Saltar al contenido principal
DETECCIÓN DE AGENTES DE IA

Detección de agentes de IA para sitios web, con la evidencia detrás de cada resultado

Ve qué interacciones en tu sitio web provienen de personas, personas que trabajan con IA, agentes autónomos o fuentes que la evidencia aún no puede identificar. Cada resultado muestra en qué se basa.

Obtener acceso anticipadoExplorar cómo funciona
Toshendra Sharma

Por Toshendra SharmaFundador y CEO, AgentCredia · Updated November 13, 2026

Tu sitio web ahora tiene más de un tipo de visitante

Durante la mayor parte de la historia de la web, un sitio web podía asumir un modelo simple: una persona abre un navegador, navega por el sitio y quizá inicia sesión. La analítica, los límites de tasa, los flujos de incorporación y los controles de seguridad se diseñaron en torno a esa persona.

Ese modelo ya no describe el tráfico real. Hoy un mismo sitio web sirve a personas que navegan por su cuenta, personas que piden a un asistente de IA que resuma o complete algo por ellas, agentes autónomos que leen páginas y llaman endpoint en nombre de otra persona, y una larga cola de rastreadores y scripts. Los proveedores de IA documentan varios de estos visitantes por su cuenta: OpenAI, por ejemplo, publica user agents separados para su rastreador de búsqueda, su rastreador de entrenamiento y el fetcher que visita páginas cuando un usuario de ChatGPT hace una pregunta (documentación de rastreadores de OpenAI), y Anthropic hace lo mismo con ClaudeBot, Claude-User y Claude-SearchBot (documentación de rastreadores de Anthropic). Algunos de estos visitantes son bienvenidos. Algunos necesitan una experiencia distinta. Algunos necesitan una revisión más cercana antes de poder hacer algo sensible.

El reto es que muchas de estas interacciones se parecen a primera vista. Un inicio de sesión te dice qué cuenta está en uso. No te dice si está haciendo clic una persona, si un asistente actúa a través de esa sesión o si un cliente automatizado está leyendo tu página de precios para un usuario en otro lugar. La detección de agentes de IA para sitios web consiste en cerrar esa brecha con evidencia, para que tu equipo pueda responder de forma adecuada a cada tipo de actor en lugar de tratar todo el tráfico igual. Para ver una guía práctica de las señales implicadas, lee cómo saber si el tráfico de un sitio web proviene de agentes de IA, y consulta el caso de uso de sitios web para ver cómo se refleja esto en un sitio en producción.

Por qué no basta con una sola puntuación de bot

Muchas herramientas responden a esta pregunta con un número: una puntuación de bot, una puntuación de riesgo, un porcentaje que afirma describir cuán humano es un visitante. El atractivo es obvio. Un número es fácil de usar en una regla.

El problema es que un número único oculta el razonamiento. Cuando una puntuación dice que una sesión probablemente está automatizada, tu equipo no puede ver si esa conclusión se apoya en una firma verificada, en una cadena de user-agent que cualquiera puede copiar o en un patrón que también coincide con un mecanografiado humano rápido. Cuando esa puntuación activa un bloqueo o un desafío, heredas cada error que comete sin ninguna forma de explicarlo a un cliente, a un colega o a un auditor.

Proof of Actor adopta un enfoque distinto. Cada resultado pertenece a una de cuatro clases claras, explicadas en Human, AI-assisted or agent: a taxonomy for app traffic, y cada resultado indica en qué se basa. Ves la conclusión y la evidencia juntas, lo que significa que puedes confiar en resultados sólidos, cuestionar los débiles y crear políticas que encajen con la calidad de la evidencia.

Cómo detectar agentes de IA en tu sitio web en cuatro pasos

Puedes empezar a detectar agentes de IA en tu sitio web con herramientas que ya tienes. Estos cuatro pasos son agnósticos al proveedor y funcionan tanto si usas Proof of Actor como si no; la entrada del blog sobre cómo saber si el tráfico de un sitio web proviene de agentes de IA cubre cada uno con más profundidad.

  1. Enumera los agentes que se identifican. Busca en los logs de tu servidor o CDN los user agents que publican los proveedores de IA. OpenAI documenta OAI-SearchBot, GPTBot y ChatGPT-User, y señala que ChatGPT-User visita páginas cuando un usuario hace una pregunta a ChatGPT en lugar de rastrear automáticamente. Anthropic documenta ClaudeBot, Claude-User y Claude-SearchBot. Esto te da una primera imagen declarada del tráfico de agentes por route.
  2. Verifica las afirmaciones en lugar de confiar en la cadena. Un user agent se autodeclara y es fácil de copiar. Compruébalo con el método de verificación del propio operador: Google describe una búsqueda DNS inversa seguida de una búsqueda DNS directa, además de archivos publicados de rangos de IP, para Googlebot (Google: verificando Googlebot); Bing describe la misma comprobación DNS inversa y directa para Bingbot (Bing: verificando Bingbot); OpenAI publica archivos de rangos de IP para cada uno de sus user agents. Cuando un cliente firma sus solicitudes con HTTP Message Signatures, definidas en RFC 9421, comprueba la firma contra la clave publicada por el operador.
  3. Etiqueta cada resultado con su evidencia y conserva Unknown. Registra si cada conclusión es verified, declared o inferred. El tráfico que no coincide con ningún agente verificado o declarado y no muestra un patrón humano claro debe etiquetarse como Unknown, no forzarse a humano o bot. Este es el paso que separa un informe útil de una suposición.
  4. Observa por route antes de actuar. Divide los resultados por route y workflow durante unas semanas: contenido público, registro, configuración de cuenta, APIs. Solo entonces escribe una política acotada para el route donde el contexto del actor importa más, con un fallback explícito para Unknown.

Proof of Actor automatiza estos pasos dentro de tu aplicación: recopila las señales que tu integración puede ver, devuelve una clase con su base, hace seguimiento de Unknown por route y deja la política en tu código.

Cómo Proof of Actor detecta agentes de IA en sitios web

Proof of Actor se construye alrededor de un camino simple: las señales que tu integración puede observar, una clasificación con una base explícita y una decisión que sigue en tus manos. Puedes leer el flujo completo en la página How It Works. Aquí va la versión corta.

Señales de tu integración

Cada integración ve lo que permite su contexto. Una integración del lado del servidor ve el contexto de la solicitud, los detalles del protocolo y, cuando un cliente lo admite, una firma de solicitud. Una integración en el navegador ve señales de interacción en las páginas donde se ejecuta. Una aplicación también puede registrar sus propias declaraciones, como que un usuario marque contenido como redactado con asistencia de IA, o que un cliente agente se identifique por su nombre.

Proof of Actor trabaja con la evidencia que realmente está presente. No finge ver cosas que tu sitio web no puede observar.

Cuatro clases que significan algo específico

Cada interacción cae en una de cuatro clases:

  • Human: las señales observables indican una interacción dirigida por una persona.
  • Human + AI: la asistencia de IA fue declarada, o se observó mediante una integración compatible que puede verla.
  • Agent: interacción de origen automatizado o agente, respaldada por una identidad verificable o por una inferencia cuidadosamente cualificada.
  • Unknown: la evidencia disponible no respalda una determinación fiable.

Cada clase viene con una definición clara y un límite claro. Un resultado Human no es una identidad verificada. Un resultado Agent no es una afirmación de que el agente esté autorizado. Un resultado Unknown no es una acusación. Puedes leer la taxonomía completa en la página Detection & Limitations.

Una base en cada resultado

Junto a la clase, cada resultado lleva su base: verified, declared, inferred o unknown. Una solicitud que lleva una firma válida de una clave publicada es verified para esa comprobación. Un cliente que se identifica como agente lo ha declarado. Un patrón de comportamiento coherente con la automatización es una inferencia. Esta distinción es lo que permite que tus políticas sean precisas. Un agente firmado y verificado en un route de solo lectura y un cliente autodeclarado en una página de configuración de cuenta no deben tratarse igual, y con Proof of Actor no tienen por qué serlo. La entrada del glosario evidence basis explica cada una con más detalle.

Qué obtiene tu equipo: Detect, Understand, Route

Proof of Actor es un solo producto con tres capacidades que funcionan juntas.

Detect

Recopila las señales de actor disponibles para tu integración y separa las afirmaciones verificadas de las inferencias de comportamiento. El tráfico Unknown sigue visible como su propia categoría en lugar de quedar diluido en una suposición. Siempre sabes de qué interacciones puedes hablar con confianza y cuáles necesitan más evidencia.

Understand

Ve tu tráfico de agentes de IA en contexto. Explora los tipos de interacción por route y por tiempo, sigue tendencias en la actividad humana, asistida por IA, de agentes y desconocida, y abre cualquier clasificación para ver qué se sabe, qué no se sabe y en qué se apoya el resultado. Aquí es donde los equipos de producto, plataforma y seguridad obtienen una imagen compartida y explicable de quién está usando el sitio web.

Route

Usa tus propias políticas para permitir, adaptar, challenge, review o limitar interacciones concretas. Sirve una respuesta estructurada a un agente verificado que lee tu documentación. Mantén la experiencia estándar para sesiones dirigidas por personas. Pide una comprobación más fuerte en un cambio sensible de cuenta cuando tus propias condiciones lo requieran. Elige un fallback explícito para los resultados Unknown y para los timeouts, route por route. La enforcement siempre ocurre en tu aplicación, bajo políticas que tu equipo confirma.

Diseñado para encajar en tu sitio web, no para reemplazarlo

Proof of Actor se sitúa junto a las herramientas que ya ejecutas. No reemplaza tu autenticación, tu modelo de autorización ni tus controles de abuso existentes. Añade contexto de actor a todo eso.

Una integración típica de un sitio web comienza en los routes donde el contexto del actor importa más: contenido público que los agentes leen intensamente, flujos de registro e incorporación, configuración de cuenta y otras acciones sensibles, y cualquier API que alimenta el sitio. Los equipos fundadores trabajan con nuestros ingenieros para elegir esos routes, acordar las señales dentro del alcance y confirmar cómo se manejan los datos antes de que se entregue cualquier código.

Como la capa de decisión vive en tu código, tú sigues controlando la experiencia. Puedes mostrar resultados en un panel interno durante semanas antes de cambiar alguna regla, luego activar una sola política acotada para un solo route, y después ampliar el alcance una vez que los resultados se hayan ganado tu confianza. La guía sobre cómo manejar el tráfico desconocido explica cómo diseñar esas primeras reglas.

Empieza en modo de observación

La forma más rápida de obtener valor de la detección de agentes de IA es empezar observando, no bloqueando. En modo de observación, Proof of Actor registra los resultados mientras tu sitio web responde exactamente como lo haría sin él. Después, tu equipo puede comparar las clasificaciones con resultados que ya entiende: tickets de soporte, integraciones conocidas, herramientas internas y los rastreadores que ya reconoce.

Esto te da tres cosas antes de cualquier enforcement:

  1. Una línea base. Cuánto de tu tráfico está dirigido por personas, asistido por IA, impulsado por agentes o es desconocido, por route.
  2. Confianza en la evidencia. Qué señales son fuertes en tu sitio web y dónde debe crecer la cobertura.
  3. Mejores políticas. Reglas diseñadas en torno a patrones reales en lugar de suposiciones, con los falsos positivos revisados antes de que alguien se vea afectado.

Cuando una política está lista, la habilitas para el workflow específico para el que fue diseñada, y conservas la posibilidad de ajustarla en cualquier momento.

Por qué la detección respaldada por evidencia gana a las puntuaciones opacas

Los sitios web ya sirven a agentes, asistentes y personas que trabajan con IA al mismo tiempo. Los equipos que lo gestionen bien no serán los que tengan los filtros más agresivos. Serán los que puedan explicar sus decisiones.

Los resultados respaldados por evidencia te dan esa explicación. Cuando un agente de soporte pregunta por qué un usuario vio un paso de verificación adicional, puedes señalar la evidencia y la política aplicada. Cuando el operador de un agente pregunta por qué sus solicitudes firmadas recibieron una respuesta estructurada, puedes mostrar la base verificada. Cuando la evidencia es escasa, el resultado dice Unknown, y tu fallback lo maneja de la manera que tú elegiste deliberadamente.

Este enfoque también escala con la web. A medida que más operadores de agentes firman sus solicitudes y trabajos de estandarización como el IETF Web Bot Auth working group, que tiene el mandato de estandarizar la autenticación criptográfica para clientes automatizados, se apoyan en HTTP message signatures, más de tu tráfico pasa de inferido o desconocido a verificado, y tus políticas se vuelven más precisas sin tener que reescribirse.

Únete al programa para desarrolladores fundadores

Proof of Actor está en beta privada con un pequeño grupo de equipos de aplicaciones. Los desarrolladores fundadores seleccionados pueden recibir hasta 12 months de acceso gratuito, dentro de los límites de uso acordados, a cambio de comentarios prácticos sobre el producto. Obtienes soporte directo de integración de nuestros ingenieros, acceso anticipado a capacidades a medida que estén disponibles e influencia real sobre lo que construiremos después.

Si tu sitio web sirve a personas, usuarios asistidos por IA y agentes, y quieres saber quién lo está usando antes de decidir qué ocurre después, solicita acceso anticipado. Cuéntanos sobre tu sitio web y la interacción que más quieres entender, y revisaremos si encaja con la beta actual.

¿Quieres ver primero los detalles? Explora Proof of Actor, lee cómo funciona o revisa exactamente qué puede y qué no puede establecer la evidencia.

Fuentes

PARA DESARROLLADORES

What your code receives

Every interaction resolves to one result record. Your application reads the class and the basis and applies its own policy.

Result record
{
  "route": "GET /api/v1/catalog",
  "class": "agent",
  "basis": "verified",
  "evidence": [
    { "signal": "http_message_signature", "result": "valid", "keyid": "assistant.example" },
    { "signal": "client_declaration", "value": "assistant.example" }
  ],
  "observed_at": "2026-11-13T10:42:07Z"
}
class
Human, Human + AI, Agent o Unknown.
basis
Qué tan sólida es la evidencia: Verified, Declared, Inferred o Unknown.
evidence
Las señales detrás del resultado, para que tu equipo vea por qué.

Empieza en modo de observación: registra los resultados junto a tus logs y no cambies nada hasta que elijas una política. Lee la guía de integración de Node.js

Preguntas frecuentes

¿Cómo funciona la detección de agentes de IA para sitios web con Proof of Actor?

Proof of Actor recopila las señales disponibles a través de tu integración, como firmas de solicitud, declaraciones del cliente y señales de interacción, y devuelve una clasificación con su base: Verified, Declared, Inferred o Unknown.

¿La instalación bloqueará a algún visitante?

No. Proof of Actor empieza en modo de observación. Tu sitio web se comporta exactamente igual que antes mientras tu equipo revisa los resultados, y después tú decides si debe aplicarse alguna política.

¿Puede saber cuándo alguien usó IA en otra pestaña?

Ningún sitio web puede ver actividad en otra pestaña ni en otro dispositivo. Proof of Actor informa asistencia de IA cuando se declara o es observable mediante una integración compatible, y mantiene todo lo demás honesto por diseño.

¿Qué pasa cuando la evidencia no es clara?

El resultado es Unknown. Unknown es un resultado de primera clase, nunca se trata como humano por defecto y nunca se trata como malicioso por defecto. Tu política decide cómo maneja cada route ese resultado.

¿Para quién está creado Proof of Actor?

Equipos que operan aplicaciones SaaS, sitios web, APIs y MCP servers y quieren entender quién o qué está actuando antes de elegir una experiencia o una política de acceso.

¿Cómo accedo?

Proof of Actor está en beta privada. Solicita acceso anticipado. Los equipos fundadores seleccionados pueden recibir hasta 12 months de acceso gratuito dentro de los límites de uso acordados.

Sabe quién usa tu app.

Beta privada para un pequeño grupo de desarrolladores fundadores.

Obtener acceso anticipadoVer precios

¿Prefieres hablar primero? Habla con los fundadores