El tráfico que nadie puede nombrar
Si miras de cerca los registros de una aplicación, encontrarás solicitudes que resisten cualquier explicación. Proceden de clientes sin contexto de navegador. Sus cadenas user-agent son genéricas, vacías o copiadas de un navegador muy conocido. No firman sus solicitudes. No dicen quién las envió. Algunas son scripts inofensivos. Algunas son agentes que trabajan para usuarios reales. Algunas son herramientas que preferirías no atender en absoluto.
Este es el tráfico automatizado desconocido, y la mayoría de los equipos lo gestionan de una de dos maneras. O bien se cuenta en silencio como humano, lo que distorsiona la analítica y deja pasar actividad riesgosa, o bien se trata como hostil por defecto, lo que bloquea a usuarios y agentes legítimos junto con todo lo demás. Ambos enfoques comparten el mismo fallo: sustituyen la evidencia que falta por una suposición.
Proof of Actor adopta la visión opuesta. Si la evidencia no respalda una determinación fiable, la respuesta correcta es Unknown, y Unknown debe ser visible, medible y gestionado de forma intencionada. La entrada del blog por qué Unknown es un resultado válido para el tráfico AI expone el argumento completo.
Por qué Unknown es un resultado de primera clase
Proof of Actor clasifica cada interacción en una de cuatro clases: Human, Human + AI, Agent o Unknown. Unknown no es un estado de error ni una laguna del producto. Es un resultado deliberado con un significado preciso: la evidencia disponible no respalda una determinación fiable.
Esa honestidad aporta beneficios prácticos.
- Tu analítica sigue siendo precisa. Los recuentos de Human y Agent solo incluyen interacciones con evidencia de respaldo, así que significan exactamente lo que dicen.
- Tu cobertura es medible. La proporción de Unknown en cada route te indica con precisión dónde necesitas más evidencia.
- Tus policies son más seguras. Los casos inciertos pasan a una alternativa que tú elegiste, en lugar de ser tratados en silencio como confiables o bloqueados por una suposición.
Unknown nunca se convierte en Human, y nunca se trata como malicioso por defecto. Puedes leer más en la entrada del glosario clasificación Unknown, en Detection & Limitations y en por qué Unknown es un resultado válido para el tráfico AI. Los casos de uso de websites y APIs muestran cómo los equipos configuran alternativas para Unknown en la práctica.
De dónde viene el tráfico automatizado desconocido
Entender las fuentes ayuda a decidir cómo gestionarlo.
Clientes automatizados sin firma
La firma de solicitudes con HTTP Message Signatures, definida en RFC 9421, es opcional, y el grupo de trabajo Web Bot Auth de IETF sigue estandarizando cómo deberían autenticarse así los clientes automatizados. Sin una firma, la identidad de un cliente depende de lo que el propio cliente diga de sí mismo.
user agents copiados o genéricos
Las cadenas user-agent son triviales de configurar. Un cliente que afirma ser un navegador o rastreador muy conocido puede ser exactamente eso, o puede estar imitándolo. La entrada suplantación de user-agent explica por qué este encabezado por sí solo no puede sostener una clasificación. También por eso los motores de búsqueda documentan métodos de verificación separados: Google describe búsquedas DNS inversas y directas junto con rangos de IP publicados para verificar Googlebot, y Bing describe la misma comprobación DNS para verificar Bingbot.
Routes sin integración
Si una route no tiene integración de navegador ni contexto del lado del servidor más allá de lo básico, simplemente hay menos que observar. Unknown en esas routes es una señal de cobertura, no de amenaza.
Evidencia ausente o retrasada
Un timeout, un script bloqueado o una solicitud incompleta pueden dejar un resultado sin evidencia suficiente. Proof of Actor informa eso con honestidad, en lugar de rellenar el vacío.
Cómo Proof of Actor hace manejable Unknown
Proof of Actor organiza su trabajo en tres capacidades. Cada una ayuda con el tráfico automatizado desconocido.
Detect: mantener Unknown separado
Las señales se comprueban y etiquetan por base: verified, declared, inferred o unknown. Cuando no respaldan una determinación, el resultado es Unknown con un resumen de lo que estaba disponible y de lo que no. Nada se adivina para meterlo en otra clase.
Understand: ver dónde vive Unknown
La vista Understand muestra Unknown en cada desglose, por route y a lo largo del tiempo. Puedes ver qué routes tienen más actividad desconocida, cómo cambia después de añadir una integración y qué evidencia estaba presente en interacciones concretas. Esto convierte una preocupación vaga en un mapa concreto.
Route: elegir la alternativa para cada route
Diferentes routes merecen diferentes alternativas. Un punto de partida razonable para muchas aplicaciones:
- Páginas públicas y documentación: permitir Unknown con tus límites de rate standard.
- Signup y onboarding: mantener tus comprobaciones existentes y añadir review solo cuando tus propias condiciones lo requieran.
- Cambios de cuenta y otras acciones sensibles: apoyarse en la autenticación existente y en los controles step-up, nunca en una suposición sobre el actor.
- Operaciones API de alto impacto: exigir las credenciales o controles más fuertes que tu API ya admita.
La guía sobre gestionar tráfico desconocido recorre el diseño de estas alternativas, incluidas las opciones fail-open y fail-closed para cada nivel de riesgo.
Reducir Unknown con el tiempo
El objetivo no es eliminar Unknown de un día para otro. Es hacerlo más pequeño cada mes, por las razones correctas.
- Añade integraciones donde importe. Una integración de navegador en las páginas clave y una integración del lado del servidor en las routes clave aumentan la evidencia disponible.
- Admite solicitudes firmadas. A medida que los operadores de agentes adopten HTTP message signatures, el tráfico que era Unknown pasa a ser tráfico Agent verificado.
- Registra declaraciones en tu propia app. Cuando tu aplicación sepa que hay asistencia de AI, dilo. Esa evidencia es precisa y barata.
- Ofrece a los agentes una puerta de entrada. Publicar una ruta estructurada para los agentes los anima a identificarse en lugar de mezclarse con el resto.
Como Proof of Actor registra Unknown por route, puedes ver cada uno de estos cambios en los números.
Cómo funciona
Cada interacción sigue el mismo recorrido guiado por la evidencia, descrito en detalle en Cómo funciona: tu aplicación recibe una solicitud o evento, la integración recopila las señales disponibles en ese contexto, las señales se normalizan y clasifican con una base explícita, el resultado se registra para analítica y tu aplicación aplica su propia policy o simplemente observa.
Los timeouts y la telemetría ausente se gestionan de forma explícita. Tu integración usa la alternativa que elegiste para esa route, y el resultado nunca se eleva a Human porque faltaba evidencia.
Cómo se ve un buen resultado tras unos meses
Los equipos que gestionan bien el tráfico automatizado desconocido suelen llegar al mismo estado saludable. Unknown es una cantidad conocida en cada route importante, trazada en el mismo panel que la actividad humana y de agentes. Cada route tiene una alternativa escrita que los equipos de producto, plataforma y seguridad acordaron conjuntamente. El tráfico de agentes verificados crece a medida que más operadores firman sus solicitudes, y esos agentes se atienden mediante una ruta estructurada en lugar de rastrear páginas. Las acciones sensibles están protegidas por la autenticación y los controles step-up en los que la aplicación ya confía, con el contexto del actor como una entrada adicional y no como un guardián.
Lo más importante es que nadie está adivinando. Cuando alguien pregunta qué parte del tráfico de la semana pasada era automatizado, la respuesta llega con su base: tanto verificado, tanto declarado, tanto inferred y tanto todavía Unknown. Esa es una cifra con la que un equipo puede planificar. También cambia la conversación con la dirección, porque la cuestión deja de ser si los bots son un problema y pasa a ser qué routes merecen más evidencia y qué alternativas necesitan ajustes.
Empieza en modo observación
Proof of Actor no bloquea nada por defecto. En modo observación, los resultados se registran mientras tu aplicación responde exactamente igual que antes. Tu equipo ve cuánto tráfico automatizado desconocido recibe cada route, lo compara con resultados que ya conoce y diseña alternativas basadas en patrones reales. Las policies se activan una route a la vez, solo cuando tu equipo está seguro de que encajan.
Únete al Founding Developer Program
Proof of Actor está en beta privada. Los equipos seleccionados del Founding Developer Program pueden recibir hasta 12 months de acceso gratuito, dentro de los límites de uso acordados, a cambio de comentarios prácticos sobre el producto, con apoyo directo de integración por parte de nuestros ingenieros.
Si el tráfico automatizado desconocido está nublando tu analítica o tus decisiones de seguridad, solicita acceso anticipado. Cuéntanos sobre tu aplicación y sobre las routes en las que Unknown importa más.
Explora Proof of Actor, lee cómo funciona o ve qué puede demostrar la evidencia.
Fuentes
- RFC 9421: HTTP Message Signatures, IETF, February 2024.
- Web Bot Auth (webbotauth) working group charter, IETF.
- Verifying Googlebot and other Google crawlers, Google Search Central.
- How to verify that Bingbot is Bingbot, Bing Webmaster Blog.