Bots que copian tus precios y tu catálogo: cómo reconocerlos y frenarlos

La tienda va lenta a ciertas horas, las estadísticas muestran visitas que no compran nada y un día encuentras tus fotos y tus descripciones en otra web, con tus precios rebajados un poco. No es casualidad: una parte del tráfico de cualquier tienda online son bots que recorren el catálogo y se llevan lo que encuentran.

Qué tipos de bots visitan una tienda

No todos son malos, y bloquearlos a todos es un error caro. Conviene distinguir:

• Buscadores: Google, Bing y otros. Los quieres, porque sin ellos no posicionas.
• Servicios que tú usas: comparadores donde publicas, herramientas de SEO, monitores de disponibilidad, el rastreador de tu plataforma de marketing.
• Rastreadores de inteligencia artificial, que recogen contenido para entrenar modelos o para responder preguntas. Allá cada cual con su decisión, pero debe ser tuya.
• Bots de seguimiento de precios, contratados por competidores o por servicios que venden esa información. Visitan tus fichas a diario para saber cuánto cobras y si tienes stock.
• Copiadores de catálogo, que descargan fichas, descripciones e imágenes para montar otra tienda o alimentar un marketplace.
• Bots de abuso: prueban tarjetas en el checkout, crean cuentas falsas, prueban contraseñas en el acceso de clientes o buscan módulos vulnerables.

Qué daño hacen

Carga del servidor

Un bot de copia no navega como una persona: pide cientos de páginas seguidas, combina todos los filtros de la navegación por facetas y pide páginas que nadie visita y que no están en caché. Cada una obliga a PrestaShop a calcular precios, stock y combinaciones. En un hosting justo, eso se nota en la velocidad que perciben tus clientes de verdad.

Ventaja para la competencia

Si un competidor conoce tus precios y tu stock en tiempo real, puede ajustar los suyos para quedar siempre un poco por debajo. Los precios públicos son públicos, eso no se puede evitar del todo, pero sí puedes ponérselo más difícil.

Contenido duplicado

Si tus descripciones aparecen en otras webs, los buscadores tienen que decidir cuál es el original. Normalmente aciertan, pero no siempre.

Estadísticas falsas

Las visitas de bots inflan el tráfico y hunden la tasa de conversión aparente, y te hacen tomar decisiones con datos sucios.

Cómo distinguirlos en los registros

La herramienta principal son los registros de acceso del servidor (los del hosting, no las estadísticas de la tienda, que no ven a la mayoría de bots porque no ejecutan JavaScript). Lo que delata a un bot:

1. Volumen y ritmo. Muchas peticiones por minuto desde la misma IP o el mismo rango, a un ritmo regular, a cualquier hora.
2. Recorrido. Solo fichas de producto, en orden de identificador, o todas las combinaciones de filtros de una categoría. Nunca el carrito, nunca la portada.
3. El agente de usuario. Los bots legítimos se identifican. Muchos copiadores se presentan como un navegador normal, pero a veces uno antiguo o el mismo para miles de peticiones.
4. El origen. Tráfico desde centros de datos y proveedores de nube en vez de conexiones domésticas o móviles. Una persona rara vez navega desde un servidor.
5. Sin recursos. Piden el HTML pero no las hojas de estilo, las imágenes pequeñas ni los scripts.

Qué medidas funcionan

En el servidor

• Limitar peticiones por IP: que ninguna dirección pueda pedir más de cierto número de páginas por minuto. A una persona no le afecta; a un copiador, mucho.
• Un cortafuegos de aplicación con reglas de bots, en el hosting o en un servicio por delante de la tienda. Muchos distinguen buscadores verificados del resto.
• Bloquear rangos de centros de datos que no te aportan nada, con cuidado: tus propios servicios también pueden venir de ahí.

En la tienda

• Caché de página completa donde se pueda: si las páginas se sirven desde caché, el bot carga mucho menos.
• No indexar combinaciones de filtros inútiles: controlar qué URLs de la navegación por facetas se pueden rastrear reduce el terreno donde se pierden los bots, también los buenos.
• robots.txt para los bots que lo respetan: buscadores y la mayoría de rastreadores de IA conocidos. Los copiadores lo ignoran, así que no es una protección, sino una forma de ordenar el tráfico legítimo.
• Protección del formulario de acceso y de registro contra intentos masivos.

En el contenido

• Imágenes con tu marca de agua si la copia de fotos te perjudica.
• Descripciones propias, no las del proveedor: lo que es tuyo y aporta algo se defiende mejor.

Lo que no conviene hacer

• Bloquear a todo lo que no sea un navegador conocido sin verificar: acabarás bloqueando a un buscador o a tu propio comparador.
• Poner un captcha a todos los visitantes: castigas a tus clientes por culpa de los bots.
• Ocultar los precios salvo que tu modelo sea B2B y lo justifique.
• Reaccionar a una sola IP: los copiadores serios rotan direcciones. Busca patrones, no direcciones.

Bots que buscan vulnerabilidades

Entre todo ese tráfico hay bots que no buscan precios sino módulos con fallos conocidos, carpetas de instalación olvidadas o paneles de administración con el nombre por defecto. Contra esos, la medida principal no es bloquearlos: es no tener nada que encuentren. PrestaShop, PHP y módulos actualizados, sin módulos huérfanos en disco y con la carpeta del back-office renombrada.

Cómo resolverlo en PrestaShop

RKR Security Alert no es un cortafuegos ni bloquea bots: detecta y avisa. Lo que sí hace es cubrir lo que esos bots buscan. Su auditoría señala la carpeta install/ presente, la carpeta del back-office con el nombre por defecto, un robots.txt que revela la ruta del back-office, copias de seguridad accesibles en la raíz y carpetas de subida donde se podría ejecutar PHP, y te avisa por Telegram de cambios en empleados, módulos y configuración y de accesos al back-office desde IP nuevas. Para el tráfico de bots en sí, con un bono de horas de soporte técnico de Rekire analizamos los registros de tu servidor, identificamos qué bots te cargan y dejamos configurados los límites y reglas que tengan sentido en tu hosting.