Qué es la detección de bots
La detección de bots es el conjunto de técnicas que se usan para distinguir el tráfico automatizado del tráfico humano. Tiene una larga historia en la seguridad web: detener el credential stuffing, el scraping, los registros falsos, el acaparamiento de inventario y el spam, todo lo cual aparece en la taxonomía OWASP Automated Threats to Web Applications. Las entradas típicas incluyen reputación de IP, tasas de solicitud, huellas digitales de encabezados y protocolos, comprobaciones del entorno del navegador y señales de interacción. Las salidas típicas son una puntuación o un veredicto, a menudo conectados directamente para bloquear, desafiar o permitir.
Por qué se construyó así
La detección clásica de bots surgió a partir de una suposición: el tráfico automatizado es, en su mayoría, adversario, y la tarea es mantenerlo fuera. Esa suposición hacía razonable un único puntaje de bot, aplicado en el borde, como diseño. Si una solicitud parece automatizada, desafíala con un CAPTCHA o bloquéala.
Por qué ese modelo ya no basta
Las aplicaciones ahora reciben una mezcla mucho más amplia de actores:
- personas que navegan con normalidad,
- personas que trabajan con asistentes de IA que leen, redactan o completan en su nombre,
- agentes y crawlers legítimos que se identifican, a veces con solicitudes firmadas,
- agentes autónomos que completan tareas para usuarios,
- clientes desconocidos cuya naturaleza la evidencia no puede establecer.
Una puntuación binaria de bot no describe bien esto. Nuestro artículo Humano, asistido por IA o agente: una taxonomía práctica para el tráfico de aplicaciones presenta la alternativa. Bloquear cada solicitud automatizada aparta a participantes legítimos; permitirlas todas elimina controles útiles. Y un veredicto confiado sobre evidencia débil produce falsos positivos que afectan a usuarios reales.
En qué se diferencia la inteligencia de actores
La inteligencia de actores plantea una pregunta más amplia: qué tipo de actor está presente y qué muestra realmente la evidencia. Se diferencia de la detección clásica de bots en tres aspectos:
- Categorías más ricas. Humano, Humano + IA, Agente y Desconocido, en lugar de humano frente a bot.
- Base explícita. Cada resultado indica si se apoya en evidencia verificada, declarada o inferida, o en ninguna, de modo que una comprobación criptográfica nunca se confunda con una suposición conductual.
- Decisiones separadas. El resultado informa la política de tu aplicación en lugar de aplicarla por defecto. Los equipos observan primero y luego deciden por ruta.
Ambos enfoques pueden coexistir. Los principales operadores de crawlers ya admiten comprobaciones más allá de la cadena de user-agent, como la verificación de crawlers de Google mediante DNS inverso y rango de IP, y las solicitudes firmadas amplían esa idea a cualquier operador. Para ver señales que puedes usar hoy, consulta cómo saber si el tráfico de un sitio web proviene de agentes de IA. Los controles de abuso en el borde siguen siendo valiosos; la inteligencia de actores le da a la propia aplicación el contexto para diseñar la experiencia adecuada para cada tipo de interacción.
Ideas erróneas comunes
- "Los agentes son solo bots." Algunos son abusivos; muchos son usuarios legítimos de tu producto que actúan en nombre de alguien.
- "Una puntuación de bot es un hecho." Es una inferencia con tasas de error. Trátala como evidencia con un nivel de confianza, no como un veredicto.
- "Desconocido significa bloquear." Desconocido significa que la evidencia es insuficiente. Lo que ocurra después debe ser una elección explícita, por ruta (consulta fail open vs fail closed).
Cómo encaja Proof of Actor
Proof of Actor es inteligencia de actores para apps, websites, APIs y MCP servers. Detect recopila señales y separa las afirmaciones verificadas de las inferencias; Understand muestra tipos de interacción, tendencias y evidencia; Route permite que tus propias políticas permitan, adapten, desafíen, revisen o limiten interacciones específicas. Nada se bloquea por defecto.
Explora el producto o solicita acceso anticipado.
Fuentes
- OWASP Automated Threats to Web Applications: taxonomía de amenazas automatizadas como credential stuffing, scraping y creación de cuentas
- Google: Verifying Google's crawlers and fetchers: verificación de crawlers publicada por el operador