El tráfico crece, los pedidos no: cómo los bots headless y los agentes de IA se esconden en Metrika y GA4

El gráfico de visitas lleva tres semanas subiendo, marketing está contento y no hay pedidos. El responsable de producto revisa el embudo paso a paso y no encuentra ninguna avería. Quizá no haya nada que arreglar: parte de los «visitantes» simplemente no son personas. Según datos de Cloudflare del 30 de septiembre de 2026, más de la mitad del tráfico de internet ya no lo generan personas, y las solicitudes de agentes de IA han crecido más de un 1700% en un año.

A quién escucha el contador

El contador de analítica vive como un script en la página. Sin JavaScript ejecutado no hay hit. El autor del material lo comprobó en la práctica: colocó en una página de prueba un minicontador que hace lo mismo que las etiquetas de Metrika y GA4 (recopila datos del navegador, envía un ping a los 3 segundos y establece una cookie propia) y abrió la página con distintos clientes. Al lado, nginx escribía su propio log.

El resultado es sencillo. curl, Python requests e incluso curl con el User-Agent de GPTBot quedan solo en el log. Cualquier Chromium, incluido Playwright en distintos modos y chrome --headless --dump-dom, deja tanto un registro en el log como un hit en el contador. Los grandes rastreadores de IA de OpenAI y Anthropic descargan archivos JS, pero no los ejecutan. Ejecutan JavaScript Gemini (a través de la infraestructura de Googlebot) y AppleBot. El autor no encontró mediciones independientes recientes.

De aquí sale una regla práctica: si el tráfico en el servidor ha crecido pero en Metrika no, lo más probable es que sean rastreadores, y para la analítica son inofensivos. Peligrosos son los que sí aparecen en la analítica.

Cómo se enmascara el headless

Playwright sin enmascarar con headless=True se delata de inmediato: HeadlessChrome en el User-Agent y en los Client Hints, sin Accept-Language, plugins vacíos, webdriver=true. Basta con revisar una sola línea de UA. Con channel='chromium' (el nuevo headless) la situación cambia: en los Client Hints queda un Chromium normal, y un detector que se haya pasado a Client Hints dejará pasar ese navegador.

Tras un par de líneas de enmascaramiento (UA propio, pantalla de 1536×864, configuración regional rusa, hora de Moscú, una bandera contra webdriver, referrer de Yandex, movimientos de ratón) desaparece la mitad de los indicios. Los eventos de ratón llegan con isTrusted=true, así que la bandera no sirve para distinguirlos.

Quedan discrepancias que no se pueden corregir desde el contexto del navegador: el UA dice «Windows» y navigator.platform dice «Linux»; no existe la marca Google Chrome, porque Playwright usa Chrome for Testing; el tamaño exterior de la ventana es igual al interior; y WebGL funciona con SwiftShader por software. Este último indicio es débil por sí solo (así se ve también una persona en una máquina virtual), y Chrome 153 ya avisa de que el retroceso a WebGL por software está obsoleto. La IP de centro de datos no se puede corregir en absoluto.

Qué hacer

GA4 excluye bots mediante una lista cerrada de Google y el IAB; no se puede desactivar y tampoco se puede ver el volumen filtrado. El canal «AI Assistant» de GA4 cuenta las visitas que llegan desde asistentes y no tiene relación con los bots. En Metrika, los robots que se identifican en el UA se excluyen de inmediato, mientras que los detectados por comportamiento se cuentan por defecto. Empiece activando «Datos: sin robots» y «Comparar con datos con robots». La segunda comparación se hace fuera de Metrika: el crecimiento en el informe frente al crecimiento en el log del servidor.

En datos simulados (las proporciones las fijó el propio autor, así que los porcentajes no demuestran nada) lo importante es la combinación de indicios. Por separado, las visitas directas, los rebotes o el idioma inglés se explican con newsletters, landings y publicidad. Junto con una red de hosting y una caída de la proporción de visitantes recurrentes, resultan difíciles de explicar.

La combinación «red de hosting, visita directa y visita de menos de 2 segundos o cero scroll» detecta al 86% de los bots y afecta al 0,43% de las personas, pero de los agentes con comportamiento humano solo encuentra 215 de 844. La combinación «hosting, visitante nuevo, pantalla de servidor» atrapó 745 de 844 con un 1,2% de personas afectadas. Para ello habrá que añadir por su cuenta el etiquetado de IP por ASN a la exportación de Logs API.

Firma y agentes en el navegador

ChatGPT agent firma las solicitudes según RFC 9421 (cabeceras Signature, Signature-Input y Signature-Agent), y eso solo lo ve el servidor. Añada $http_signature_agent al formato de log de nginx y cuente allí esas visitas. El protocolo Web Bot Auth sigue siendo un borrador del IETF del 1 de septiembre de 2026, pero OpenAI, Google y AWS ya firman con él.

Peor es el caso de los agentes dentro del navegador del propio usuario: Comet, Atlas, Claude in Chrome. Para Metrika y GA4 es una persona normal en una máquina normal, y ningún indicio del entorno se activa. El tráfico nocturno tampoco ayuda: a los agentes los lanzan personas, de modo que su actividad repite el ciclo semanal humano.

Conclusión para el responsable de producto: no arregle el embudo hasta contrastar el informe con el log del servidor. Y las visitas de agentes habrá que contarlas como un tipo de visitante aparte, con otra conversión.