Mañana, 15 de septiembre, Cloudflare cambia los valores por defecto de cómo los bots de IA pueden rastrear tu web. Lo anunciaron el 1 de julio, dieron dos meses de margen y lo vendieron como «tu contenido, tus reglas». En la práctica, si tienes la capa gratuita y no has tocado nada en el panel, puedes despertarte con Googlebot bloqueado en las páginas donde muestras publicidad. No es teoría: es lo que dice el propio blog de Cloudflare sobre los rastreadores mixtos que combinan búsqueda y entrenamiento.
Yo llevo semanas viendo el mismo patrón en clientes con blogs monetizados con AdSense o redes similares. Tienen Cloudflare Free «porque va gratis y acelera la web», nadie ha entrado en Security → Bots desde julio, y asumen que si Google indexa hoy, seguirá indexando mañana. Error. Cloudflare ya no trata a los bots verificados como invitados de honor: la verificación confirma identidad, no acceso. El acceso depende de si clasificas al bot como Search, Agent o Training, y de qué hayas permitido en cada categoría.
La lógica de Cloudflare, explicada en su nota de prensa y recogida por medios como La Ecuación Digital, es razonable en el papel. Separar «ser encontrado» de «ser absorbido para entrenar modelos» protege a editores que viven de anuncios. Bloquear Training y Agent en páginas con publicidad mientras permites Search suena justo. El problema es el detalle técnico que casi nadie lee: los rastreadores mixtos —Googlebot, BingBot, Applebot— se evalúan con la regla más restrictiva. Si bloqueas Training, bloqueas el crawler entero aunque hayas dejado Search permitido. Help Net Security lo resumió sin rodeos: multi-purpose crawlers blocked when Training is blocked.
¿Y quién bloquea Training por defecto a partir del 15 de septiembre? Todos los dominios nuevos, los sitios nuevos de clientes existentes y —aquí está la trampa— los clientes Free que no hayan modificado su configuración antes de esa fecha. Digital Inside lo contó igual: la política se aplica automáticamente a quien no haya entrado al panel. Dos meses de aviso suenan generosos hasta que recuerdas cuántas webs llevan Cloudflare configurado una vez y olvidadas durante años.
Cloudflare dice que puedes optar por no aplicar los nuevos defaults desde Security settings antes del 15 de septiembre. Genial. ¿Cuántos propietarios de un blog con cinco mil visitas al mes saben dónde está esa opción? ¿Cuántos agencias tienen documentado qué zones de clientes pequeños están en Free sin revisión? En mi experiencia, muy pocos. El aviso existe en el blog corporativo y en comunicados que leen quienes ya siguen el tema IA. El resto se enterará cuando Search Console empiece a quejarse.
Lo irónico es que Cloudflare vende esto en el contexto de la «economía agéntica»: agentes autónomos que despliegan apps, registran dominios y pagan con Machine Payments Protocol. Su Agent Cloud, Dynamic Workers, Sandboxes… todo eso está muy bien para developers que construyen el futuro. Pero el cliente que solo quiere CDN gratis y protección básica no está construyendo agentes; está intentando que su contenido aparezca en Google y que los anuncios paguen el hosting. Para ese perfil, el 15 de septiembre no es independencia del contenido: es una lotería silenciosa.
Los datos de Fastly sobre tráfico de IA dan contexto a por qué Cloudflare aprieta ahora. Entre enero y mayo de 2026, las solicitudes de IA en su red crecieron un 30 %, un ritmo 6,5 veces superior al tráfico humano. Más del 51 % de esas solicitudes automatizadas van directo al origen, sin caché, frente al 9 % de los usuarios reales. La infraestructura nota el peso. Cloudflare quiere dar herramientas a quien monetiza contenido antes de que los bots se lo coman entero. Lo entiendo. Lo que no me cuadra es implementar un cambio con impacto SEO real sobre clientes Free mediante opt-out invisible.
Si gestionas webs con anuncios detrás de Cloudflare, hoy — no mañana — deberías entrar en el panel, ir a Security, revisar la gestión de tráfico IA y decidir conscientemente qué quieres permitir en Search, Agent y Training. Si dependes de indexación en Google y no quieres sorpresas, probablemente necesites confirmar que no se aplicarán los nuevos defaults restrictivos, o ajustar categoría por categoría. Documenta lo que elijas: dentro de seis meses nadie recordará por qué dejaron de indexarse las URLs con banners.
Cloudflare no es el villano absoluto aquí. El mercado lleva meses sin reglas claras sobre rastreo para entrenamiento versus búsqueda, y alguien tenía que mover ficha. Pero vender control granular mientras activas bloqueos agresivos por omisión en el plan que usan millones de sitios pequeños no es empoderamiento: es transferirte el riesgo y la culpa si no leíste el changelog. Otra vez el sector tech asume que todos los webmasters son administradores de sistemas a tiempo parcial.
Si tu proveedor de hosting te mandara un email mañana diciendo «hemos cambiado el robots.txt de facto en tu web y Googlebot ya no pasa por las páginas con AdSense salvo que entres a revertirlo», ¿lo considerarías un servicio o un chantaje técnico disfrazado de protección?
Fuentes
- Cloudflare: Content Independence Day — AI options for website owners
- Help Net Security: Cloudflare changes AI crawler access rules
- La Ecuación Digital: Cloudflare impulsa la economía agéntica con IA y web
- Fastly: El tráfico de IA creció 6,5 veces más rápido que el tráfico humano este año
- Digital Inside: Cloudflare despliega nuevas herramientas para regular el tráfico de IA