Cloudflare ha presentado un sistema para evaluar de forma continua el comportamiento de los bots verificados, con el objetivo de que la verificación de identidad vaya acompañada de un seguimiento que confirme que esos bots respetan las preferencias expresadas por los sitios web.
Qué cambia: de verificar identidad a verificar comportamiento
Hasta ahora la verificación de bots se centraba en confirmar «quién» opera un bot. Cloudflare añade ahora una capa que responde a la segunda pregunta clave: «¿podemos confiar en lo que hace?». El nuevo sistema registra y analiza señales operativas para determinar si un bot verificado actúa de forma consistente con las normas y preferencias de los sitios.
Palabra clave: bots verificados
El sistema calcula una especie de «banda de confianza» que refleja con qué consistencia un bot respeta las preferencias públicas de los sitios y qué comportamientos concretos han llevado a esa valoración. La evaluación se basa en observaciones repetidas a lo largo del tiempo, no en incidencias aisladas.
Señales iniciales que se miden
- Respeto a robots.txt: si el tráfico observado por parte del bot consulta y se ajusta a las reglas publicadas en robots.txt, en línea con el estándar RFC 9309. Se buscan patrones repetidos de incumplimiento, no errores puntuales.
- Respuesta a HTTP 429: si el bot reduce su tasa de peticiones tras recibir respuestas 429 (“Too Many Requests”) o ignora esas señales. Pausas o ralentizaciones aumentan la confianza; ignorarlas la reducen.
Por qué importa a administradores y propietarios de sitios
La novedad ofrece a los responsables de sitios más contexto para decidir cómo tratar el tráfico automatizado: saber que un bot tiene identidad verificada dejará de ser suficiente si su comportamiento posterior demuestra que no respeta las preferencias del origen. Además, los operadores de bots responsables dispondrán de una forma de demostrar que mantienen comportamientos adecuados con el tiempo.
Qué deben hacer los administradores
- Revisar y publicar preferencias explícitas mediante robots.txt y otras señales que indiquen límites de acceso o recomendaciones sobre la tasa de peticiones.
- Considerar el uso de herramientas de gestión de bots (Bot Management) y sincronización de preferencias (Bot Preference Sync) para alinear políticas internas con lo publicado en el sitio.
- Configurar umbrales de confianza y acciones asociadas si la función se habilita en su cuenta, una capacidad que Cloudflare planea ofrecer a clientes para que decidan cómo actuar ante distintos niveles de confianza.
Alcance y próximos pasos
Cloudflare está usando ya el sistema internamente para acumular historial y afinar la traducción de observaciones en una puntuación útil. En fases posteriores se espera publicar estas puntuaciones en Radar y ampliar las señales evaluadas. La compañía describe este enfoque como un bucle de responsabilidad: sincronizar preferencias, observar comportamiento y permitir acciones mediante gestión de bots.
El objetivo declarado es mantener las preferencias de los sitios con significado práctico, garantizando que la confianza se gane con comportamiento sostenible y transparente, no solo por la identidad.
Lee también:
- PwnEscape (CVE-2026-99999): kernels parcheados en pruebas para AlmaLinux tras fallo crítico de escape VM
- Se publican 17 nuevas vulnerabilidades en bibliotecas cliente de X.Org que afectan a entornos gráficos
Fuente: Cloudflare Blog
