Cloudflare CEO te está mintiendo sobre el aumento del tráfico de bots

Artículo original ↗ Discusión en Hacker News ↗

Afirmación del CEO de Cloudflare sobre el tráfico de bots e interpretación de los datos

  • Varios comentaristas sostienen que la afirmación del CEO de que “los bots superaron a los humanos” es engañosa porque el panel citado usa por defecto tráfico solo HTML.
  • Cuando se incluyen “todos los tipos de contenido”, los humanos siguen generando aproximadamente el doble de tráfico que los bots, lo que debilita el encuadre de “la primera vez en la historia”.
  • Otros dicen que contar solo las solicitudes HTML es una métrica defendible (orientada a pageviews, HTML es la parte costosa de servir), pero coinciden en que la formulación de “tráfico agentic” está exagerada.
  • Hay desacuerdo sobre si esto constituye “mentir” o solo exageración / comunicación descuidada.

Volumen de bots e impacto en el mundo real

  • Varios operadores de sitios informan aumentos drásticos del tráfico de bots, a veces 100x bots frente a humanos, y casos en los que un solo crawler de IA representa la mayor parte de la carga, rozando un DDoS.
  • Los informes incluyen sitios académicos, de noticias, gubernamentales, de ONG y personales que sufren rastreos intensos, gran parte de ellos ignorando robots.txt y los encabezados de caché.
  • Otros dicen que sus propias mediciones no muestran un comportamiento catastrófico y sugieren que las preocupaciones pueden estar exageradas o depender del sitio.

Cloudflare como intermediario, monopolio y problemas de confianza

  • Hay críticas fuertes de que Cloudflare funciona como un enorme intermediario de tipo man-in-the-middle, descifrando tráfico, centralizando poder y creando un único punto de estrangulamiento vulnerable a la presión estatal.
  • Algunos sostienen que los clientes “permitieron” esto al adoptar Cloudflare para CDN, DDoS y rendimiento, mientras que otros piden regulación o competencia para reducir el riesgo de concentración.
  • Los defensores señalan que Cloudflare resuelve problemas reales (DDoS, mitigación de bots, balanceo de carga) y que la causa raíz son los bots, no Cloudflare.

Detección de bots, fingerprinting y daños colaterales

  • Hay preocupación de que los proveedores de protección contra bots tengan incentivos para ampliar lo que cuenta como “tráfico de bots”, tolerar falsos positivos elevados y usar fingerprinting para marketing y vigilancia.
  • Los navegadores no convencionales, las configuraciones estrictas de privacidad o los usuarios detrás de CGNAT/5G suelen enfrentarse a desafíos molestos o bloqueos.
  • Algunos ven el fingerprinting de JavaScript como una compensación necesaria; otros lo consideran ineficaz y hostil a la privacidad.

Alternativas y estrategias de mitigación

  • Los comentaristas mencionan bloqueos basados en IP y ASN, limitación de tasa, heurísticas de HTTP/1.1 frente a HTTP/2, bloqueos por país y herramientas WAF locales como sustitutos parciales de Cloudflare.
  • Varios señalan la falta de alternativas fáciles y bien documentadas, y sugieren que una mejor herramienta de detección de bots, open source y on-prem, ayudaría a reducir la dependencia de Cloudflare.