Un bot de Claude rastreó 35.000 páginas por cada visita real
El creador del sitio PatronView midió durante año y medio el tráfico de rastreadores de IA y descubrió que casi todas las visitas a su página eran de bots, no de personas.
Nick Gray, creador del sitio PatronView, pasó año y medio revisando los registros de su propio servidor para entender quién entra realmente a su página. La cifra que encontró en una semana de mediciones fue contundente: 1,28 millones de páginas servidas, pero solo 5.977 correspondían a visitas de personas reales. Es decir, por cada visita humana, el servidor atendió 214 solicitudes de bots. "El 99% del tráfico de mi sitio web son bots", resumió Gray.
Para distinguir entre rastreo útil y rastreo parasitario, Gray armó una métrica propia: cuántas páginas pide un rastreador por cada visitante que termina enviando al sitio. El buscador de Google, según sus cálculos, necesita rastrear alrededor de 46 páginas para derivar un usuario real. La comparación resultó desastrosa para las herramientas de inteligencia artificial: el rastreador de Claude, llamado Claude-Searchbot, pidió 420.680 páginas durante esa semana y solo le devolvió 12 visitantes a PatronView, una proporción de 35.000 páginas rastreadas por cada persona que efectivamente llegó al sitio. Gray terminó bloqueando ese tráfico con un código de error 403, y Anthropic respetó la restricción: el volumen de pedidos diarios que antes se contaba por decenas de miles se redujo a apenas un puñado de intentos.
El caso de Amazon fue todavía más extremo. Amzn-SearchBot, el rastreador que alimenta funciones como Rufus y Alexa, llegó a pedir 117.000 páginas por día de PatronView sin haberle enviado jamás un solo visitante. Al no existir ningún tipo de retorno, Gray calculó que el cociente entre páginas rastreadas y lectores obtenidos era, directamente, infinito.
El boletín de Onda Corta
Tráfico disfrazado de humano
No todo el rastreo se identificaba con nombre y apellido. El pico más extremo llegó en abril de 2026, cuando el sitio recibió en un solo día 3,6 millones de accesos repartidos entre 361.844 direcciones IP diferentes, casi todas ubicadas en China. Más tarde detectó picos de tráfico originados en Vietnam y en Singapur, con sesiones de Chrome automatizadas que corrían sobre infraestructura de AWS y de Azure, y finalmente tráfico camuflado en redes de proxies residenciales. Ese último tipo fue el más difícil de filtrar porque no había forma sencilla de diferenciarlo de un usuario doméstico común.
Bloquear todo ese tráfico también costó. Gray usaba la verificación de ejecución de JavaScript de Cloudflare para separar personas de máquinas, pero descubrió que ese chequeo sumaba nada menos que 2,875 segundos de procesamiento adicional en un teléfono de gama media. Al desactivarlo, el puntaje de rendimiento de su sitio en la herramienta Lighthouse subió de 58 a 99 puntos. El problema es que apenas quitó esa barrera, un rastreador automatizado que operaba desde infraestructura de Azure bajó 23.000 páginas en solo una hora, dividiendo el ataque entre más de 80 direcciones IP para esquivar los límites de velocidad del servidor.
Con esa experiencia, Gray armó un filtro propio que bloquea países y rastreadores puntuales, exige CAPTCHA cuando detecta tráfico proveniente de grandes centros de datos, descarta navegadores demasiado antiguos y limita la velocidad de las solicitudes. A las 48 horas de activarlo, Cloudflare disparó 106.437 ventanas de verificación CAPTCHA, de las cuales apenas 252 fueron resueltas correctamente, un 0,24% del total.
El impacto también llegó a la factura. Sostener PatronView cuesta cerca de 90 dólares por mes, y en uno de los momentos de mayor tráfico automatizado la factura llegó a subir casi 500%, mientras herramientas de analítica convencionales como Google Analytics no reflejaban nada de lo que realmente pasaba en el servidor.
Cloudflare ya trabaja en un esquema llamado pay per crawl, que permitiría a los sitios cobrarle a cada rastreador por acceder a sus páginas. Hasta que ese sistema exista, el criterio final de Gray es simple: cuando un bot no le aporta ni un solo visitante a la web, queda bloqueado.
El boletín de Onda Corta