudflare, procesando millones de solicitudes por segundo sin añadir latencia perceptible.

Impacto en empresas y usuarios

Para las empresas, esto supone un cambio de paradigma: ya no basta con proteger el perímetro; hay que vigilar el interior. Los departamentos de seguridad deberán adoptar herramientas de análisis conductual y ajustar sus políticas de privacidad, ya que la monitorización continua puede chocar con regulaciones como el GDPR. Por ejemplo, el GDPR exige consentimiento explícito para la recopilación de datos de comportamiento, lo que podría requerir que las empresas informen a los visitantes sobre el uso de Precursor. Un estudio de Gartner estima que para 2027, el 60% de las organizaciones utilizarán sistemas de monitoreo conductual, frente al 15% actual. Los usuarios, por su parte, podrían experimentar una navegación más fluida al reducirse los falsos positivos de los CAPTCHAs (que según Google afectan a 1 de cada 10 usuarios), pero también una mayor recopilación de datos sobre su comportamiento. Esto plantea un dilema: la comodidad frente a la privacidad. Empresas como Amazon ya utilizan técnicas similares para detectar bots en sus plataformas, pero la escala de Cloudflare hace que este cambio sea global.

Contexto histórico

El fenómeno no es nuevo: en 2012, un estudio de Incapsula ya mostraba que el 51% del tráfico web era de bots, pero la mayoría eran benignos (como crawlers de buscadores). Con el tiempo, los bots maliciosos han crecido: en 2023, Imperva reportó que el 32% de los bots eran maliciosos, dedicados a scraping, fraude o ataques DDoS. La proliferación de asistentes de IA (como ChatGPT, que según Similarweb recibió 1.600 millones de visitas en marzo de 2024) ha disparado el tráfico de bots legítimos pero también de imitadores. Cloudflare, que gestiona aproximadamente el 20% del tráfico web global, tiene una visión privilegiada de este cambio. Su decisión de pivotar hacia un modelo basado en comportamiento refleja la madurez del problema. Anteriormente, la empresa había lanzado Bot Management en 2017, pero Precursor representa un salto cualitativo al pasar de la clasificación a la monitorización activa.

Consecuencias a futuro

La adopción de sistemas como Precursor podría fragmentar aún más la web: sitios con alta seguridad podrían volverse inaccesibles para bots legítimos (como los de indexación de buscadores), mientras que los maliciosos buscarán formas de imitar el comportamiento humano. Ya se han visto casos de bots que utilizan aprendizaje por refuerzo para engañar a sistemas de detección (por ejemplo, el bot de Ticketmaster que evitaba CAPTCHAs). Además, se abre un debate ético: ¿hasta qué punto es aceptable vigilar el comportamiento de los visitantes, incluso si son bots? La respuesta de los reguladores será clave. La Comisión Europea ya ha iniciado consultas sobre la regulación de la IA, y la monitorización conductual podría caer bajo el paraguas del GDPR y la futura Ley de IA. Por otro lado, la web agentic podría facilitar la colaboración entre humanos y máquinas: por ejemplo, asistentes de IA que compren productos o gestionen citas de forma autónoma. Sin embargo, esto requerirá estándares de interoperabilidad, como el protocolo que Cloudflare está desarrollando para que los bots se identifiquen voluntariamente.

Lo que debes saber

• Los bots ya son mayoría en internet; cualquier estrategia de seguridad debe asumirlo.
• Precursor de Cloudflare representa un nuevo enfoque: pasar de la autenticación estática a la monitorización dinámica.
• Las empresas deben prepararse para invertir en herramientas de análisis conductual y revisar su cumplimiento normativo.
• Los usuarios ganarán en experiencia pero perderán en privacidad si no se establecen límites claros.

"La web ya no es para humanos; es un ecosistema híbrido donde conviven personas y máquinas. La seguridad debe adaptarse a esa nueva realidad." — Analista de TheVortiq