Cómo detectar bots por dirección IP

Para detectar bots por dirección IP, consulta la IP del cliente en los endpoints sensibles y mira de qué tipo de red viene. La mayor parte del tráfico automatizado llega desde redes de hosting y centros de datos, proxies, VPN o Tor, así que esas clases de red y la reputación de la IP son el primer filtro. Los rastreadores que dicen ser Googlebot o GPTBot se comprueban con los rangos de IP que publican sus operadores, y todo lo demás recibe una puntuación.

Por qué la IP es una señal de bot tan fuerte

Operar un negocio de bots relevante implica hacer muchas solicitudes. Para evitar límites de tasa simples, los operadores enrutan a través de proxies, VPN, Tor o servidores en la nube. Cada una de esas opciones deja una huella a nivel de IP:

• IP de centro de datos u hosting: a los bots les encanta la nube barata.
• Proxies: especialmente los proxies residenciales rotativos que imitan usuarios reales.
• VPN: para enmascarar el origen y saltarse reglas geográficas simples.
• Nodos de salida de Tor: para anonimato total.

Una solicitud desde cualquiera de estos orígenes no es automáticamente un bot, pero sí es automáticamente más sospechosa que una desde una conexión residencial estable.

El caso más claro aparece en tus analíticas: un pico de "usuarios" de China o Singapur sin ninguna interacción, casi todos desde redes cloud. Mira el tráfico de bots de China y Singapur.

Las señales de IP que delatan a los bots

1. Origen de hosting. El tráfico desde un ASN de nube u hosting que se hace pasar por un visitante casual es la señal clásica de bot. Los datos de ASN lo revelan.
2. Tipo de proxy. Los proxies residenciales son el indicador más fuerte de evasión deliberada, ver qué es un proxy residencial.
3. Uso de VPN. Habitual en credential stuffing y multicuentas.
4. Tor. Anonimización total; trátalo con precaución en endpoints sensibles.
5. Reputación. El abuso previo desde la IP o su rango aumenta el riesgo.

Convertir señales en una decisión

En lugar de reaccionar a cada señal por separado, combínalas en una puntuación. Una puntuación de fraude de IP combina las señales de proxy, VPN, Tor, hosting y reputación en un único valor de 0 a 100, de modo que tu regla puede ser tan simple como:

• puntuación < 30 → permitir
• 30–70 → desafío (CAPTCHA, verificación)

• 70 → bloquear o enviar a revisión

Esto mantiene la lógica simple en tu aplicación, mientras el trabajo pesado ocurre en la consulta.

Una configuración práctica

Una defensa antibots sólida basada en IP se ve así:

1. En endpoints sensibles (inicio de sesión, registro, pago, búsqueda, API), consulta la IP del cliente mediante la API de detección de proxy.
2. Añade a lista blanca los bots buenos conocidos (rastreadores de buscadores y tu propia monitorización) según sus rangos publicados.
3. Puntúa todo lo demás y aplica fricción proporcional a la puntuación.
4. Añade comportamiento como capa adicional para los casos difíciles: velocidad de solicitudes, cabeceras ausentes, tiempos de interacción imposibles.

No confíes solo en la IP para los bots más difíciles

Los bots más avanzados compran IP residenciales nuevas e imitan el comportamiento humano. Las señales de IP siguen elevando su coste y capturan a la mayoría, pero combínalas con análisis de comportamiento para una defensa en profundidad. La IP es el filtro inicial más barato y rápido, no la estrategia completa.

En resumen

La mayoría de los bots se delatan a nivel de red al enrutar a través de proxies, VPN, Tor o IP de hosting. Comprueba la IP del cliente en los endpoints sensibles, combina las señales en una puntuación y bloquea o desafía según esa puntuación, y luego añade señales de comportamiento para la minoría más sofisticada.