Cloudflare anunció el 1 de julio de 2026 —en el marco del segundo Content Independence Day, un año después del interruptor «Block AI bots»— una gestión granular de tráfico automatizado de IA que divide los rastreadores en tres comportamientos independientes: Búsqueda (Search), Agente (Agent) y Entrenamiento (Training). Cada categoría se configura por separado en el panel de seguridad, con opciones de bloquear en todas las páginas, bloquear solo en páginas que muestran publicidad o permitir sin restricción. A partir del 15 de septiembre de 2026, los dominios nuevos que se incorporen a la red de Cloudflare aplicarán por defecto el bloqueo de bots Agent y Training en páginas con anuncios, manteniendo Search permitido. La función está disponible desde el 1 de julio para todos los clientes, incluido el plan Free.
Qué ha pasado exactamente
Hasta julio de 2026, Cloudflare ofrecía un único preset gestionado para bloquear bots de IA dedicados al entrenamiento de modelos —bots de un solo propósito que rastreaban contenido para absorberlo en la arquitectura de un LLM sin devolver tráfico de referencia. El 1 de julio de 2026, la compañía —que protege más del 20% de los dominios web según sus propios datos— sustituyó ese enfoque binario por tres categorías basadas en el comportamiento del bot, no en si lleva la etiqueta «IA». La configuración está en Security Settings > Configure AI bot policies del dashboard de cada zona.
La taxonomía distingue tres usos concretos. Search cubre rastreadores que indexan contenido para responder preguntas después —el caso clásico de aparecer en motores de búsqueda o en respuestas de IA con enlace de vuelta al sitio. Agent cubre actividad automatizada en tiempo real en nombre de una persona: bots de fetch de chat como ChatGPT-User o agentes de navegador que controlan Chrome en nombre de Gemini o Claude. Training cubre rastreadores que toman contenido para entrenar o afinar un modelo, absorbiéndolo de forma permanente en la arquitectura del LLM. Para cada una de las tres categorías, el propietario del sitio elige entre Block (on all pages), Block on pages with ads —usando detección automática de Cloudflare de páginas con publicidad— o Allow (do not block).
El cambio de defaults entra el 15 de septiembre de 2026 y afecta a dominios nuevos que se incorporen a Cloudflare a partir de esa fecha: Training y Agent quedarán bloqueados por defecto en páginas con anuncios; Search seguirá permitido. Cloudflare justifica la distinción porque una página con publicidad señala que el propietario espera atención humana monetizable —no visitas de bots que consumen ancho de banda sin generar ingresos por impresiones. Los clientes actuales con dominios ya configurados pueden optar por no aplicar los nuevos defaults en cualquier momento antes del 15 de septiembre desde Security Settings.
Un segundo cambio del 15 de septiembre afecta a rastreadores multipropósito que combinan Search y Training en un mismo bot —Googlebot, Applebot y BingBot son los tres que Cloudflare nombra explícitamente. A partir de esa fecha, estos bots se evaluarán según todos sus comportamientos declarados, aplicando la regla más restrictiva. Si Training está bloqueado en páginas con anuncios, un rastreador que también indexa para búsqueda quedará bloqueado en esas mismas páginas —incluso para clientes que usen la opción heredada «Block AI bots» del Content Independence Day de julio de 2025. Cloudflare también lanzó BotBase, un directorio de bots verificados visible en el dashboard para clientes de Enterprise Bot Management, y extendió el archivo robots.txt gestionado con el campo use=reference para señalar que el contenido puede indexarse y citarse con enlace, pero no reproducirse íntegramente.
Por qué importa
El problema que Cloudflare intenta resolver no es teórico para editores con publicidad. En julio de 2025, el acuerdo tácito de 30 años —«rastreas mi sitio y yo recibo visitas de referencia»— dejó de cumplirse cuando rastreadores de entrenamiento absorbían contenido sin devolver tráfico ni compensación. Un año después, el escenario se complicó: la «búsqueda» ya no es solo una lista de enlaces, sino motores de respuesta directa —Google responde en la propia página de resultados— y los agentes de IA visitan sitios en tiempo real para completar tareas en nombre del usuario. Bloquear todo o permitir todo dejó de ser una estrategia viable para un blog de nicho con AdSense que necesita aparecer en Perplexity pero no quiere que su contenido entre en un dataset de entrenamiento sin pago.
La granularidad por comportamiento cambia las opciones estratégicas. Un medio digital puede permitir Search —para mantener visibilidad en motores y en respuestas de IA con cita— y bloquear Training en páginas con banners de Google AdSense, MGID o redes programáticas, donde cada visita de bot consume recursos sin generar CPM. Puede bloquear Agent en esas mismas páginas para evitar que un chatbot extraiga el artículo completo en una consulta de un usuario que nunca hará clic, pero permitir agentes en la página de precios o en el formulario de contacto donde la interacción automatizada puede convertir. Esa distinción no existía con el interruptor único del 1 de julio de 2025.
El efecto en rastreadores multipropósito es el punto más controvertido. Si bloqueas Training en páginas con anuncios a partir del 15 de septiembre, Googlebot —que Google usa tanto para el índice de búsqueda como para entrenar modelos— quedará bloqueado en esas URLs bajo la regla más restrictiva. Eso protege el contenido monetizado del entrenamiento, pero puede reducir la indexación de esas páginas en Google Search y, por extensión, en respuestas de IA que dependen de ese índice. Cloudflare ofrece la opción de opt-out antes del 15 de septiembre precisamente porque reconoce que no todos los editores quieren esa compensación automática entre protección de Training y pérdida de Search en páginas con ads.
Qué significa en España
Para pymes, blogs y agencias españolas que monetizan con Google AdSense —el programa de publicidad más extendido entre editores independientes en España, con pagos en euros y retención fiscal según el tratado España-EE.UU.— el default del 15 de septiembre tiene implicación directa en ingresos. Un blog de tecnología en español con 50.000 visitas mensuales y RPM de 3-8 € depende de que los lectores humanos vean los anuncios. Si bots de Agent —como ChatGPT-User— extraen el artículo completo para responder a un usuario sin que este visite la URL, el editor pierde la impresión publicitaria y el coste de ancho de banda lo absorbe el propietario del sitio. Bloquear Agent y Training solo en páginas con anuncios preserva el inventario publicitario sin necesariamente cortar el acceso a bots de Search en páginas sin monetización.
Las agencias de marketing digital españolas que gestionan decenas de sitios de clientes en Cloudflare deben auditar la configuración antes del 15 de septiembre de 2026. La ruta es Security Settings > Configure AI bot policies en el dashboard de cada zona. Para un cliente que quiera mantener visibilidad en ChatGPT, Perplexity o Gemini —herramientas que los usuarios españoles consultan cada vez más según el patrón de adopción de 2026— conviene dejar Search en «Allow» y evaluar caso a caso Agent y Training. Si el cliente prioriza proteger contenido premium detrás de paywall, puede bloquear las tres categorías en todas las páginas. Si el cliente quiere máxima visibilidad en IA generativa y acepta que su contenido entre en datasets de entrenamiento, debe marcar explícitamente «Allow» en Training y confirmar el opt-out de los nuevos defaults antes del 15 de septiembre para evitar que Googlebot quede bloqueado en páginas con AdSense.
La tensión entre SEO tradicional y GEO (Generative Engine Optimization, la práctica de optimizar contenido para aparecer en respuestas de IA) es el debate que esta herramienta hace operativo. El SEO clásico persigue posiciones en Google Search y tráfico de referencia medible en Google Analytics 4. El GEO persigue citas en Perplexity, ChatGPT con búsqueda web o Google AI Overviews —respuestas que pueden no generar clic pero sí notoriedad de marca. Bloquear Search en Cloudflare reduce la probabilidad de que esos sistemas indexen y citen tu contenido; bloquear solo Training protege el contenido del entrenamiento sin cortar necesariamente la indexación para búsqueda, salvo en rastreadores multipropósito como Googlebot donde la regla restrictiva aplica a ambos comportamientos en páginas con anuncios. Un editor español que publique guías en español sobre fiscalidad autónoma o reformas laborales —contenido con alto valor de entrenamiento y alto CPM en AdSense— enfrenta precisamente ese dilema: máxima protección de Training implica posible pérdida de visibilidad en Google en las URLs que más ingresan.
La configuración de excepciones no requiere plan de pago. Cloudflare incluye estas políticas en el plan Free —suficiente para un blog personal o una web corporativa básica con CDN y protección DDoS—. Para sitios sin Cloudflare que usan otro hosting español —Raiola Networks, CDmon, Hostinger— estas opciones no aplican directamente; la señal equivalente pasa por robots.txt con las directivas Content-Signal: search=yes,ai-train=no,use=reference que Cloudflare añade automáticamente si activas el robots.txt gestionado. Si tu sitio está detrás de Cloudflare solo como proxy DNS —configuración habitual en agencias que centralizan la gestión de clientes—, el cambio del 15 de septiembre afecta a cada zona nueva que incorpores, no retroactivamente a zonas existentes salvo que no hayas hecho opt-out y Cloudflare aplique la notificación de migración que promete enviar antes de la fecha límite.
Análisis
Cloudflare acierta al abandonar el binario «bloquear todo / permitir todo» y nombrar tres comportamientos que los editores distinguen en privado pero no podían expresar en un firewall. La opción de bloquear solo en páginas con anuncios —sin que el propietario tenga que etiquetar manualmente cada URL— reduce la fricción operativa para pymes que no tienen equipo de DevOps. El problema es el tratamiento de rastreadores multipropósito: forzar la regla más restrictiva sobre Googlebot cuando bloqueas Training en páginas con AdSense puede sorprender a editores que creían estar protegiendo solo el entrenamiento y descubren que también han limitado su indexación en Google Search en las URLs que más facturan.
Para el ecosistema español de contenido en español —donde AdSense sigue siendo la vía de monetización principal de miles de blogs de nicho y medios digitales pequeños— el default del 15 de septiembre es razonable como punto de partida: protege inventario publicitario de bots que no generan CPM. No es suficiente como estrategia completa de visibilidad en IA. Un editor que bloquee Agent seguirá apareciendo en Perplexity si Search está permitido y Perplexity indexa vía rastreadores clasificados como Search; pero si depende de que ChatGPT-User visite la página en tiempo real para citar datos actualizados, ese canal se cierra. La decisión no es técnica: es de modelo de negocio —¿prefieres impresiones publicitarias o citas en respuestas de IA sin clic?
Si antes del 15 de septiembre Cloudflare publica una lista actualizada de qué rastreadores de Perplexity, OpenAI y Anthropic clasifica como Search frente a Agent —no solo los ejemplos genéricos del blog del 1 de julio—, los editores españoles podrán configurar políticas con datos en lugar de intuición. Si, en cambio, la clasificación permanece opaca y los defaults del 15 de septiembre bloquean Googlebot en páginas con AdSense sin que el propietario haya revisado la configuración, veremos en octubre la primera oleada de quejas de editores españoles que perdieron tráfico orgánico creyendo que solo bloqueaban entrenamiento. Hasta entonces, la acción concreta para cualquier propietario de web con Cloudflare y publicidad es una: entrar en Security Settings > Configure AI bot policies esta semana y decidir explícitamente, no dejar que el default del 15 de septiembre decida por ti.
Herramientas relacionadas
- Perplexity — motor de búsqueda con IA que depende de rastreadores clasificados como Search para indexar y citar contenido; bloquear Search en Cloudflare reduce la probabilidad de aparecer en sus respuestas con enlace a tu dominio.
- ChatGPT — Cloudflare clasifica ChatGPT-User como bot de tipo Agent; bloquearlo en páginas con anuncios impide que usuarios de ChatGPT extraigan tu artículo en tiempo real sin visitar la URL.
- Gemini — los agentes de navegador de Google que controlan Chrome en nombre del usuario entran en la categoría Agent de Cloudflare; relevante para sitios que quieren visibilidad en Google AI Overviews (Search) pero no extracción en tiempo real (Agent).
- Claude — mencionado en el blog de Cloudflare como ejemplo de agente de navegador; la ficha documenta precios y el contexto en el que un editor español evalúa si permitir o bloquear agentes de Anthropic en páginas monetizadas.