TL;DR:
Los bots ahora representan el 49 % de todo el tráfico, casi igual que los humanos (51 %)
El 99 % del tráfico de bots es no deseado, incluidos scrapers, suplantadores, atacantes automatizados y automatización genérica
Solo el 1 % de los bots están verificados/son deseados, y la IA representa un subconjunto pequeño pero de gran impacto
El tráfico de bots es único para cada empresa, sector y región; JAPAC registró la menor presencia humana, la mayor cantidad de bots no deseados y la menor cantidad de bots deseados, mientras que LATAM mostró lo contrario
Resultado final: los bots no solo forman parte de tu tráfico; están moldeando cómo se accede a tu contenido, cómo se consume y cómo queda expuesto, y su presencia tiene impactos distintos para cada empresa.
----
La IA no solo está cambiando cómo usa la gente internet, sino también cómo internet te usa a ti.
Entre bastidores, los bots ya son responsables de casi la mitad de todo el tráfico en aplicaciones y API. Pero la verdadera historia no es solo el volumen; es adónde van los bots, a qué acceden y la escasa visibilidad que la mayoría de las organizaciones tienen al respecto.
En nuestro último Threat Insight Report, analizamos billones de peticiones en toda la red de Fastly para entender cómo interactúan los bots con el contenido almacenado en caché y el contenido en origen. Lo que encontramos cuestiona algunas suposiciones muy arraigadas sobre el rendimiento, el coste y el control, y pone de relieve por qué tu estrategia frente a los bots puede necesitar una reconsideración seria.
Casi la mitad de tu tráfico no es humano, y la mayor parte no es verificable
En enero de 2026, los bots representaron el 49 % de todas las peticiones, casi igualando el tráfico humano, con un 51 %. Eso por sí solo no sorprende, pero esto sí: el 99 % de ese tráfico de bots es no deseado o no verificable.
No se trata de rastreadores inofensivos, sino de:
Suplantar servicios legítimos
Extracción de inteligencia competitiva
Sondear vulnerabilidades
Automatizar ataques como la apropiación de cuentas (ATO)
Y, como muchos de ellos intentan disfrazarse de bots verificados, las organizaciones suelen tomar decisiones de política basadas en datos erróneos. Si crees que estás permitiendo «ChatGPT» fijándote solo en el User-Agent declarado, por ejemplo, es muy probable que en realidad también estés permitiendo bots que fingen serlo.
Aquí es donde fracasan la mayoría de las estrategias de bots. Se detienen en «¿es esto un bot?» cuando la verdadera pregunta es: ¿qué está haciendo este bot y debería permitírsele hacerlo?
Tu contenido más valioso está más expuesto de lo que crees
El contenido almacenado en caché se ha considerado tradicionalmente de bajo riesgo. Es más rápido, más barato de distribuir y, a menudo, se pasa por alto desde el punto de vista de la seguridad. Pero casi la mitad de las peticiones de contenido almacenado en caché (47 %) provienen de bots. Eso plantea una pregunta importante: quién accede a tu contenido más visible y valioso, y por qué.
Para muchas organizaciones, esa respuesta no está clara. Parte de esta actividad puede ser esperada. Parte de ella puede ser estratégica. Pero sin una visibilidad más profunda, es difícil determinar:
Qué bots crean valor
Que están creando riesgos
Y cuáles deberían permitirse en absoluto
Los bots están aumentando silenciosamente los costes de infraestructura
Cuando los bots van más allá de almacenar en caché, el impacto pasa de la visibilidad al coste. Estas peticiones llegan directamente a tu infraestructura, eluden la caché, aumentan los costes de tráfico de salida y añaden carga donde más importa.
No todo este tráfico es malicioso, pero gran parte sí lo es: de poco valor, redundante y (¡potencialmente!) totalmente innecesario.
Sin entender la intención detrás de estas peticiones, las organizaciones acaban asumiendo el coste sin comprender la contrapartida. El informe concluyó que el 60 % de todo el tráfico en origen proviene de bots, lo que obliga a las organizaciones a entender a qué se está accediendo y qué valor se obtiene al permitirlo.
Bots de IA: una pequeña parte con un impacto desproporcionado
Mires donde mires, ahí está la IA. Así que no sería correcto no prestarle la atención que merece. Pero nuestros datos han revelado ciertos matices en la conversación (omnipresente) sobre la IA.
Solo el 1 % de los bots están verificados o son «deseados», y la IA representa un subconjunto de ese tráfico. Sin embargo, su influencia es desproporcionada.
Los bots de IA no solo acceden al contenido, sino que transforman cómo se muestra, se resume y se consume. En algunos casos, pueden incluso desvincular por completo el contenido de su fuente original. Una tendencia que destacamos en el informe: el 57 % de las peticiones de bots de búsqueda de IA se dirigen a contenido no almacenado en caché, a menudo vinculado a consultas en tiempo real o muy específicas.
Qué significa esto: la estrategia de bots ahora es estrategia empresarial
Antes, la gestión de bots quedaba en segundo plano, como una cuestión de seguridad o infraestructura. Ese modelo ya no se sostiene.
Cuando los bots representan la mitad de tu tráfico, generan la mayor parte de la carga en el origen y determinan cómo se muestra tu contenido en los sistemas de IA, dejan de ser un caso límite técnico y pasan a convertirse en una variable empresarial. Lo que dejan claro nuestros datos es que el verdadero cambio no es solo el volumen. Es la toma de decisiones.
Ahora, cada petición conlleva preguntas implícitas:
¿Se debería permitir que este bot acceda a este contenido y en qué contexto?
¿Cuál es el impacto empresarial si lo hace?
La mayoría de las organizaciones no pueden responder hoy a esa pregunta. No porque les falten datos, sino porque carecen de la capacidad de conectar la identidad del bot con la intención de una forma significativa.
Ahí está la brecha. Y es ahí donde la estrategia debe evolucionar.
Porque, en un ecosistema impulsado por la IA, el acceso es poder de negociación. Los bots a los que permites el acceso determinan cómo aparece tu marca, cómo se usan tus datos y cómo se consume tu infraestructura, a menudo mucho después de que se haya hecho la petición original.
Las organizaciones que se adapten no serán las que simplemente bloqueen más o permitan más. Serán las que tomen decisiones deliberadas y granulares sobre quién obtiene acceso a qué, y por qué.
Lee el Threat Insights Reportfull para ver cómo la identidad, la intención y el acceso de los bots están redefiniendo el rendimiento, los costes y el control en toda la web, y descubre cómo puedes responder.