Cómo detectar bots por dirección IP
Los bots se esconden detrás de proxies, VPN e IP de hosting. Aprende las señales basadas en IP que revelan tráfico automatizado y cómo puntuar las solicitudes antes de que causen daño.
Los bots son baratos de operar y caros de ignorar. Extraen contenido, agotan existencias limitadas, fuerzan contraseñas por fuerza bruta e inflan métricas. La mayoría comparte una debilidad: tienen que venir de algún sitio, y ese sitio suele ser infraestructura de anonimización que se puede detectar por IP.
Por qué la IP es una señal de bot tan fuerte
Operar un negocio de bots relevante implica hacer muchas solicitudes. Para evitar límites de tasa simples, los operadores enrutan a través de proxies, VPN, Tor o servidores en la nube. Cada una de esas opciones deja una huella a nivel de IP:
- IP de centro de datos u hosting: a los bots les encanta la nube barata.
- Proxies: especialmente los proxies residenciales rotativos que imitan usuarios reales.
- VPN: para enmascarar el origen y saltarse reglas geográficas simples.
- Nodos de salida de Tor: para anonimato total.
Una solicitud desde cualquiera de estos orígenes no es automáticamente un bot, pero sí es automáticamente más sospechosa que una desde una conexión residencial estable.
Comprobar una IP en busca de señales de proxy, VPN y Tor
Las señales de IP que delatan a los bots
- Origen de hosting. El tráfico desde un ASN de nube u hosting que se hace pasar por un visitante casual es la señal clásica de bot. Los datos de ASN lo revelan.
- Tipo de proxy. Los proxies residenciales son el indicador más fuerte de evasión deliberada, ver qué es un proxy residencial.
- Uso de VPN. Habitual en credential stuffing y multicuentas.
- Tor. Anonimización total; trátalo con precaución en endpoints sensibles.
- Reputación. El abuso previo desde la IP o su rango aumenta el riesgo.
Convertir señales en una decisión
En lugar de reaccionar a cada señal por separado, combínalas en una puntuación. Una puntuación de fraude de IP combina las señales de proxy, VPN, Tor, hosting y reputación en un único valor de 0 a 100, de modo que tu regla puede ser tan simple como:
- puntuación < 30 → permitir
- 30–70 → desafío (CAPTCHA, verificación)
-
70 → bloquear o enviar a revisión
Esto mantiene la lógica simple en tu aplicación, mientras el trabajo pesado ocurre en la consulta.
Una configuración práctica
Una defensa antibots sólida basada en IP se ve así:
- En endpoints sensibles (inicio de sesión, registro, pago, búsqueda, API), consulta la IP del cliente mediante la API de detección de proxy.
- Añade a lista blanca los bots buenos conocidos (rastreadores de buscadores y tu propia monitorización) según sus rangos publicados.
- Puntúa todo lo demás y aplica fricción proporcional a la puntuación.
- Añade comportamiento como capa adicional para los casos difíciles: velocidad de solicitudes, cabeceras ausentes, tiempos de interacción imposibles.
No confíes solo en la IP para los bots más difíciles
Los bots más avanzados compran IP residenciales nuevas e imitan el comportamiento humano. Las señales de IP siguen elevando su coste y capturan a la mayoría, pero combínalas con análisis de comportamiento para una defensa en profundidad. La IP es el filtro inicial más barato y rápido, no la estrategia completa.
En resumen
La mayoría de los bots se delatan a nivel de red al enrutar a través de proxies, VPN, Tor o IP de hosting. Comprueba la IP del cliente en los endpoints sensibles, combina las señales en una puntuación y bloquea o desafía según esa puntuación, y luego añade señales de comportamiento para la minoría más sofisticada.