Buenas prácticas · 7 min de lectura
Cómo mitigar bots sin bloquear a tus usuarios reales
Cómo mitigar bots con puntuación de riesgo, desafíos proporcionales y reglas por ruta sin bloquear compradores, usuarios reales ni buscadores legítimos.
Publicado el 30 de mayo de 2026 · Equipo de seguridad de WAFLY
La defensa anti-bot mal calibrada hace más daño que los propios bots: si bloqueas a un comprador real o a un buscador legítimo, el coste es directo. La solución no es ser más agresivo, sino más preciso.
No todo el tráfico automatizado es abuso
Buena parte del tráfico de cualquier web no es humano, y eso no siempre es malo: buscadores, monitores de disponibilidad, integraciones legítimas. El objetivo no es bloquear «los bots», sino distinguir la automatización abusiva —credential stuffing, scraping agresivo, abuso de formularios— del resto.
El error del interruptor de todo o nada
Muchas defensas funcionan como un interruptor: o dejas pasar o bloqueas. El problema es que las señales rara vez son concluyentes al 100%. Con un umbral único, o eres demasiado laxo y dejas pasar abuso, o demasiado estricto y cortas a usuarios reales con conexiones o navegadores poco habituales.
Puntuar en lugar de decidir en binario
Un enfoque más robusto asigna a cada petición una puntuación de riesgo a partir de muchas señales débiles:
- Reputación de la IP y del ASN.
- Coherencia de las cabeceras y huella TLS.
- Ritmo de peticiones y comportamiento de navegación.
- Indicios de navegador headless o de rotación de user-agent.
Ninguna señal basta por sí sola —cualquiera se puede falsificar—, pero combinadas dibujan una imagen fiable. Y con una puntuación, la respuesta puede ser proporcional:
Puntuación baja, permitir. Media, un desafío silencioso. Alta, limitar la tasa. Muy alta, bloquear.
Ajusta por ruta, no por sitio
No toda tu web necesita el mismo nivel de exigencia. El catálogo público puede ser permisivo; el login y el checkout, estrictos. Aplicar umbrales distintos por ruta te deja ser duro donde importa sin penalizar la navegación normal.
Mide antes de apretar
Igual que con el WAF, conviene observar antes de bloquear. Revisa en la analítica de tráfico qué puntuaciones reciben tus peticiones reales y ajusta los umbrales con datos, no por intuición. El detalle del enfoque está en la página de mitigación de bots.