Cloudflare separa los bots de IA en Search, Agent y Training: qué cambia de verdad para tu web
Cloudflare estrena controles más finos para distinguir bots de IA de búsqueda, agentes y entrenamiento. Esto es lo que cambia de verdad, qué pasará el 15 de septiembre y qué revisar si gestionas una web.
Cloudflare anunció el 1 de julio de 2026 una separación más clara entre bots de IA de Search, Agent y Training, pero lo importante no es la etiqueta nueva sino el cambio operativo que introduce para quien gestiona una web real. Desde ahora resulta mucho más fácil distinguir quién rastrea para descubrimiento, quién actúa en tiempo real por un usuario y quién absorbe contenido para entrenar modelos. Y eso afecta a visibilidad, scraping, monetización, recursos y política de acceso.
La fecha que conviene apuntar no es solo la del anuncio. Cloudflare también fijó el 15 de septiembre de 2026 como fecha para nuevos defaults en dominios nuevos, especialmente en páginas con anuncios, donde Agent y Training quedarán bloqueados por defecto mientras Search seguirá permitido. Ese matiz convierte una noticia de producto en una decisión práctica de ciberseguridad, control de superficie expuesta y gobernanza del contenido.
Resumen rápido: qué cambia de verdad para tu web
- 1 de julio de 2026: Cloudflare anuncia controles más finos para distinguir bots de IA por propósito.
- Search se refiere a bots que recopilan o indexan contenido para búsqueda o respuestas.
- Agent describe agentes que visitan una web en tiempo real para ejecutar tareas por un usuario.
- Training cubre bots que consumen contenido para entrenar o afinar modelos.
- 15 de septiembre de 2026: en nuevos dominios con ads, Agent y Training pasarán a estar bloqueados por defecto.
- El efecto práctico es que ya no tienes que elegir entre abrir todo o cerrar todo.
Search, Agent y Training: la diferencia explicada sin jerga
Cloudflare separa tres comportamientos que antes mucha gente metía en el mismo saco. Search es el rastreo que intenta descubrir e indexar tu contenido para responder después a consultas. Agent es el acceso automatizado que entra en tu web para hacer algo ahora mismo en nombre de una persona: leer una ficha, comparar información, navegar una base de conocimiento o completar un flujo. Training es el rastreo orientado a alimentar modelos con tu contenido.
La consecuencia es relevante: Search puede seguir teniendo cierto retorno en forma de descubrimiento, mientras Training y Agent pueden generar más coste o más exposición sin devolverte el mismo valor. No siempre vas a querer la misma política para los tres.
Por qué este anuncio importa más en ciberseguridad que en marketing
La noticia no va solo de SEO ni de IA. En la práctica, habla de clasificar actores, asignar permisos y reducir exposición innecesaria. Un bot que indexa contenido no plantea exactamente el mismo riesgo que un agente que navega en tiempo real o que un rastreador que toma material para entrenamiento. En seguridad web, mezclar actores distintos bajo una sola regla casi siempre acaba en políticas demasiado blandas o demasiado agresivas.
Esto conecta bastante bien con lo que ya comentábamos en nuestra guía sobre Cloudflare DMARC Management: la mejora real llega cuando hay más visibilidad, más clasificación útil y menos decisiones ciegas. Aquí el objeto ya no es el correo, pero el patrón se repite.
Qué cambia exactamente desde el 1 de julio de 2026
El anuncio oficial del 1 de julio de 2026 lleva estos cambios prácticos:
- Cloudflare distingue bots de IA por función, no solo por una idea genérica de “AI bots”.
- Todos los clientes, incluidos los del plan gratuito, ganan más capacidad de control sobre ese tráfico.
- Cloudflare deja claro que los crawlers multipropósito pueden verse afectados por la regla más restrictiva si mezclan Search y Training.
- En Enterprise aparece BotBase como capa adicional de visibilidad sobre clasificación y comportamiento.
Ese tercer punto merece atención. Si un operador usa el mismo bot para indexar y entrenar, la política ya no se resuelve solo por intención declarada sino por el comportamiento combinado. Para una web pequeña o mediana esto significa algo sencillo: bloquear Training puede tener efectos colaterales sobre bots híbridos que antes dabas por útiles.
La fecha del 15 de septiembre de 2026 es la que puede mover más configuraciones
Cloudflare adelantó que el 15 de septiembre de 2026 aplicará nuevos defaults a dominios nuevos. En sitios con anuncios, Agent y Training se bloquearán por defecto y Search seguirá permitido. Esa decisión deja ver la lógica del proveedor: proteger mejor el contenido monetizado frente a automatización con menos retorno directo.
La lectura útil para una web normal es que Search y Training dejan de ser equivalentes, y Agent pasa a ocupar una zona especialmente delicada por su capacidad de interactuar con flujos vivos. Si tu sitio tiene formularios, catálogo, área documental, buscador interno o recursos que consumen CPU y ancho de banda, la separación ya no es teórica.
Checklist práctico para revisar hoy en una web real
- Identifica el tipo de sitio: medio con ads, tienda, SaaS, documentación, soporte o blog corporativo.
- Decide si Search te compensa por descubrimiento, visibilidad o posible referral.
- Revisa páginas sensibles a agentes: formularios, checkouts, buscadores, comparadores, paneles y endpoints de alto coste.
- No bloquees Training sin revisar bots híbridos si dependes de cierta visibilidad indirecta.
- Combina estas reglas con WAF, rate limiting y monitorización si ya detectas scraping o abuso automatizado.
- Documenta la política para no convertir una noticia puntual en una configuración olvidada.
Si quieres más contexto de seguridad aplicada, puedes seguir también nuestra categoría de ciberseguridad y revisar cómo tratamos otros cambios con impacto operativo, como los zero-day de Chrome explotados en 2026. No son el mismo problema, pero comparten una idea útil: la seguridad empeora cuando aceptas automatización sin contexto suficiente.
FAQ rápida
Cuál es el hecho nuevo exacto?
Cloudflare anunció el 1 de julio de 2026 una separación más clara entre bots de IA de Search, Agent y Training y nuevos controles para todos sus clientes.
Qué fecha futura conviene vigilar?
El 15 de septiembre de 2026, cuando Cloudflare prevé nuevos defaults para dominios nuevos y páginas con anuncios.
Search, Agent y Training se deben tratar igual?
No. Search puede aportar descubrimiento, Agent puede tocar flujos vivos en tiempo real y Training puede absorber contenido sin retorno equivalente. La gracia del cambio es poder separarlos.
Por qué lo tratamos como ciberseguridad?
Porque la decisión real consiste en definir permisos, reducir exposición y limitar abuso automatizado, que son problemas clásicos de seguridad web aunque el actor sea un bot de IA.
Fuentes oficiales y documentación
- Cloudflare: Your site, your rules: new AI traffic options for all customers
- Cloudflare: Content Independence Day, one year on
- Cloudflare Developers: Bot management options
- Cloudflare Developers: Verified bots
Conclusión
Cloudflare ha convertido un debate difuso en una política mucho más accionable. La separación entre Search, Agent y Training anunciada el 1 de julio de 2026, sumada al cambio previsto para el 15 de septiembre de 2026, obliga a revisar cómo una web protege contenido, recursos y lógica de negocio frente a automatización cada vez más variada.
La parte buena es que ahora resulta más fácil evitar el viejo falso dilema entre abrir todo o bloquear todo. La parte incómoda es que toca decidir: qué bots te aportan valor, cuáles solo añaden coste y qué política quieres sostener de forma coherente en tu web.