Bloquear bots de IA en PrestaShop: qué bloquear y qué pierdes

En la primavera de 2026 el tema se repitió en el grupo: tiendas con el servidor al límite por culpa de rastreadores de IA. Se compartieron listas de bots para bloquear en el .htaccess, y también un susto: una lista demasiado amplia empezó a bloquear a Google. La respuesta corta: bloquea por nombre exacto los bots que te hacen daño, empieza por robots.txt y revisa Search Console después de cada cambio.

Lo que estaba pasando

• Una tienda en hosting compartido recibió avisos de que su cuenta superaba los límites de MySQL: 1.341 veces en un día y más de 3.000 un fin de semana. Otros miembros le contestaron que, en su experiencia, eran bots o el rastreador de IA de Meta.
• Otro compañero vio el tráfico mensual de su servidor pasar de unos 600 GB a 3,4 TB después de que el rastreador de Meta «pillara» dos webs.
• Una tercera tienda recibía en enero unas 80.000 peticiones por hora desde países lejanos.

Antes de bloquear: no todos los bots de IA son iguales

Un miembro preguntó lo que hay que preguntarse: si los bloqueas, ¿dejas de aparecer en ChatGPT y compañía? En parte sí. Bloquear los de entrenamiento no te quita de las respuestas; bloquear los de búsqueda y los que visitan por encargo de un usuario, sí. Decide cuáles te sobran.

Primero, robots.txt

Los bots de las grandes empresas respetan robots.txt. Es la forma más limpia y no consume nada:

User-agent: GPTBot
Disallow: /

User-agent: ClaudeBot
Disallow: /

User-agent: CCBot
Disallow: /

User-agent: Google-Extended
Disallow: /

Después, .htaccess para los que no hacen caso

Para los que ignoran robots.txt o llegan en avalancha, un bloqueo en Apache antes de que la petición llegue a PrestaShop. Gustavo compartió el que le funcionó en un cliente; esta es la misma idea, compacta:

RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} (meta-externalagent|Bytespider|GPTBot|ClaudeBot|CCBot) [NC]
RewriteRule .* - [F,L]

Ponlo al principio del .htaccess, antes de la línea # ~~start~~: PrestaShop conserva lo que está fuera de su bloque cuando regenera el fichero.

El susto: cuando la lista bloquea a Google

Gustavo usaba una lista larga con palabras genéricas (zh-CN, undefined, Spider y similares). A principios de abril avisó de que algo había cambiado días antes: la lista había empezado a bloquear a Google en dos clientes. Su consejo: revisadlo todos. Las palabras genéricas atrapan a quien no quieres; «spider» aparece en el nombre de rastreadores legítimos.

Otro compañero contó el problema contrario: al bloquear user agents muy antiguos (un iOS 4, por ejemplo) estaba bloqueando a clientes reales, porque algunos navegadores en modo privado envían user agents poco habituales.

Reglas para no equivocarte

• Bloquea por el nombre exacto del bot, nunca por palabras genéricas.
• Revisa Search Console los días siguientes: un aumento de páginas «bloqueadas» o de errores de rastreo es la alarma.
• Mira tus registros antes: bloquea lo que de verdad te está llegando, no una lista copiada de 200 nombres.
• Cuidado con los modos de emergencia de los CDN. Gustavo recordaba que el modo «bajo ataque» de Cloudflare frena a los bots, pero también las notificaciones de las pasarelas de pago.

Esto salió en @PrestashopEsp, la mayor comunidad PrestaShop de España en Telegram. Ver la conversación