Cloudflare está delante de una gran parte de la web. Para muchos equipos es el CDN, el proveedor de DNS, el firewall y la primera línea de defensa contra la automatización abusiva, todo en un mismo lugar. Sus productos de bots están diseñados para esa posición: ven el tráfico pronto, deciden si debe ser challenged o detenido, y dan a los propietarios del sitio control sobre cómo los crawlers, incluidos los crawlers de IA, acceden a su contenido.
Tu aplicación tiene otra pregunta que responder. Una vez que una solicitud pasa el borde, tu código necesita saber quién o qué está actuando para poder elegir la experiencia correcta. ¿Es una persona, una persona que trabaja con un asistente de IA, un agent que actúa para un cliente, o algo que la evidencia no puede explicar? ¿Y cuán seguro debe estar tu código?
Ese es el trabajo para el que está construido Proof of Actor. Es una capa enfocada, a nivel de aplicación, que devuelve una clase de actor con una base de evidencia explícita, entregada al código que posee la decisión. Esta página compara ambos con justicia, usando la documentación pública de Cloudflare a noviembre de 2026, para que veas dónde encaja cada uno.
La versión corta
| Productos de bots de Cloudflare | Proof of Actor | |
|---|---|---|
| Diseñado para | Proteger infraestructura y contenido en el borde | Dar a tu aplicación contexto de actor para decisiones de producto y de policy |
| Dónde se ejecuta | La red de borde de Cloudflare, delante de tu origin | Tu servidor, capa de borde, páginas aprobadas en el navegador, HTTP API o MCP server |
| Resultado principal | Challenges y acciones de regla; para Enterprise Bot Management, un bot score de 1 a 99 y campos de bot | Human, Human + AI, Agent o Unknown, más una base: verified, declared, inferred o unknown |
| Dónde llega el resultado | Reglas de Cloudflare, analíticas y Workers | Tu código de aplicación y analíticas de actor por route y workflow |
| Personas asistidas por IA | No es una categoría separada en el bot score | Su propia clase, Human + AI, cuando se declara o se observa mediante una integración compatible |
| Tráfico incierto | Se puntúa y se maneja mediante reglas de borde | Unknown como resultado de primera clase con un fallback que tú defines por route |
| Signed agents | Verificación Web Bot Auth y señales de signed agent | Comprobaciones de firma RFC 9421 informadas como base verified en tu código |
| MCP servers y llamadores de API | Protegidos como tráfico HTTP en el borde | Contexto del llamador dentro del server que maneja la tool call o la solicitud API |
| Dependencia de CDN | Se aplica al tráfico que pasa por la red de Cloudflare | Independiente del CDN que uses, si usas alguno |
| Valor por defecto al instalar | Depende del producto y de los ajustes que habilites | Modo de observación; nada cambia hasta que añades una policy |
El resto de esta página explica cada fila.
¿Buscas una alternativa a Cloudflare Bot Management para tráfico de agentes de IA?
La mayoría de los equipos que buscan una alternativa no están descontentos con el borde. Tienen una nueva pregunta que el borde no fue diseñado para responder: un agent de IA, una persona asistida por IA y un visitante normal están llegando al mismo formulario de alta, route de API o tool de MCP, y el producto necesita tratarlos de forma distinta. Aquí va una división sencilla.
Dónde Proof of Actor sustituye la decisión. Si ahora usas bot scores o campos de bot para guiar el comportamiento del producto, por ejemplo etiquetar envíos redactados por IA, enviar agents a un endpoint estructurado, o elegir un fallback para llamadores inciertos en un workflow específico, Proof of Actor encaja mejor para ese trabajo. Devuelve una clase de actor, Human, Human + AI, Agent o Unknown, con una base de evidencia, directamente a tu código de aplicación. La decisión de routing y de policy se traslada al código que ya sabe qué hace cada route, y funciona igual uses el CDN que uses.
Dónde Proof of Actor se suma a Cloudflare. Proof of Actor no es un producto de seguridad de red. Según la documentación de Cloudflare a noviembre de 2026, su DDoS protection detecta y mitiga ataques automáticamente y está disponible en todos los planes, y su Web Application Firewall comprueba las solicitudes entrantes web y de API frente a reglas gestionadas y personalizadas. Conserva esa capa. Los ataques volumétricos, los intentos de explotación y la automatización abusiva deben detenerse antes de llegar a tu origin, y Proof of Actor no intenta hacer eso.
Así que la respuesta directa a "¿es esta una alternativa?" es: sí para la clasificación de actor y el routing por route en tu app, y no para la protección DDoS y WAF de borde. La mayoría de los equipos de producción acaban con ambas capas, cada una haciendo el trabajo para el que fue construida.
Para qué están construidos los productos de bots de Cloudflare
Según la documentación de Cloudflare a noviembre de 2026, ofrece tres productos específicos para bots:
- Bot Fight Mode, disponible en el plan Free, que challenged el tráfico de bots detectado en todo un dominio con un único interruptor.
- Super Bot Fight Mode, para los planes Pro, Business y Enterprise sin el complemento Bot Management, que añade acciones configurables por categoría de bot.
- Bot Management for Enterprise, que añade bot scores por solicitud, reglas personalizadas, manejo por endpoint y analíticas detalladas.
El bot score es, en palabras de Cloudflare, una puntuación de 1 a 99 que indica la probabilidad de que una solicitud haya venido de un bot, donde 1 significa alta confianza de que la solicitud fue automatizada y 99 significa alta confianza de que vino de una persona. La documentación de Cloudflare indica que las puntuaciones granulares están disponibles para clientes de Enterprise que han comprado Bot Management, mientras que otros planes ven resultados agrupados como automated, likely automated, likely human y verified bot. Las puntuaciones pueden usarse en reglas personalizadas de WAF para bloquear, challenging o permitir solicitudes, y también están disponibles en Workers.
Cloudflare también mantiene verified bots, que su documentación describe como bots o agents que son transparentes sobre quiénes son y qué hacen, como crawlers de motores de búsqueda, servicios de monitorización y agents dirigidos por usuarios. La verificación se basa en métodos como una firma Web Bot Auth o validación de IP, además de un comportamiento no abusivo.
Para tráfico de IA específicamente, AI Crawl Control da a los propietarios del sitio visibilidad sobre qué servicios de IA acceden a su contenido, les permite permitir o bloquear crawlers individuales y rastrea qué tan bien siguen los crawlers robots.txt. La documentación de Cloudflare lo enumera como disponible en todos los planes.
Estas son herramientas sólidas para el trabajo para el que fueron diseñadas: decidir en el borde qué tráfico automatizado llega a tu origin y a tu contenido.
Dónde se ejecuta cada uno y dónde llega su salida
La diferencia más práctica es la ubicación.
Los productos de bots de Cloudflare se ejecutan en la red de Cloudflare, delante de tu origin. Su salida llega allí donde viven los controles de Cloudflare: reglas personalizadas de WAF, analíticas de bots y, según la referencia de variables de bot management de Cloudflare, el objeto request.cf en Cloudflare Workers. Ese es el lugar correcto para decidir si una solicitud debe ser detenida o challenged.
Proof of Actor se ejecuta donde vive la lógica de tu aplicación: middleware de Node.js, Next.js, la capa de borde que controlas, un colector de navegador en páginas que apruebas, una HTTP API genérica o tu MCP server. Su salida llega a tu código de aplicación como un resultado estructurado, y en analíticas de actor desglosadas por route y workflow. Consulta las integration paths para más detalles.
Esa ubicación importa para las decisiones de producto. Tu código sabe a qué workflow pertenece una route, si tu propio assistant realizó una acción, si un cliente se declaró a sí mismo y cuál es el impacto de negocio de esa route. Una decisión por route como "serve a verified agent the structured endpoint, keep people on the normal flow, label AI-assisted submissions" pertenece junto a ese conocimiento. Proof of Actor coloca el contexto de actor exactamente ahí, y como se ejecuta en tu stack en lugar de en la red de un proveedor, funciona igual detrás de Cloudflare, de otro CDN o sin CDN en absoluto.
Puntuaciones versus una clase con una base
Una puntuación es una entrada eficiente para una regla de protección: eliges un umbral y actúas por encima o por debajo de él. Está diseñada para responder cuán probable es que una solicitud haya sido automatizada.
Las decisiones de producto necesitan una respuesta más rica. Proof of Actor devuelve una de cuatro clases:
- Human: las señales observables indican interacción dirigida por una persona.
- Human + AI: una persona dirigió la interacción con asistencia de IA que fue declarada u observada mediante una integración compatible.
- Agent: interacción automatizada o de origen agent.
- Unknown: la evidencia no respalda una determinación fiable.
Cada resultado también lleva su base de evidencia: verified, por ejemplo una firma HTTP RFC 9421 comprobada contra una clave publicada; declared, cuando un cliente o tu aplicación lo indicó; inferred, claramente etiquetado como inferencia; o unknown. Tu equipo puede leer cada resultado y ver la evidencia detrás de él, que es lo que necesitas cuando la decisión afecta a la experiencia de un cliente en lugar de a una superficie de ataque.
Agentes de IA, signed agents y personas asistidas por IA
Cloudflare ha invertido en verificación de agents. Según su documentación a noviembre de 2026, Cloudflare soporta Web Bot Auth, un método de autenticación que usa firmas criptográficas en mensajes HTTP, basadas en RFC 9421, para verificar bots y agents. Sus docs describen una señal de signed agent, expuesta como el campo cf.bot_management.signed_agent para clientes de Enterprise con Bot Management, y a partir del 1 de julio de 2026 un campo de acceso Direct versus Intermediary que distingue bots de operador único de servicios agentic que muchos usuarios finales pueden operar. Cloudflare también ofrece políticas de acceso para crawlers y agents de IA en todos los planes.
Proof of Actor trata las solicitudes firmadas como una parte de un panorama más amplio. Cuando una solicitud lleva una HTTP Message Signature válida comprobada contra una clave publicada, el resultado es Agent con una base verified, entregado directamente a tu handler de route. La guía sobre verifying signed agent requests muestra el flujo. Una firma válida demuestra qué clave firmó la solicitud, no qué está autorizado a hacer ese agent, por lo que la autorización permanece en tu aplicación, donde corresponde.
La diferencia mayor está en las personas del medio. Algunos de tus usuarios trabajan junto a un asistente de IA: redactando tickets de soporte, completando formularios, avanzando por onboarding. El bot scoring de borde está diseñado para separar automatización de personas, y no tiene motivo para distinguir a este grupo. Tu producto a menudo sí. Proof of Actor informa Human + AI como su propia clase, solo cuando la asistencia se declara o se observa mediante una integración compatible, para que puedas etiquetar envíos redactados por IA, medir cómo los usuarios asistidos por IA avanzan por un workflow, o darles un recorrido más fluido. Lee más en la entrada de glosario AI-assisted interaction.
Unknown es un resultado, no un umbral
Todo sistema de detección encuentra tráfico que no puede explicar. En el borde, el tráfico incierto se maneja con la regla bajo la cual cae la puntuación. Eso mantiene una protección consistente en toda una zone.
Dentro de una aplicación, un solo ajuste rara vez sirve para cada route. Una solicitud incierta a una página pública de documentación y una solicitud incierta para cambiar credenciales de cuenta merecen un manejo distinto. Proof of Actor devuelve Unknown como resultado de primera clase, sigue tu tasa de Unknown con el tiempo y te permite elegir el fallback por route: permitirlo en contenido público, mantener las comprobaciones existentes en cambios de cuenta, enviarlo a revisión en acciones de alto impacto. La guía sobre handling Unknown traffic cubre los patrones, y la entrada Unknown classification explica por qué un Unknown honesto es mejor que una suposición forzada.
MCP servers y APIs
Cloudflare protege MCP servers y APIs de la misma manera que protege cualquier tráfico HTTP que pasa por su red. Eso es valioso, y ocurre antes de que la solicitud llegue a tu servicio.
Lo que normalmente necesita después un MCP server o una API es contexto del llamador dentro del handler: qué agent llama a esta tool, si esa identidad está verificada o solo declarada, y si esta tool call debe permitirse, adaptarse, rate-limited o enviarse a revisión. Proof of Actor incluye una integración de MCP server y una HTTP API genérica para que ese contexto llegue donde se ejecuta la lógica de la tool o del endpoint. Consulta MCP server caller identification y el caso de uso de APIs use case para ejemplos.
Cómo usar ambos juntos
La configuración más sólida da a cada herramienta su propia capa:
- En el borde, Cloudflare absorbe ataques, desafía la automatización abusiva, verifica bots conocidos y aplica tus policies de rastreadores de IA.
- En tu aplicación, Proof of Actor clasifica el tráfico que te llega como Human, Human + AI, Agent o Unknown, con una base.
- En tu código, las policies por route usan ese contexto para permitir, adaptar, challenge, enviar a revisión o rate-limit, con un fallback explícito para Unknown.
- En tus analíticas, los equipos de producto y seguridad ven qué routes y workflows usa cada clase de actor.
Proof of Actor empieza en observation mode, así que añadirlo detrás de Cloudflare no cambia nada el primer día. Ves tu mezcla real de actores, preview una policy contra tráfico en vivo y enforce una route a la vez. La guía sobre rolling out actor-aware policies safely lo explica paso a paso. Proof of Actor no realiza comprobaciones de identidad, KYC ni biometría; informa quién o qué está actuando y deja la decisión en tus manos.
Cuándo elegir cada uno
Elige los productos de bots de Cloudflare cuando tu necesidad principal sea la protección de borde: detener automatización abusiva antes de que llegue a tu origin, challenging tráfico sospechoso en una zone y controlar cómo los crawlers de IA acceden a tu contenido.
Elige Proof of Actor cuando tu necesidad principal sea contexto de actor a nivel de aplicación: saber si personas, personas asistidas por IA o agents usan cada route, ver la evidencia detrás de cada resultado, manejar Unknown de forma deliberada, dar contexto de llamador a handlers de MCP server y API, y escribir policies de producto por route que funcionen independientemente de tu CDN.
Si operas un sitio web, una API o un MCP server en producción, probablemente necesites ambas respuestas, que es por eso que las dos encajan cómodamente en el mismo stack. Para una comparación más amplia de categorías, consulta Proof of Actor vs bot management.
Empezar
Proof of Actor está en beta privada. A través del founding developer program, los equipos seleccionados pueden recibir hasta 12 months free dentro de los límites de uso acordados, sin facturación automática. Solicita acceso anticipado y cuéntanos qué aplicación, API o MCP server quieres entender primero.
Los detalles del producto sobre Cloudflare en esta página se basan en la documentación pública de Cloudflare, incluyendo la bot score reference y la Web Bot Auth reference, el DDoS protection overview y el WAF overview, a noviembre de 2026.
Cloudflare es una marca comercial de Cloudflare, Inc.