TL;DR:
Los bots representan ahora el 49% de todo el tráfico, casi a la par de los humanos (51%)
El 99% del tráfico de bots es no deseado, incluidos extractores de datos, suplantadores de identidad, atacantes automatizados y automatización genérica
Solo el 1% de los bots está verificado/deseado, y la IA representa un subconjunto pequeño pero de alto impacto
El tráfico de bots es único para cada empresa, industria y región, JAPAC registró la menor cantidad de humanos, la mayor cantidad de bots no deseados y la menor cantidad de bots deseados, mientras que LATAM registró lo opuesto
Resultado final: los bots no solo son parte de tu tráfico; están definiendo cómo se accede a tu contenido, se consume y se expone, y su presencia tiene diferentes impactos para cada empresa.
----
La IA no solo está cambiando cómo la gente usa Internet —está cambiando cómo Internet te usa a ti—.
Detrás de escena, hoy en día los bots son responsables de casi la mitad de todo el tráfico en aplicaciones y API. Pero la verdadera historia no es solo el volumen; es a dónde van los bots, a qué están accediendo y la poca visibilidad que la mayoría de las organizaciones tienen al respecto.
En nuestro más reciente Threat Insights Report, analizamos billones de solicitudes a través de la red de Fastly para entender cómo interactúan los bots con el contenido en caché y de origen. Lo que descubrimos desafía algunos supuestos arraigados sobre el rendimiento, el costo y el control, y destaca por qué tu estrategia de bots podría necesitar una reconsideración seria.
Casi la mitad de tu tráfico no es humano, y la mayor parte no es verificable
En enero de 2026, los bots representaron el 49% de todas las solicitudes, casi igualando al tráfico humano con un 51%. Eso por sí solo no resulta sorprendente, pero esto sí lo fue: el 99% de ese tráfico de bots es no deseado o no verificable.
No son rastreadores inofensivos, son:
Suplantación de servicios legítimos
Extracción de inteligencia competitiva
Búsqueda de vulnerabilidades
Automatización de ataques como apropiaciones de cuenta (ATO)
Y debido a que muchos de ellos intentan disfrazarse de bots verificados, con frecuencia las organizaciones toman decisiones sobre sus políticas basándose en datos incorrectos. Si crees que estás permitiendo “ChatGPT”, al observar únicamente su Usuario-Agente declarado, por ejemplo, existe una posibilidad real de que también estés permitiendo bots que se hacen pasar por él.
Aquí es donde fallan la mayoría de las estrategias de bots. Se detienen en “¿es un bot?” cuando la verdadera pregunta es: ¿qué está haciendo este bot —y debería permitírsele hacerlo—?
Tu contenido más valioso está más expuesto de lo que crees
Por lo general, el contenido de caché se ha considerado de bajo riesgo. Es más rápido, más económico de entregar y, a menudo, se pasa por alto desde la perspectiva de la seguridad. Pero casi la mitad de las solicitudes a contenido de caché (47%) proviene de bots. Eso plantea una pregunta importante: quién accede a tu contenido más visible y valioso —y por qué—.
Para muchas organizaciones, esa respuesta no es clara. Parte de esta actividad puede ser esperada. Parte de ella puede ser estratégica. Pero sin una visibilidad más profunda, es difícil determinar:
¿Qué bots están generando valor?
Que están creando riesgo
Y cuáles deberían permitirse
Los bots aumentan silenciosamente los costos de infraestructura
Cuando los bots van más allá de la caché, el impacto pasa de la visibilidad al costo. Estas solicitudes llegan directamente a tu infraestructura, omitiendo la caché, aumentando los costos de salida y agregando carga donde más importa.
No todo este tráfico es malicioso, pero gran parte sí lo es: de poco valor, redundante y (¡potencialmente!) completamente innecesario.
Sin comprender la intención detrás de estas solicitudes, las organizaciones terminan absorbiendo el costo sin entender las concesiones. El informe reveló que el 60% de todo el tráfico de origen proviene de bots, lo que obliga a las organizaciones a comprender qué se está consultando y el valor derivado de permitirlo.
Bots de IA: una porción pequeña, un impacto enorme
Dondequiera que mires, ahí está: la IA. Así que sería un error no darle la atención que merece. Pero nuestros datos han sacado a la luz ciertos matices en la conversación (que todo lo consume) sobre la IA.
Solo el 1% de los bots están verificados o son “deseados”, y la IA representa un subconjunto de ese tráfico. Sin embargo, su influencia es desproporcionada.
Los bots de IA no solo acceden al contenido, sino que también cambian la forma en que este se muestra, resume y consume. En algunos casos, pueden separar por completo el contenido de su fuente original. Una tendencia que destacamos en el informe: el 57% de las solicitudes de los recolectores de IA se dirigen a contenido que no está en caché, a menudo vinculado a consultas en tiempo real o muy específicas.
Qué significa esto: la estrategia de bots ahora es una estrategia de negocios
Anteriormente, la gestión de bots permanecía en segundo plano, como una preocupación de seguridad o infraestructura. Ese modelo ya no se sostiene.
Cuando los bots representan la mitad de tu tráfico, generan la mayor parte de la carga de origen y determinan cómo se muestra tu contenido en los sistemas de IA, dejan de ser un caso límite técnico y se convierten en una variable del negocio. Lo que dejan claro nuestros datos es que el verdadero cambio no es solo el volumen. Es la toma de decisiones.
Cada solicitud ahora contiene preguntas implícitas:
¿Debería permitirse que este bot acceda a este contenido y bajo qué contexto?
¿Cuál es el impacto empresarial si ocurre?
La mayoría de las organizaciones no puede responder esa pregunta hoy en día. No porque carezcan de datos, sino porque carecen de la capacidad de conectar la identidad del bot con la intención de manera significativa.
Esa es la brecha. Y es ahí donde la estrategia debe evolucionar.
Porque en un ecosistema impulsado por IA, el acceso es ventaja. Los bots que permites dan forma a cómo aparece tu marca, cómo se usan tus datos y cómo se consume tu infraestructura —a menudo mucho después de que se realiza la solicitud original—.
Las organizaciones que se adapten no serán las que simplemente bloqueen más o permitan más. Serán las que tomen decisiones deliberadas y granulares sobre quién obtiene acceso a qué y por qué.
Lee el Threat Insights Reportcompleto para ver cómo la identidad, la intención y el acceso de los bots están redefiniendo el rendimiento, el costo y el control en toda la web, y descubre cómo puedes responder.