PatronView: 99% del tráfico web son bots y cuesta $90/mes

214 bots por cada humano real: la realidad del tráfico web en 2026

En la semana que publicó este artículo, el sitio de PatronView respondió 2,5 millones de solicitudes del mundo exterior y sirvió 1,28 millones de páginas completas. Sin embargo, sus estadísticas de visitantes solo registraron 5.977 páginas vistas. Esto significa que por cada carga de página que Nick Gray puede ver en sus analíticas, ocurren aproximadamente 214 más que nunca aparecen en sus dashboards.

La razón es simple: herramientas analíticas como Plausible Community Edition, Fathom o Google Analytics solo cuentan visitantes que ejecutan JavaScript. Casi ningún bot lo hace. Según Gray, fundador de PatronView, "si solo miras las estadísticas de visitantes de una herramienta JavaScript, no tienes idea de lo que está golpeando tu servidor".

El tsunami de bots que nadie te cuenta

PatronView es una base de datos personalizada de filántropos estadounidenses que Gray construyó a partir de formularios IRS 990, paredes de donantes públicas y reportes anuales. Con 1,5 millones de páginas de perfiles individuales, es un imán natural para scrapers y crawlers.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

El primer indicio serio llegó en noviembre de 2025: 4.000 "visitantes" aparecieron en unos días, cada uno visitando exactamente una página con una tasa de rebote del 99%. Más revelador fue que no tenían referrer. "Esa suele ser la forma más fácil de detectar un bot", explica Gray.

Pero eso era solo el calentamiento. El 22 de abril de 2026, su sitio recibió 3,6 millones de solicitudes en un solo día, provenientes de 361.844 direcciones IP únicas, casi todas en China. Cloudflare Managed Challenge absorbió 1,18 millones de esos intentos en las primeras diez horas.

La proporción Claude: 35.000 páginas por cada visitante

Cloudflare ha dicho que los crawlers de Anthropic ejecutan alrededor de 3.000 páginas rastreadas por visitante referido. En junio, Gray midió la suya: 35.000 a 1. Para aclarar lo que eso significa: por cada visitante que Claude le envió, su crawler leyó 35.000 de sus páginas.

En una semana, Claude-SearchBot solicitó 420.680 páginas mientras Claude envió solo 12 visitantes humanos. La pestaña de ancho de banda fue peor: esa semana sirvió 4,63 GB al bot y solo 175 KB a los humanos que envió.

Pero Claude no es el único. Mientras investigaba para este post, Gray descubrió que Amzn-SearchBot, el crawler de búsqueda de IA de Amazon, era ahora su crawler número uno con aproximadamente 117.000 solicitudes por día. Eso es casi el doble del ritmo de Claude en junio.

El contexto global: 57,5% del tráfico web ya es bot

Según datos de Cloudflare Radar recopilados por Stack Futures, el 27 de abril de 2026 los bots cruzaron el 50% de todas las solicitudes HTML globales en la red de Cloudflare, la primera vez en la historia de Internet que el tráfico automatizado superó al tráfico humano. A principios de junio de 2026, la división estaba en 57,5% bots, 42,5% humanos.

En Estados Unidos, la brecha es más amplia: 71,5% de las solicitudes web domésticas son generadas por bots. Matthew Prince, CEO de Cloudflare, publicó en X el 3 de junio: "Bueno, eso sucedió más rápido de lo que predije. Pensé que sería a fines de 2027, luego a principios de 2027, pero el tráfico agéntico está creciendo tan rápido que los bots ahora han superado el tráfico humano en línea por primera vez en la historia de Internet".

Las reglas de firewall que realmente funcionan

Después de un año de experimentación, Gray compartió las 9 reglas de seguridad que implementó en Cloudflare WAF con su plan Pro de $25 por mes:

Bloquear China y Vietnam. Bloqueos por país agregan cero latencia para todos los demás.
Bloquear 12 crawlers SEO por user-agent. Semrush, Ahrefs, MJ12bot, DotBot, BLEXBot, Barkrowler y amigos.
Bloquear crawlers de IA con malas proporciones por user-agent. Actualmente: Claude-SearchBot y Amzn-SearchBot.
Saltar todo lo siguiente para bots verificados. Cloudflare verifica criptográficamente Googlebot, Bingbot y Applebot.
Desafiar a cada continente excepto América del Norte. Su audiencia es 97% América del Norte.
Desafiar user-agents vacíos. Ningún navegador real envía nada.
Desafiar 46 ASN de centros de datos. Los humanos no navegan desde AWS.
Desafiar navegadores obsoletos. Chrome 100-130 y Firefox antiguo obtienen CAPTCHA.
Limitar tasa: 30 solicitudes de página por 10 segundos por IP.

El costo oculto que nadie menciona

El sitio de Gray funciona con Cloudflare Workers con la base de datos D1 y la caché KV en el edge. La mayoría de las solicitudes de bots golpean la caché y cuestan fracciones de centavo. Su factura normal para ejecutar todo el sitio es de alrededor de $90 al mes. Durante un mes con un pico malo, saltó aproximadamente 500%.

Pero los costos reales fueron los más sigilosos:

Sus estadísticas de visitantes se contaminaron tanto que no podía confiar en sus propios números.
Una tarde, los fallos de caché de una ráfaga de Azure se acumularon y los visitantes reales obtuvieron errores 504.
El script de detección de JavaScript de Cloudflare costaba 2.875 milisegundos en un teléfono de gama media, mientras que todo el JavaScript de su sitio se ejecuta en 278ms. Era la razón principal por la que su puntaje Lighthouse móvil era 58.

Cuando lo apagó el 5 de agosto, alcanzó un puntaje Lighthouse de 99 en una hora.

¿Qué significa esto para tu startup?

Si estás construyendo un SaaS, una plataforma de contenido o cualquier sitio web con datos valiosos, esta batalla te llegará. Aquí hay 5 acciones concretas que puedes implementar hoy:

1. Mira tus logs de servidor, no tus estadísticas de visitantes Tus estadísticas ven menos del medio por ciento de lo que está sucediendo. Configura alertas cuando el tráfico sin referrer supere un umbral específico.

2. Bloquea por ASN, no por IP Las IPs rotan para siempre. Las redes no. La lista de Gray incluye 46 ASN de centros de datos que desafía sistemáticamente.

3. Desafía, no bloquees, cuando los humanos puedan estar dentro Un desafío administrado es invisible para la mayoría de las personas reales. Y te permite medir. La tasa de resolución de CAPTCHA de Gray es del 0,24% durante una ventana de 48 horas: 106.437 desafíos emitidos, 252 resueltos.

4. Perfila lo que cuestan tus características de seguridad El script CAPTCHA de Gray era más caro que todo su sitio. Usa herramientas como Lighthouse para medir el impacto en el rendimiento.

5. Implementa una regla simple: "un crawler que nunca me envía un visitante se bloquea" Google gana su mantenimiento con una proporción de 46:1. Bing es 9 veces peor pero aún defendible. Los crawlers de IA que entrenan LLMs no están cerca.

La economía rota del web moderno

La asimetría económica es el problema central: los costos de los scrapers cayeron más rápido que las defensas de todos mejoraron. Cloudflare está construciendo pay-per-crawl, donde los crawlers pagan por solicitud en el edge. Gray dice que "felizmente vendería a Amazon esas 3,5 millones de páginas al mes a una tarifa justa".

Hasta que exista un mercado como ese, la realidad para los founders es clara: tu sitio está siendo minado por máquinas que nunca generarán ingresos para tu negocio. Los bots usan el 99% de tu factura y tú pagas el 100%.

Para startups hispanohablantes, esto es particularmente crítico porque:

Los recursos son limitados
Cada dólar en infraestructura cuenta
La contaminación de datos dificulta tomar decisiones basadas en métricas reales
El rendimiento afecta directamente la experiencia del usuario y las conversiones

Conclusión

La batalla contra los bots es un juego de whack-a-mole que consume tiempo y recursos. Como dice Gray, "cada pocas semanas tengo que pasar tiempo luchando contra alguien nuevo".

Pero ignorarlo tiene costos reales: facturas de infraestructura infladas, métricas contaminadas, y lo más importante, tiempo perdido tomando decisiones basadas en datos falsos.

La solución no es técnica sino económica. Mientras tanto, las reglas compartidas por Gray ofrecen un punto de partida práctico para cualquier founder que esté lidiando con esta realidad.