Cloudflare anunció el 16 de octubre de 2026 que ya mide, bot a bot, si los rastreadores de IA respetan de verdad lo que una web les pide: su robots.txt y sus respuestas 429. Afecta a cualquier negocio cuya web pase por Cloudflare. La consecuencia que más importa no está en el titular: de momento esa nota es interna y el dueño de la web no puede hacer nada con ella.
Hasta ahora, entrar en la lista de bots verificados de Cloudflare consistía sobre todo en demostrar quién eres. Desde este anuncio, demostrar quién eres deja de bastar. Debajo está lo que Cloudflare pone por escrito, qué cambia hoy para una pyme española, qué no cambia y qué conviene mirar esta semana.
La fuente de los hechos es Cloudflare: su blog, su documentación para desarrolladores y su nota de prensa. El anuncio está solo en inglés —pedimos la versión española de esa entrada y no existe— y la traducción de sus frases es nuestra. Al final queda escrito cómo se ha comprobado cada cosa.
Qué anunció Cloudflare el 16 de octubre
Un sistema que vigila si un bot ya verificado sigue mereciendo la etiqueta. La entrada «Continuous accountability for Verified bots», firmada por Chris Tsoukaladelis, lleva fecha del 16 de octubre de 2026 y arranca con una comparación suya: un carné de conducir dice quién eres y que aprobaste un examen, no que vayas a conducir de forma responsable.
Cloudflare resume en tres reglas lo que exige a un bot verificado: «identificarse de forma precisa y segura», «hacer solo lo que dice que va a hacer» y «no incurrir en comportamientos abusivos». La identidad ya estaba resuelta con firmas criptográficas. Lo nuevo es la segunda parte: «Hoy presentamos un sistema para evaluar e informar cuando el comportamiento de un bot verificado empieza a desviarse de esa regla».
El anuncio separa dos cosas que suelen confundirse, y la distinción es la clave de todo lo demás:
- Riesgo es «la probabilidad de que una petición concreta o una acción puntual pueda ser dañina», y puede cambiar de un momento a otro.
- Confianza «se construye con el tiempo mediante un comportamiento repetido y consistente».
El resultado de esa medición será lo que Cloudflare llama una «banda de confianza explicable»: un rango que muestra con qué constancia un bot respeta las preferencias de los sitios y qué comportamientos observados han llevado a esa valoración, en lugar de un juicio permanente sobre el bot o su operador. Las dos primeras señales que se evalúan son si el bot respeta las instrucciones y si reacciona cuando el sitio le responde.
Las dos señales, en concreto
La primera es el robots.txt. Cloudflare lo llama «la forma principal de comunicar las preferencias del propietario del sitio», en línea con el RFC 9309, el estándar propuesto que normalizó el protocolo de exclusión de robots en septiembre de 2022. El sistema no castiga despistes: «Las infracciones aisladas y otros casos puntuales pueden no ser significativos. Lo que buscamos son patrones repetidos de comportamiento que ignoran las preferencias del sitio».
Hay un matiz del anuncio que conviene leer dos veces, porque va contra cómo mucha gente entiende ese archivo: «un robots.txt fija las reglas mínimas de lo que los bots y los agentes no deben hacer. Pero no implica que todo lo que no se diga esté permitido».
La segunda señal es el código 429, la respuesta HTTP que un servidor devuelve cuando recibe demasiadas peticiones. Cloudflare recuerda que «un 429 es una indicación para que el visitante reduzca su ritmo de peticiones» y explica qué mira a partir de ahora: si el bot baja el ritmo, se detiene o sigue igual. Frenar sube la confianza; ignorarlo de forma repetida la baja.
Qué cambia hoy y qué no cambia
Lo primero que cambia es que la verificación deja de ser una foto fija. Lo segundo, que ya está funcionando: «Estamos usando este sistema internamente para evaluar con qué constancia los bots verificados respetan las preferencias de los sitios web».
Y lo que no cambia, que es casi todo lo demás:
- Hoy no hay ningún ajuste nuevo que tocar. Cloudflare dice que «planea poner el sistema a disposición de todos los clientes de Cloudflare, que podrán elegir el umbral de confianza con el que se decide cómo se gestiona el tráfico de los bots verificados». Planea. No hay fecha.
- Las notas todavía no son públicas. El anuncio dice que «en el futuro» compartirá esas puntuaciones en Cloudflare Radar. Hoy no están.
- Expulsar a un rastreador ya era posible. En agosto de 2025 Cloudflare retiró a Perplexity de la lista de bots verificados: «Basándonos en el comportamiento observado de Perplexity, que es incompatible con esas preferencias, los hemos retirado de la lista de bots verificados y hemos añadido heurísticas a nuestras reglas gestionadas que bloquean ese rastreo encubierto». Lo que se añade ahora no es la pena capital, sino el historial que lleva hasta ella.
- Ser un bot verificado nunca ha sido un permiso. La documentación de Cloudflare sobre bots verificados, actualizada el 8 de octubre de 2026, clasifica a cada bot por lo que hace —búsqueda, agente, entrenamiento, transacción, recogida de datos o pruebas de seguridad— precisamente para que el dueño de la web pueda decidir por separado sobre cada caso.
Por qué esto te afecta aunque nunca hayas abierto una cuenta en Cloudflare
Porque la decisión de si un rastreador de IA puede leer tu web se toma cada vez más arriba de donde tú trabajas: no en tu gestor de contenidos, sino en la capa que hay entre tu servidor e internet. Y esa capa la suele elegir tu hosting, no tú.
El precedente está publicado. El 1 de julio de 2025, en la entrada «Content Independence Day», Cloudflare escribió que estaba «cambiando el valor por defecto para bloquear a los rastreadores de IA salvo que paguen a los creadores por su contenido». Su nota de prensa de ese mismo día concreta el alcance, que es lo que aquí importa: «Al dar de alta un dominio en Cloudflare, ahora se preguntará a cada nuevo dominio si quiere permitir rastreadores de IA». La misma nota dice que la opción de bloquearlos con un clic existe desde septiembre de 2024 y que «más de un millón de clientes han elegido desde entonces esa opción».
Traducido a un negocio: puede que alguien respondiera a esa pregunta por ti hace año y medio, en un alta que hizo tu desarrollador o tu proveedor de hosting, y que tu web lleve desde entonces cerrada a los buscadores con IA sin que nadie lo haya vuelto a mirar.
La buena noticia es que comprobarlo es gratis y rápido. El panel desde el que se ve y se cambia, AI Crawl Control, figura en la documentación de Cloudflare como disponible «en todos los planes», incluido el gratuito.
El otro movimiento de la misma semana
Un día antes, el 15 de octubre de 2026, Cloudflare y OpenAI publicaron juntos los primeros resultados de un piloto que arrancó en julio de 2026 y que va en la dirección contraria: usar señales de la red de Cloudflare para que el rastreador de búsqueda de OpenAI descubra páginas que no conocía.
La cifra la publican ellos sobre su propio piloto, así que vale lo que vale: con «una cohorte participante de en torno al 1 % de la red total de Cloudflare», el piloto «ha permitido a OpenAI descubrir e indexar cientos de millones de páginas web nuevas». No es una medición independiente ni dice cuántas de esas páginas acabaron apareciendo ante alguien.
El propio texto pone un límite que merece la pena citar entero, porque desactiva el malentendido obvio: «Una señal sobre una página no concede permiso para acceder a ella. Esta investigación usa metadatos sobre la web para búsqueda y descubrimiento, en lugar de compartir el contenido de las páginas para entrenar modelos».
Qué debería hacer una pyme esta semana
Tres comprobaciones, ninguna cuesta dinero y ninguna depende de lo que Cloudflare acabe lanzando.
- Averigua si tu web pasa por Cloudflare. Es un dato público: en la respuesta de tu dominio aparece una cabecera
server: cloudflarey otracf-ray. Si tu proveedor te lo oculta, pregúntale directamente quién sirve tu web. - Si pasa por Cloudflare, abre AI Crawl Control y mira qué contestasteis en el alta. No para bloquear ni para abrir a ciegas: para saber en qué estado estás. Un negocio que quiere que lo encuentren desde un asistente y tiene cerrados a los rastreadores de búsqueda está trabajando contra sí mismo sin saberlo.
- Lee tu robots.txt como si no lo hubieras escrito tú. La mayoría de los robots.txt de una pyme los generó una plantilla. Ahora, además, ese archivo es la vara con la que Cloudflare mide a terceros.
Lo que no toca hacer esta semana es rehacer la estrategia por este anuncio. No hay nada que configurar todavía.
Ejemplo: un instalador con la puerta cerrada sin saberlo
Un instalador de climatización de una capital de provincia tiene una web de ocho páginas que le montó una agencia pequeña en 2025. La agencia la puso detrás de Cloudflare el mismo mes del cambio de valor por defecto y, en la pregunta del alta, eligió la opción prudente: no permitir rastreadores de IA. Nadie volvió a tocarlo.
Año y medio después, el instalador paga contenidos, escribe sobre bombas de calor y no entiende por qué los asistentes de IA no lo nombran nunca. La explicación puede no estar en el contenido: está en una casilla que respondió otra persona. Comprobarlo son dos minutos; rehacer la web no habría servido de nada.
El caso contrario también existe y es igual de real: el negocio que abrió todo sin mirar, al que un rastreador mal configurado le tira el servidor compartido un martes por la mañana. Para ese, la novedad del 16 de octubre es buena noticia a medio plazo, porque un 429 pasa a contar como algo más que un error.
Lo que vemos en PotencIA
Esta es nuestra lectura, no un hecho de Cloudflare. Lo que nos parece importante de la semana no es la banda de confianza, que aún no se puede usar, sino que las dos entradas juntas dibujan a la misma empresa haciendo dos papeles a la vez: la puerta que decide qué rastreador entra y el casamentero que le enseña a OpenAI qué páginas existen. Para una pyme eso significa que una parte de su visibilidad en respuestas de IA se juega en una capa de infraestructura que normalmente no contrató, no configura y no mira nunca.
Nuestra postura práctica es la de siempre, y ahora tiene un argumento más: antes de tocar nada, saber en qué estado estás. En nuestro propio caso lo hemos mirado al escribir esto, y da la respuesta aburrida que debería dar una web bien puesta: www.potenciasoluciones.com responde con la cabecera server: Vercel, así que esta palanca concreta no es nuestra, y nuestro robots.txt permite el acceso a todos los agentes salvo a /api/. No tenemos cerrada la puerta a nadie.
La segunda idea que nos llevamos es menos cómoda. Cloudflare va a puntuar a los rastreadores por si respetan el robots.txt de las webs, pero la frase que más nos ha hecho pensar del anuncio es la de que lo que no está escrito en un robots.txt no queda automáticamente permitido. Es decir: el archivo sirve como prueba, no como contrato. Quien quiera apoyarse solo en él para controlar qué hace la IA con su contenido se va a quedar corto, igual que se queda corto quien cree que un fichero resuelve la visibilidad. Lo escribimos hoy mismo a propósito de otro archivo de moda, en qué es llms.txt y por qué no debería ser el centro de tu estrategia GEO.
Si estás empezando por aquí, estas dos piezas ponen el marco antes que las tuercas: si una pyme necesita una estrategia GEO separada del SEO y si ChatGPT puede encontrar tu empresa aunque no estés primero en Google. Y si lo que te preocupa es el lado técnico de que una página no se vea, ahí sigue valiendo cómo detectar problemas de indexación en tu web.
Cómo lo hemos comprobado
- El anuncio. Entrada del blog de Cloudflare, abierta el 17 de octubre de 2026 desde España. La página fecha el texto el 16 de octubre de 2026, lo firma Chris Tsoukaladelis y lo marca como lectura de seis minutos. Pedimos también la ruta en español del blog,
/es-es/verified-bots-accountability/, y devuelve un 404: no hay versión española, así que todas las citas del anuncio son traducción nuestra desde el inglés. - La hora. El feed RSS del blog de Cloudflare sella la entrada el viernes 16 de octubre de 2026 a las 13:00 GMT, las 15:00 de la tarde en la España peninsular. Por eso esta pieza entra dentro de la ventana de 24 horas.
- La documentación. Página de bots verificados en developers.cloudflare.com, con fecha de última actualización del 8 de octubre de 2026, y página de AI Crawl Control, actualizada el 14 de agosto de 2026, que es la que dice «disponible en todos los planes». Un detalle que no cuadra del todo y conviene saber: el anuncio enumera tres requisitos para ser bot verificado y la documentación los resume en dos listones, identificación honesta y comportamiento no abusivo. El fondo es el mismo; el recuento, no.
- El precedente de Perplexity. Entrada del blog de Cloudflare del 4 de agosto de 2025, releída hoy para citar la frase de la retirada en su contexto.
- El valor por defecto de 2025. Entrada «Content Independence Day» del 1 de julio de 2025 y nota de prensa de Cloudflare de la misma fecha. La frase sobre el alcance («cada nuevo dominio») sale de la nota de prensa, no del blog, que es más general.
- El piloto con OpenAI. Entrada conjunta del 15 de octubre de 2026, firmada por Cloudflare junto a dos personas de OpenAI. La cifra del 1 % de la red y los «cientos de millones de páginas» son datos publicados por las dos empresas sobre su propio piloto y así se presentan aquí.
- Nuestra propia web. Cabeceras de respuesta de
www.potenciasoluciones.comy contenido de su/robots.txt, pedidos el 17 de octubre de 2026. - Lo que no hemos podido comprobar. El directorio de bots de Cloudflare Radar rechazó nuestra petición automatizada con un código 403, así que no hemos podido contrastar la lista de bots verificados que se ve hoy; las bandas de confianza, en todo caso, el propio anuncio dice que aún no están publicadas allí. Tampoco hay forma de saber desde fuera qué bots está puntuando Cloudflare ni con qué resultado, porque el sistema es interno.
Si quieres que alguien mire esto por ti y te diga en qué estado está tu web antes de que lo decida un ajuste que no pusiste tú, así trabajamos el GEO en PotencIA.