Bot management
No todo bot es enemigo ni todo humano es legítimo. El bot management asigna una nota de confianza a cada solicitud y deja que la política decida qué hacer con ella.
Qué es
Una parte grande del tráfico de cualquier aplicación pública es automatización: buscadores y monitoreo (útiles), pero también scrapers, , acaparamiento de inventario y creación de cuentas falsas. La defensa no es bloquear "bots", es distinguir la intención y actuar sobre el abuso.
Cómo funciona la clasificación
Las soluciones de bot management combinan señales para producir una puntuación por solicitud. Ninguna señal es decisiva por sí sola, pero juntas separan bien el tráfico:
- Fingerprints de red y TLS: los clientes de automatización suelen tener firmas distintas de las de los navegadores reales.
- Señales de navegador y comportamiento: ejecución de JavaScript, movimiento, cadencia de solicitudes.
- Reputación y contexto: IP, ASN, historial del cliente, patrón por endpoint.
- Bots verificados: crawlers conocidos (buscadores, monitores) identificados de forma confiable y tratados aparte.
La política decide la acción
La puntuación no bloquea nada por sí sola: la política define la acción por endpoint. Un catálogo público puede tolerar un score medio, mientras que el login y el checkout desafían o bloquean. Una expresión de ejemplo, al estilo de las reglas de Cloudflare:
# alto riesgo de automatización en endpoints sensibles, ignorando bots verificados
(cf.bot_management.score lt 30
and not cf.bot_management.verified_bot
and http.request.uri.path in {"/api/login" "/api/checkout"})
-> action: Managed ChallengeDesafíos sin fricción
Los desafíos clásicos (CAPTCHA) castigan a los usuarios reales. Los desafíos modernos y administrados intentan probar que el cliente es un navegador real sin pedirle nada al usuario, y solo escalan a una interacción cuando la duda persiste. El desafío es el escalón previo al bloqueo: reduce el falso positivo y aun así resulta caro para quien automatiza a escala.
Casos de uso más comunes
- Credential stuffing en el login y en la recuperación de contraseña.
- Scraping de precios, catálogo o contenido.
- Creación masiva de cuentas y abuso de promociones.
- Acaparamiento de inventario y fraude en el checkout.
- APIs: los bots usan directamente las rutas, así que la política también debe cubrir el tráfico sin navegador.
conexiones en el mapa
- Ingeniería de detecciónpuntúa la automatizaciónBot management
- Bot managementactivaRunbooks, respuesta y hardening posincidente
actualizado el 14/10/2026 · fuentes para profundizar · reportar un error
en otros dominios
- Ingeniería social y defensa contra phishingoffsecla ingeniería social y el abuso automatizado atacan la identidad por el mismo lado
- A07 Authentication Failuresowaspel credential stuffing es, ante todo, tráfico automatizado
- Guardrails - filtros de entrada y salidaai-agentsdistinguir automatización legítima de abuso vale también para los agentes
Estudia antes
pon a prueba lo que entendiste
Cargando preguntas…