Mitigación de bots
Reduce bots, abuso automatizado y tráfico falso.
No todo el tráfico automatizado es igual. WAFLY puntúa cada petición y decide en consecuencia: permitir a los usuarios y buscadores reales, y frenar el scraping, el credential stuffing y el abuso de formularios antes de que cueste infraestructura.
Cómo decide
Una puntuación por petición, una acción proporcional.
Cada petición recibe una puntuación de riesgo a partir de señales combinadas. En lugar de un interruptor de todo o nada, la respuesta escala con la evidencia.
| Puntuación | Clasificación | Acción | Qué representa |
|---|---|---|---|
| 0 – 30 | Tráfico legítimo | Permitir | Navegadores reales, buscadores verificados, usuarios habituales. |
| 31 – 60 | Sospechoso | Desafío | Señales mixtas: se lanza una comprobación silenciosa antes de servir. |
| 61 – 85 | Automatización | Limitar | Scrapers y clientes automatizados: se aplica límite de tasa. |
| 86 – 100 | Abuso claro | Bloquear | Credential stuffing, headless masivo, patrones de ataque conocidos. |
De dónde sale la puntuación
Muchas señales débiles forman una decisión fuerte.
Ninguna señal por separado basta para clasificar tráfico. WAFLY combina reputación, comportamiento y huella técnica para distinguir un navegador real de un cliente que finge serlo, sin depender de un único indicador que se pueda falsificar.
- Reputación de IP y ASN
- Coherencia de cabeceras
- Huella TLS
- Ritmo de peticiones
- Comportamiento de navegación
- Navegadores headless
- Rotación de user-agent
- Anomalías de sesión
Qué frena
Los abusos que consumen infraestructura sin darte nada a cambio.
Credential stuffing
Intentos masivos de acceso con credenciales robadas contra tu login. Se limitan y bloquean antes de saturar la autenticación.
Scraping de contenido
Rastreo agresivo de precios, catálogo o inventario. Se controla sin penalizar a buscadores ni a usuarios reales.
Abuso de formularios
Spam, registro fraudulento y abuso de pruebas gratuitas. WAFLY filtra los envíos automatizados antes de que lleguen a tu aplicación.
Mitigación de bots
Preguntas frecuentes sobre bots
¿Vais a bloquear a Google y a los buscadores?
No. Los buscadores legítimos se verifican y se permiten. La mitigación actúa sobre automatización abusiva y bots que se hacen pasar por navegadores o rastreadores, no sobre el tráfico que quieres recibir.
¿Los desafíos molestan a los usuarios reales?
La mayoría de comprobaciones son silenciosas y no requieren interacción. Solo el tráfico con puntuación alta se enfrenta a fricción, y puedes ajustar los umbrales por ruta para ser más estricto en login o checkout y más permisivo en el catálogo.
¿Sirve contra el credential stuffing?
Sí. Es uno de los casos principales: se combinan reputación, ritmo y señales de sesión para limitar y bloquear intentos automatizados de acceso, aliviando la presión sobre tu login y tu base de datos.
¿Puedo ver qué bots llegan y qué se hace con ellos?
Sí, en la analítica de tráfico: cada evento de desafío, límite o bloqueo aparece con su puntuación, ruta y motivo.
Menos ruido, menos abuso
Quita de tu servidor el tráfico que no aporta nada.
Revisamos tu presión de bots actual sobre login, catálogo y formularios y te proponemos umbrales por ruta.