El tráfico de bots ya supera al humano en internet

El hito: los bots ya son más de la mitad del tráfico en internet

En 2026, el tráfico automatizado superó al humano por primera vez en la historia de la web, según el último informe de DataDome citado por SiliconANGLE y recogido por múltiples medios. Entre julio de 2025 y junio de 2026, el tráfico de bots maliciosos creció 124%, más de nueve veces el ritmo de crecimiento del tráfico humano, sobre una muestra de más de un billón de peticiones en 75.000 sitios de clientes.

El propio Matthew Prince, cofundador y CEO de Cloudflare, reconoció durante su earnings call que ese umbral llegó antes de lo previsto: a finales de 2025 estimaban que ocurriría en el segundo semestre de 2027, pero ya se produjo este año. Si la tendencia continúa, en cinco años el tráfico no humano podría ser 1.000 veces el humano, según Prince, que lo resumió con una frase incómoda: "los humanos serán un error de redondeo en internet".

El dato deja de ser una curiosidad estadística para convertirse en un problema de arquitectura de negocio: cuando la mayor parte de las peticiones a tu web vienen de máquinas, las reglas del juego digital —SEO, analítica, monetización publicitaria, incluso los SLAs— se reescriben.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Qué está pasando realmente: de scraping a ataques a cuentas

El crecimiento del tráfico no humano no es uniforme. El informe de DataDome, replicado por TechNewsWorld, identifica tres patrones críticos para fundadores:

Scraping (+185,2%): representa el 70,9% del tráfico malicioso. Ya no son sólo los clásicos bots de entrenamiento: son agentes de IA, herramientas de research y resellers de datos que copian contenido para entrenar modelos o alimentar respuestas agentic.
Scalping (+290,7%): el volumen diario mediano casi se cuadruplicó. Bots que compran inventario limitado para revenderlo (entradas, drops, ofertas flash).
Ataques DDoS (+39,9%): peak de más de 2.000 millones de peticiones en un solo día, en abril.

El vector más sensible es el nuevo. Las peticiones de IA a páginas de login se multiplicaron por más de ocho en el primer semestre de 2026. Del total de 29.020 millones de peticiones de bots de IA registrados en ese período, 97,9% fue a homepages y contenido general, pero el 2,1% restante fue a login, formularios, carritos, pagos y creación de cuentas. En login pages, la cuota relativa pasó de 23% a 51,7% del tráfico interno a esos flujos.

Las infecciones lógicas se entienden mejor con las cifras: los bots afiliados a Meta explican el 46,3% del tráfico identificado de IA en la red de DataDome; los de OpenAI, 34,6%. El 80% de los agentes de IA no se identifica correctamente, según un estudio paralelo de la propia DataDome, y el spoofing de identidad de agentes subió 45% entre febrero y julio de 2026.

Cloudflare activa el peaje: bloquear por defecto y cobrar por petición

Cloudflare lleva meses posicionándose como intermediario de esa nueva economía. A partir del 15 de septiembre de 2026, sus ajustes por defecto bloquean los crawlers "de uso mixto" en páginas con anuncios, obligando a proveedores como Google a separar sus bots de búsqueda de los de entrenamiento y agentes, según reportó TechCrunch.

El movimiento complementa tres productos ya en producción:

AI Crawl Control: lanzado en 2025, da un toggle por defecto para bloquear scrapers de IA. Desde junio de 2026, está integrado también en beehiiv, plataforma de newsletters con más de 135.000 publishers, permitiendo a creadores individuales bloquear o autorizar crawlers con un clic y ver qué bots piden sus archivos y cuánto tráfico de referral devuelven.
Pay Per Crawl: marketplace donde el editor cobra al bot por cada petición que sirva. En julio de 2026 evolucionó a Pay Per Use, que cobra al modelo cada vez que el contenido genera valor, no sólo cuando se descarga.
Compra de Human Native (enero 2026): marketplace de datos de IA para ampliar el catálogo de contenido licenciable disponible para proveedores de modelos.

Cloudflare no es la única. DataDome, Akamai, F5 y el ecosistema de WAF/APIs están reacomodando catálogos hacia el control granular. El modelo de tres opciones que describe el artículo de NEO (bloqueo total, acceso libre, pago por uso) es ya el estándar emergente.

Por qué importa a tu startup aunque no seas editor

Aunque no publiques contenido, tu producto está expuesto a tres efectos inmediatos:

Analítica envenenada. Si más de la mitad del tráfico viene de bots, las métricas de Google Analytics, Mixpanel o PostHog se distorsionan. La tasa de conversión, el tiempo en página y los embudos quedan inflados o falseados por tráfico que nunca compra. Hay que filtrar con CDN/WAF antes de medir.
Costos de infraestructura alineados al tráfico IA. Cloudflare y otros CDN están empezando a cobrar o peajar a los crawlers, pero el ancho de banda y cómputo que consumen sale de tu factura. En SaaS con API pública, un agente puede ejecutar 100 requests donde un humano hacía uno: el unit economics cambia.
Competidores scrapeando tu pricing y catálogo. El 185% de crecimiento en scraping incluye a competidores copiando tu pricing cada hora, a comparadores financieros que re-publican tus datos sin permiso y a modelos de IA pre-entrenados con tu catálogo para alimentar asistentes de compra rivales.

¿Qué puedes hacer esta semana? Acciones concretas

Audita tu robots.txt y tu CDN con un bot real. Usa las cabeceras User-Agent de GPTBot, ClaudeBot, Google-Extended y CCBot. Verifica qué pasa si los bloqueas hoy: ¿qué referrers pierdes? ¿qué ancho de banda ahorras? El toggle de Cloudflare está disponible en el plan free.
Mide con y sin bots durante 30 días. Segmenta GA4 por "user_agent" y compara conversiones reales vs. aparentes. Si tu funnel se desinfla un 30-50% al filtrar bots, ese es el número que llevas meses reportando mal a tu board.
Define tu postura antes que tu CMO te la pida. Tres plantillas listas: (a) blog abierto a IA para SEO agentic, (b) dashboard de producto bloqueado salvo auth, (c) pricing/API con Pay Per Crawl propio si tienes datos únicos. La inacción ya es una decisión: los modelos de IA están tomando tu contenido gratis.
Revisa autenticación y límites de velocidad. Los bots de IA ya tocan login flows (51,7% de su tráfico interno). Implementa rate limiting por fingerprint, CAPTCHA adaptativo o, si tienes el presupuesto, liveness detection según el caso de uso.
Si eres media/newsletter, evalúa integraciones como la de beehiiv+Cloudflare antes de que tu tráfico de referral caiga. Pay Per Crawl está en beta, pero la ventaja competitiva de cobrar desde el día uno vale más que esperar al estándar.

La siguiente frontera: contenido y computación, ambos de pago

El modelo de peaje digital describe el artículo de NEO también redefine qué cuenta como infraestructura competitiva. Cloudflare, con ingresos de US$696,1M en Q2 2026 (+35,9% interanual) y casi 2 millones de nuevos developers construyendo en Workers, ya dejó de ser un CDN de defensa para convertirse en broker de tráfico IA/agentic. La tesis de Prince es directa: extraer más utilización por cada dólar de capex es el negocio en el que están ganando.

Para founders en México y América Latina, la lectura es doble. Por un lado, las plataformas de e-commerce, fintech y medios tienen un nuevo vector de monetización (cobrar a los agentes por servirles datos). Por otro, la transformación digital interna se acelera: las propias empresas de infraestructura están comprimiendo equipos técnicos porque la IA automatiza monitoreo y operaciones de red, abriendo hueco para perfiles que sepan diseñar y gobernar sistemas autónomos.

La gestión del tráfico automatizado dejó de ser un problema del CISO. Es variable de pricing, de Producto y de Finanzas. Quienes definan hoy su política de acceso frente a agentes de IA，estarán en cuando estos esquemas se vuelvan estándar de mercado.