Los bots en tu web: qué atacan, qué bloqueamos y cómo protegerte

La semana pasada, en SWPanel, hemos observado una actividad destacada de bots, especialmente de inteligencia artificial. Aunque la mayoría del tráfico en las webs es de personas reales, los bots también juegan un papel importante, y no siempre son amigos. En este boletín te explicamos qué hemos visto, qué significa y cómo puedes protegerte sin complicaciones técnicas.

Lo que hemos visto en SWPanel

En esta semana (18-25 de octubre de 2026), hemos analizado el tráfico de bots en las webs que tienen activo BotLock, nuestro sistema de detección y bloqueo de bots maliciosos. Estos son los datos clave:

• Personas reales han generado el 55.9% del tráfico total. Aunque la mayoría de las visitas son de usuarios normales, el 2.7% de estas visitas se han bloqueado por comportamientos sospechosos, lo que representa el 19.9% de todos los bloqueos.
• Los bots de inteligencia artificial (IA) han sido los más activos, con un 23.2% del tráfico total. De ellos, el 19.1% se ha bloqueado, lo que equivale al 59.0% de todos los bloqueos. Esto significa que los bots de IA son los que más intentos maliciosos han realizado.
• Los scrapers, bots que copian contenido, han representado el 9.9% del tráfico, pero solo el 1.2% de ellos se han bloqueado, lo que equivale al 1.6% de los bloqueos totales.
• Los bots de búsqueda, como Googlebot o Applebot, han generado el 9.5% del tráfico. De ellos, el 13.5% se ha bloqueado, lo que equivale al 17.2% de los bloqueos totales.
• Las herramientas SEO, como las que analizan el posicionamiento de las webs, han generado el 1.5% del tráfico. De ellas, el 11.5% se ha bloqueado, lo que equivale al 2.3% de los bloqueos totales.

Los bots más bloqueados

Algunos bots han llamado especialmente la atención por el porcentaje de bloqueos:

• Googlebot (buscadores): el 11.5% de sus peticiones se han bloqueado.
• Kimi (IA): el 26.6% de sus peticiones se han bloqueado.
• ChatGPT (IA): el 26.0% de sus peticiones se han bloqueado.
• Bytespider (IA): el 23.1% de sus peticiones se han bloqueado.
• Amazonbot (buscadores): el 18.9% de sus peticiones se han bloqueado.

Estos bots, aunque parezcan legítimos, pueden comportarse de forma inapropiada, como hacer demasiadas peticiones o intentar acceder a archivos sensibles.

Peticiones sospechosas

También hemos observado un aumento en ciertos tipos de peticiones:

• Sondeos de escáneres: intentos de acceder a archivos como .env, .git o phpmyadmin, que pueden revelar información sensible. Esta semana, el 22.5% de las peticiones sospechosas han sido de este tipo, frente al 16.5% de la semana anterior.
• Intentos de acceso a formularios, como wp-login.php o xmlrpc.php, han representado el 0.5% de las peticiones sospechosas, con una ligera estabilidad respecto a la semana anterior.
• Inyecciones de código, como intentos de inyección SQL o XSS, han bajado ligeramente, del 1.7% a 0.8%.
• Peticiones bloqueadas en total han sido el 5.8% de las peticiones, frente al 4.5% de la semana anterior.

Cómo hemos llegado hasta aquí

La semana pasada, el tráfico de bots ha mostrado una tendencia clara: los bots de inteligencia artificial han aumentado su presencia, mientras que los intentos de inyección han disminuido. Esto puede deberse a que los bots de IA están más activos en la recopilación de datos, mientras que los atacantes tradicionales están reduciendo sus intentos de inyección debido a mejoras en la protección de las webs.

Si la tendencia se mantiene, lo previsible es que los bots de IA sigan siendo una fuente importante de tráfico y bloqueos. Un escenario optimista sería que los sistemas de detección sigan mejorando y que los bloqueos se mantengan estables. Un escenario pesimista sería que los bots de IA aumenten su actividad y que los intentos de escaneo también suban. Las señales a vigilar serían un aumento en el número de peticiones sospechosas o un mayor número de bloqueos de bots de IA.

Qué está pasando detrás de los números

Los bots de inteligencia artificial, aunque parezcan útiles, pueden comportarse de forma agresiva. Por ejemplo, pueden intentar acceder a archivos sensibles, hacer demasiadas peticiones en poco tiempo o incluso intentar entrenar modelos con contenido de tu web sin tu consentimiento. Por su parte, los bots de búsqueda, aunque normalmente son legítimos, pueden comportarse de forma inadecuada si no están configurados correctamente.

Los bots de IA son especialmente preocupantes porque pueden estar automatizando tareas que antes requerían humanos, como el escaneo de webs para encontrar vulnerabilidades. Esto significa que los ataques pueden ser más rápidos y más frecuentes.

Cómo puede afectar a tu web o a tu negocio

Imagina que tienes una tienda online con WordPress. Si un bot de IA intenta acceder a archivos como .env o .git, podría obtener información sensible como contraseñas o claves de API. Si no tienes medidas de protección, podría usar esa información para atacar tu web o incluso venderla a terceros.

Otra situación: si un bot de escaneo encuentra que tienes un plugin sin actualizar, podría aprovechar esa vulnerabilidad para inyectar código malicioso en tu web. Esto podría hacer que tu sitio muestre publicidad no deseada, que los usuarios pierdan confianza o que incluso se roben datos de tus clientes.

También es posible que tu web se vea afectada por un aumento de tráfico bot, lo que puede ralentizar tu sitio y afectar a la experiencia de los usuarios reales. En el peor de los casos, si no se actúa a tiempo, tu web podría caer o incluso ser penalizada por Google por comportamientos no deseados.

Cómo protegerte y prevenir

1. Activa BotLock: Si tienes BotLock activo, ya estás bloqueando bots maliciosos. Si no lo tienes, considera activarlo para proteger tu web de bots no deseados.
2. Usa un firewall web: El firewall de SWPanel filtra las peticiones maliciosas antes de que lleguen a tu aplicación. Si no lo tienes activo, es una medida sencilla y efectiva.
3. Actualiza CMS y plugins: Si instalaste tu web desde SWPanel, puedes activar la actualización automática de WordPress y plugins. Esto asegura que estés protegido contra vulnerabilidades conocidas.
4. Usa contraseñas fuertes y 2FA: Las contraseñas débiles son una puerta abierta para los atacantes. Usa contraseñas largas y únicas, y activa la autenticación de dos factores (2FA) en WordPress.
5. Revisa los accesos a tu web: Si tienes acceso a WordPress, revisa periódicamente quién tiene permisos y si hay usuarios inactivos o sospechosos.
6. Habilita las copias de seguridad: En caso de que algo vaya mal, las copias de seguridad te permiten recuperar tu web rápidamente. SWPanel ofrece copias de seguridad automáticas.
7. Cambia la versión de PHP si es necesario: Si estás usando una versión de PHP sin soporte, cambia a una versión con soporte desde el panel de hosting. Esto asegura que recibas actualizaciones de seguridad.
8. Activa el análisis de seguridad de SWPanel: El análisis de seguridad de Seguridad 360 detecta CMS, plugins y versiones con fallos conocidos. Te ayuda a identificar problemas antes de que sean explotados.
9. Suscríbete al boletín de seguridad de SWPanel: Te mantendrá informado sobre nuevas amenazas y cómo protegerte.
10. Usa un escáner de vulnerabilidades: Si tienes acceso a WordPress, usa plugins como Wordfence o Sucuri para escanear tu web y detectar problemas.

Qué herramientas de SWPanel te ayudan

• BotLock: Controla y bloquea bots y rastreadores maliciosos de tu web. Úsalo si quieres protegerte de bots no deseados.
• FireWall: Filtra ataques web antes de que lleguen a tu aplicación. Úsalo si quieres una capa adicional de protección.
• Actualización automática de CMS: Si instalaste tu web desde SWPanel, puedes activar la actualización automática de WordPress y plugins. Úsala si quieres estar protegido contra vulnerabilidades conocidas.
• Copias de seguridad: En caso de que algo vaya mal, las copias de seguridad te permiten recuperar tu web rápidamente. Úsala si quieres estar preparado para cualquier situación.
• Cambio de versión de PHP: Si estás usando una versión de PHP sin soporte, cambia a una versión con soporte desde el panel de hosting. Úsala si quieres asegurarte de que recibas actualizaciones de seguridad.
• Análisis de seguridad de SWPanel: Detecta CMS, plugins y versiones con fallos conocidos. Úsala si quieres identificar problemas antes de que sean explotados.
• Boletín y avisos de seguridad de SWPanel: Te mantienen informado sobre nuevas amenazas y cómo protegerte. Úsalo si quieres estar al día sobre las últimas amenazas.

Resumen rápido

• Los bots de inteligencia artificial son los más activos y los que más bloqueos generan.
• Los bots de búsqueda también son una fuente importante de tráfico y bloqueos.
• Los bots de IA pueden comportarse de forma agresiva, como intentar acceder a archivos sensibles.
• Los bots de escaneo y los intentos de inyección han disminuido ligeramente.
• Protege tu web con medidas como BotLock, un firewall, actualizaciones automáticas y copias de seguridad.

Fuentes

Los datos de esta semana han sido medidos por SWPanel en la plataforma de hosting y servidores Cloud.