La guía para bloquear con calma el tráfico de bots en Shopify

Verificado por última vez en julio de 2026. Cloudflare y Shopify cambian sus paneles y políticas a menudo; cuando esta guía describe un ajuste, describe lo que hace, no dónde está el botón este mes.

Un comercio con el que trabajamos miró su informe de tráfico y descubrió que en torno al 70% venía de China. No venden allí, no envían allí y no se anuncian allí. Pedidos de ese tráfico: cero. Otro contó 250.000 sesiones en un mes y concluyó que unas 215.000 eran bots.

Ninguna de las dos tiendas es un caso raro. En la campaña navideña de 2024, los bots supusieron el 57% del tráfico de los sitios de ecommerce, la primera vez que el tráfico automatizado superó a los compradores humanos, según el informe E-commerce Bot Threat 2025 de Radware. Esa cifra cuenta todos los bots, buenos y malos. Contando solo los malos, el informe Bad Bot 2025 de Imperva sitúa los bots maliciosos en el 33% del tráfico de los sitios de retail en 2024, frente al 26% del año anterior. En junio de 2026, el CEO de Cloudflare informó de que los sistemas automatizados ya habían superado a los humanos en peticiones HTML en la red de Cloudflare, con un 57,5%.

Si tu tienda está en Shopify, este tráfico no es solo ruido en un gráfico. Infla todas las herramientas que pagas por sesión. Llena tu analítica de visitas que nunca comprarán, lo que corrompe en silencio cada decisión que tomas a partir de esos números. Alimenta con señales basura tus píxeles publicitarios, así que Meta y Google optimizan hacia más basura. Y a finales de 2025, una ola de exactamente esto golpeó a miles de tiendas Shopify a la vez, llenando los foros de la comunidad de Shopify de comercios describiendo tráfico que era entre un 50 y un 90% bots, desde países en los que nunca habían vendido.

La solución existe, y no es una app. Es poner una cuenta gratuita de Cloudflare delante de tu tienda y filtrar el tráfico en el borde de la red, antes de que llegue a Shopify. La configuración incluye un paso que impone de verdad, mover tu DNS, y un puñado de decisiones fáciles de errar, incluida una que puede volverte invisible, sin que lo notes, para los asistentes de IA que empiezan a enviar compradores reales, de los que pagan.

Esta guía lo recorre todo: cómo medir tu porcentaje de bots, qué bots deberías conservar a propósito, qué estrategia encaja con tu tienda, la mudanza del DNS con checklist previa y plan de vuelta atrás, y cómo confirmar después que nada se rompió. Nada de esto requiere un desarrollador, aunque si tienes uno, el capítulo del DNS es la parte que darle.

Tu dashboard te miente, y te cuesta dinero

Empecemos por qué esto merece una tarde de tu tiempo, porque «tengo las sesiones infladas» se queda corto.

Herramientas que facturan por tráfico. Buena parte del ecosistema de apps de Shopify cobra por sesiones o páginas vistas. Lucky Orange, una app popular de mapas de calor y grabación de sesiones, va de 32 $ al mes por 3.500 sesiones a 839 $ al mes por 300.000. OptiMonk cobra por páginas vistas. Herramientas de analítica como Matomo facturan por hits. Estos proveedores filtran los bots conocidos, pero las olas recientes usan proxies residenciales y navegación que imita a la humana precisamente para esquivar ese filtrado. Si el 60% de tus sesiones son bots, puede que estés pagando tramos de precio por una audiencia que en un 60% es nadie. En los hilos de la comunidad sobre la ola de 2025, los comercios contaban exactamente eso: facturas por uso subiendo por tráfico que jamás compraría.

Señales publicitarias envenenadas. Tus píxeles de Meta y Google aprenden del tráfico que ven. Sesiones bot con un 100% de rebote y cero intención de compra le enseñan al algoritmo las lecciones equivocadas, y si los bots hacen clic en tus anuncios de pago, el presupuesto se quema directamente. En los hilos de la comunidad sobre la ola de 2025, el aprendizaje corrompido del Meta Pixel fue el daño que más comercios señalaron, por delante de la propia analítica.

Decisiones tomadas sobre ficción. La tasa de conversión es pedidos entre sesiones. Inunda el denominador y tu conversión se hunde, tus informes de geografía apuntan a mercados que no existen y tu atribución por canal se desvía. El informe de retail de Imperva nombra literalmente el sesgo de analítica como actividad estándar de los bots maliciosos. Si haces merchandising a partir de tus datos, relegas lo que no se mueve y destacas lo que sí, este es el coste silencioso: los propios datos se estropean.

Carga que nadie paga a gusto. Cada página vista por un bot la sirve infraestructura real. En los planes estándar de Shopify el ancho de banda es problema de Shopify, pero cada herramienta de tu stack que mide el uso lo nota, y para las tiendas headless la línea de ancho de banda es directa e inmediata.

¿Cuánto suma esto para tu tienda? Más adelante en esta guía hay una calculadora: marca cuáles de tus herramientas facturan por tráfico, introduce tus sesiones y tu porcentaje de bots, y mira la cifra anual.

Averigua cómo de grave es

Antes de cambiar nada, mide. Puede que tu porcentaje de bots sea del 8%, en cuyo caso cierra esta pestaña y dedica el rato a algo más útil. Los comercios que necesitan esta guía suelen encontrar algo más cercano a la mitad.

En el admin de Shopify:

• Abre el informe de sesiones por ubicación y ponlo al lado del de pedidos por ubicación. Un país que genera miles de sesiones y cero pedidos es la firma clásica. La propia guía de Shopify sobre cómo identificar actividad de bots dice que vigiles las sesiones desde ubicaciones conocidas de centros de datos, y cita Ashburn (Virginia) y Los Ángeles; los comercios de la comunidad añaden Council Bluffs (Iowa), sede de una región de Google Cloud.
• Desde octubre de 2025, los informes de Shopify incluyen una dimensión "Human or bot session" (sesión humana o de bot) por la que puedes filtrar (docs de Shopify). Úsala, pero conoce sus límites: solo cubre datos desde el 7 de octubre de 2025, es deliberadamente conservadora (Shopify dice que prefiere pasar por alto bots antes que etiquetar mal a un cliente real) y no existe para tiendas headless. Trata su cifra como tu suelo, no como tu total.
• Revisa el informe de términos de búsqueda de tu tienda en busca de consultas que parezcan cadenas generadas por máquina, y tu lista de clientes en busca de nombres basura. Shopify cita ambas cosas como señales de bots.
• Mira ventanas de 30 a 90 días. Las ventanas cortas oscilan demasiado para leer nada.

En GA4: Google ya filtra automáticamente los bots conocidos, así que cualquier cosa sospechosa que aún veas ya se ha colado por ese primer filtro. La firma compuesta que sobrevive es tasa de interacción cercana a cero, más una fuente Direct o "(not set)", más un país fuera de tus mercados. Cualquiera de las tres por separado es una prueba débil. Las tres juntas, en volumen, es casi una certeza.

Una advertencia estructural. La analítica de Shopify, GA4 y tus píxeles son contadores JavaScript que corren en el navegador del visitante. Un bot que nunca ejecuta JavaScript es invisible para todos ellos mientras sigue cargando tus páginas. Sea cual sea el número que te enseñan tus dashboards, el borde de la red ve más. Tu primer recuento honesto llegará tras la configuración de Cloudflare de abajo, desde su analítica de tráfico, y es normal que ese recuento sea un shock.

Apunta tus números: sesiones totales, porcentaje sospechoso de bots y qué países o patrones dominan. La elección de estrategia de abajo depende de ellos, y la comparación antes-después es cómo sabrás que el trabajo valió la pena.

Los bots que te conviene conservar

Esta es la parte que todo tutorial de «bloquea los bots» se salta, y la razón por la que no deberías poner cada defensa al máximo sin más.

Algunos bots son la fontanería de tu visibilidad. Googlebot y Bingbot deciden si existes en el buscador. El crawler de vistas previas de Meta decide si tus productos se despliegan bien cuando alguien los comparte. Y una clase más nueva importa más cada trimestre: los crawlers y fetchers detrás de los asistentes de IA.

No son una sola cosa. Los bots de IA vienen en tres clases, y confundirlas es como las tiendas se apagan por accidente:

• Los crawlers de entrenamiento (GPTBot de OpenAI, ClaudeBot de Anthropic, meta-externalagent de Meta) recogen contenido para entrenar modelos futuros. Bloquearlos es una decisión de negocio legítima sin efecto en tu visibilidad de hoy.
• Los indexadores de búsqueda (OAI-SearchBot, Claude-SearchBot, PerplexityBot) construyen los índices desde los que responden los asistentes de IA. La documentación de OpenAI es tajante: los sitios excluidos de OAI-SearchBot «no aparecerán en las respuestas de búsqueda de ChatGPT» (docs de bots de OpenAI).
• Los fetchers activados por usuarios (ChatGPT-User, Claude-User, Perplexity-User) recuperan una página porque un humano acaba de hacer una pregunta. Bloquéalos y el asistente no podrá leer tu página de producto justo cuando un comprador pregunta «¿esta chaqueta es fiel a la talla y hay stock?»

¿Ese tráfico ya importa? El análisis de Adobe sobre sitios de retail en EE. UU. encontró que el tráfico referido por IA creció un 693% interanual en la campaña navideña de 2025 y, más interesante aún, que esos visitantes convertían un 31% mejor que el visitante medio. Eso es un vuelco: un año antes la misma medición mostraba a las referencias de IA convirtiendo peor. El canal pasó de curiosidad a calidad en unos doce meses. Sigue siendo pequeño en términos absolutos, pero es el único canal de referencia que crece a ese ritmo, y los compradores que envía llegan ya convencidos por un asistente que ha leído tus páginas.

Hay una asimetría real que sopesar con honestidad: las mediciones de Cloudflare muestran que las empresas de IA rastrean mucho más de lo que devuelven en visitas (en agosto de 2025, Anthropic rastreaba unas 50.000 páginas por visita referida, OpenAI menos de 900, Perplexity unas 118). La carga de rastreo es un coste real y sirve sobre todo al entrenamiento. Justo por eso la postura correcta es bot a bot, no todo o nada: conserva los indexadores de búsqueda y los fetchers que producen compradores, decide conscientemente sobre los crawlers de entrenamiento y bloquea a los impostores que no respetan nada.

Una razón más para hacer esto en el borde de la red y no con un archivo robots.txt: robots.txt es una petición educada, y el propio Shopify señala que las reglas de rastreo son «orientativas y consultivas». Los crawlers serios la respetan; los bots que inundan tu tienda, no (hasta los operadores honestos discuten en público quién rastreó qué, como mostró el encontronazo entre Cloudflare y Perplexity de 2025). Las preferencias necesitan que alguien las haga cumplir, y eso ocurre en el borde.

La lista blanca condensada, los bots que deberían sobrevivir a cualquier configuración que elijas:

Lo que Shopify ya cubre

Shopify no está dormido aquí, y conviene saber exactamente qué hace la plataforma para saber también qué te deja a ti.

Toda tienda Shopify ya está detrás de la infraestructura de borde de Shopify (que a su vez corre sobre Cloudflare), con protección DDoS a nivel de plataforma y un firewall de aplicaciones web (WAF), más captchas en los formularios por defecto (docs de Shopify). Los comercios en Shopify Plus pueden armar además una protección del checkout contra bots pensada para drops: protege el checkout en eventos programados de hasta 60 minutos (docs). Eso es armadura para el día del drop, no higiene diaria de tráfico.

Lo que los comercios no tienen es control alguno sobre ese borde. No hay ningún ajuste en el admin de Shopify para bloquear un rango de IPs, desafiar a un país o poner límites a un scraper. El filtro "Human or bot session" de octubre de 2025 limpia tus informes, lo cual es genuinamente útil, pero lee la letra pequeña de lo que significa filtrar: los bots siguen visitando, siguen disparando tus píxeles, siguen contando en cada app que factura por sesión, siguen ocupando infraestructura. El informe se ve mejor mientras el contador sigue corriendo.

Ese hueco explica que la App Store esté llena de apps para bloquear países y bots, y que decepcionen. Una app no puede ponerse delante del borde de Shopify; la página ya se ha servido para cuando la app se ejecuta. Así que estas apps funcionan cargando en tu tema un JavaScript que detecta y luego oculta o redirige. De ahí se siguen dos consecuencias. La sesión ya se contó para cuando el script se dispara, así que tu analítica y tus apps medidas quedan contaminadas igual. Y un bot que no ejecuta JavaScript nunca llega a correr el script bloqueador. Lo mismo vale para quitar un país en Shopify Markets: eso impide el checkout desde una región, no la navegación, no los bots.

Si tu porcentaje medido de bots era pequeño, lo que Shopify trae de serie más el filtro de analítica es un lugar perfectamente sensato donde quedarse. Si era del 30, 50 o 70%, la única solución estructural es filtrar el tráfico antes de que llegue a Shopify. Eso significa poner tu propio borde delante, y ahí entra Cloudflare.

Elige tu estrategia antes de tocar el DNS

La configuración de Cloudflare es la misma en todos los casos; lo que cambia es qué reglas activas cuando el tráfico ya fluye por tu zona. Decídelo ahora, con calma, en lugar de improvisar en un dashboard a medianoche.

Una nota rápida de vocabulario. Las reglas de Cloudflare pueden bloquear una petición de plano o servir un desafío gestionado (Managed Challenge): una comprobación automática rápida que la mayoría de humanos pasa sin darse cuenta (como mucho una vez cada media hora), mientras la mayoría de bots falla. El propio Cloudflare recomienda el desafío frente al bloqueo para casi todas las reglas, y esta guía también: convierte «espero que esa regla no tuviera falsos positivos» en «de vez en cuando un humano ve una pantalla intermedia de dos segundos».

Defensa base contra bots

El plan gratuito de Cloudflare incluye Bot Fight Mode, un único interruptor que desafía el tráfico que coincide con patrones conocidos de bots simples. Es tosco: se aplica a todo tu dominio, no admite acotaciones ni excepciones y puede pillar tráfico legítimo de APIs o apps. En el plan Pro de 20 a 25 $ al mes se convierte en Super Bot Fight Mode, que sí es configurable: eliges la acción para el tráfico claramente automatizado, tienes un interruptor que pone en lista blanca todos los bots buenos verificados de una vez, y obtienes analítica de bots. Si la pregunta de presupuesto es «¿vale la pena Pro?», para una tienda con un problema real de bots la respuesta suele ser sí, solo por ese interruptor de bots verificados y por la visibilidad. (Los planes Business y Enterprise, de 200 $ en adelante, añaden control más fino, incluida una puntuación por petición; la mayoría de comercios que leen esto no los necesita.)

Encaja: toda tienda que haga esta configuración. Este es el suelo.
Riesgos: en el plan gratuito, la tosquedad, y que no puedes crearle excepciones: si Bot Fight Mode interfiere con una app del tema o una llamada de una tienda personalizada, tus opciones son apagarlo (y filtrar con reglas WAF) o subir a Pro, donde las excepciones sí existen. Así que tras activarlo, recorre tu tienda como un cliente y vigila que nada haya dejado de funcionar.

Pon un filtro geográfico a un país al que no vendes

Si tu diagnóstico mostró un país que genera sesiones masivas y cero pedidos, una regla personalizada del WAF lo resuelve. El patrón, sacado directamente de la propia documentación de Cloudflare, es una regla que coincide con el país, con una exención para los crawlers verificados. En el editor de reglas, la expresión es:

ip.src.country eq "CN" and not cf.client.bot

y la acción, que se elige aparte en el desplegable de acción de la regla, es el desafío gestionado. (La expresión y la acción son dos campos; el editor de expresiones rechazará cualquier otra cosa que pegues dentro.) La cláusula "not cf.client.bot" importa: exime del desafío a todos los crawlers de la lista de bots buenos verificados de Cloudflare, para que no acabes peleándote con los buscadores sin querer. Los planes gratuitos incluyen 5 reglas personalizadas, de sobra para esto.

Sé honesto contigo mismo sobre lo que sacrificas antes de elegir un bloqueo duro en lugar del desafío. La geolocalización resuelve el punto de salida de la red, no la persona: usuarios de VPN, viajeros y clientes expatriados enviando regalos a casa chocarán con tu regla, y justo por eso el desafío (que los humanos pasan) gana al bloqueo duro. Bloquear un país también acaba con tu visibilidad en los buscadores locales de ese país (si bloqueas China, eso es Baidu). Y una nota legal para los comercios europeos: el reglamento de geobloqueo de la UE (2018/302) prohíbe bloquear a compradores de otros países de la UE y el EEE, así que el filtro geográfico es una herramienta para países a los que de verdad no sirves, fuera de esa zona.

Encaja: el patrón «70% desde un país, cero pedidos».
Riesgos: los casos límite de arriba; mitigados con desafío en vez de bloqueo y con la exención de bots verificados.

Una política deliberada para los crawlers de IA

A julio de 2026, Cloudflare clasifica los bots de IA en tres comportamientos, Search (búsqueda), Agent (consulta activada por un usuario) y Training (entrenamiento), y te deja fijar una política por comportamiento, o por crawler individual, en su panel AI Crawl Control, en todos los planes incluido el gratuito. Aquí es donde aplicas la lista de antes: permite las categorías Search y Agent, decide conscientemente sobre Training, y deja que el sistema de bots verificados de Cloudflare separe los crawlers honestos de los impostores que falsifican user agents.

Dos avisos. Primero, mira qué hay ya configurado: Cloudflare bloquea los crawlers de IA por defecto en las zonas creadas después de mediados de 2025, así que puede que tu tienda ya sea invisible para la búsqueda con IA sin que nadie lo haya elegido. Segundo, los valores por defecto vuelven a cambiar el 15 de septiembre de 2026 (Search permitido, Training y Agent bloqueados en páginas con publicidad, para zonas nuevas y clientes del plan gratuito que no hayan elegido). No heredes un valor por defecto, ni en un sentido ni en otro. Configúralo tú.

Encaja: todo el mundo; son cinco minutos en un panel.
Riesgos: ninguno si se configura conscientemente. El riesgo es no configurarlo.

Filtra los informes y quédate ahí

Activa el filtro de bots de Shopify, añade anotaciones en GA4 y acepta los costes. Riesgo cero, configuración cero, y la elección honesta si tu porcentaje de bots es menor o no te ves tocando el DNS este trimestre. Puedes volver a esta guía cuando el porcentaje crezca. Suele crecer.

La mayoría de tiendas con un problema real quiere la defensa base más la política de crawlers de IA, añadiendo el filtro geográfico si la geografía está muy desequilibrada. Las tres cosas van sobre la misma configuración de abajo.

Mueve tu DNS sin perder el sueño

Todo lo anterior ocurre dentro de una cuenta de Cloudflare. Lo que hace que se aplique a tu tienda es apuntar el DNS de tu dominio a Cloudflare, de modo que el tráfico pase por la red de Cloudflare de camino a Shopify. Este es el paso que los comercios temen, con razón: el DNS es el sistema de direcciones que hace que tu tienda exista en internet, y sí, un cambio chapucero puede tirar tu sitio. El miedo encoge cuando sabes tres cosas: los modos de fallo son pocos y conocidos, todos tienen una salida rápida y nada de la mudanza es permanente.

Antes de cualquier checklist, hazte con una pieza de vocabulario, porque toda la mudanza gira sobre ella: la nubecita junto a cada registro DNS en Cloudflare, gris o naranja. Actívala tú mismo:

Ahora, la confesión honesta que la mayoría de guías entierra u omite.

Cloudflare soporta esta configuración. Shopify no. Cloudflare documenta la configuración oficialmente (se llama Orange-to-Orange u O2O, porque tanto tu zona como la de Shopify son zonas de Cloudflare), la soporta en todos los planes incluido el gratuito desde junio de 2025 y la detecta automáticamente: sin ticket y sin contrato Enterprise, digan lo que digan los hilos antiguos de los foros (la guía de Cloudflare para Shopify). El centro de ayuda de Shopify, en cambio, dice sin rodeos que las configuraciones con proxy de Cloudflare, incluida O2O, no están soportadas, que pueden afectar a la emisión de certificados y reducir la precisión de la propia detección de bots de Shopify, y que los problemas derivados quedan fuera del alcance de su soporte. En la práctica esto significa: funciona, muchísimas tiendas lo usan, Cloudflare construyó maquinaria explícita para ello, y si algún día contactas con el soporte de Shopify por un problema de dominio sin ninguna relación, su primera instrucción será desactivar el proxy. También debes saber qué cedes a cambio: las defensas contra bots de Shopify ven menos características originales de tu tráfico cuando llega a través de otro proxy, así que estás sustituyendo parte de la capa de bots de Shopify por la de Cloudflare.

¿Qué es lo peor que puede pasar?

El riesgo, medido con honestidad, para quien tenga que dar el visto bueno a tocar el DNS:

• El proceso está diseñado para que la tienda nunca se caiga. El primer paso solo cambia quién responde las consultas DNS, con registros idénticos; el flujo de tráfico no cambia hasta que activas un interruptor más adelante, y ese interruptor se revierte en segundos. Por diseño, no hay ningún momento en el que el sitio esté «mudado» e inaccesible.
• Peor caso realista n.º 1: un registro olvidado. El correo o una verificación se rompen unos días después porque un registro no hizo la mudanza. La prevención es la comparación registro a registro de la checklist de abajo; el arreglo es añadir el registro que falta, cuestión de minutos una vez detectado.
• Peor caso realista n.º 2: un conflicto de certificado o de proxy. El admin de Shopify muestra "SSL pending" o los visitantes ven un error de seguridad o un bucle de redirecciones. Salida: devuelve el registro con proxy a "DNS only" y la condición se despeja mientras investigas. La degradación dura minutos si estás atento, y por eso la checklist dice hacerlo en una ventana tranquila y verificar de inmediato.
• Peor caso diferido: la renovación del certificado falla semanas después porque "Always Use HTTPS" estaba activado. La prevención es una instrucción de abajo; el arreglo, el mismo interruptor de vuelta.
• El coste duradero es organizativo, no técnico: Shopify trata esta configuración como no soportada, así que en cualquier ticket futuro que roce el dominio, espera un «desactiva tu proxy de Cloudflare» como primer paso de su triaje. Es un impuesto permanente sobre tus conversaciones de soporte, y deberías sopesarlo como tal.
• Sobre el rendimiento: las dos zonas corren en la red de Cloudflare, así que el salto añadido se queda dentro de Cloudflare en vez de cruzar la internet pública. Si los milisegundos te importan, mide el tiempo hasta el primer byte de tu tienda antes y después; esa es la prueba honesta.

Si ese trato te parece aceptable, y para una tienda ahogada en tráfico basura suele serlo, aquí va el proceso. Reserva una tarde tranquila, no la víspera de una campaña.

Antes de tocar nada

1. Haz inventario de tu DNS. Entra donde viva hoy tu DNS (a menudo, tu registrador de dominio). Exporta o captura cada registro: el registro A de tu dominio raíz, el CNAME de www, cada subdominio adicional (shop, blog, los CNAME de seguimiento de enlaces que creó tu plataforma de email tipo Klaviyo, lo que haya añadido cualquier app) y, sobre todo, tus registros de correo (MX, más los TXT de SPF, DKIM y DMARC) y cualquier TXT de verificación (Google Search Console, verificación de dominio de Meta, etcétera). Olvidar registros de correo es la herida autoinfligida más común en cualquier migración de DNS; el importador de Cloudflare es bueno, pero la propia documentación de Cloudflare avisa de que no garantiza encontrarlo todo.
2. Baja tus TTL. Si tu proveedor de DNS actual lo permite, baja el tiempo de vida de tus registros a 300 segundos uno o dos días antes de la mudanza. El TTL es cuánto tiempo cachea internet tus registros; con TTL cortos, cualquier error que cometas se disipa en minutos en lugar de horas.
3. Ten tus accesos a mano. Registrador, proveedor de DNS actual, admin de Shopify. El camino de vuelta atrás pasa por el registrador, así que prueba ese acceso ahora.
4. Confirma que tus registros de Shopify siguen el estándar actual. A julio de 2026, un dominio de terceros se conecta a Shopify con un registro A apuntando a 23.227.38.65 y un CNAME de www apuntando a shops.myshopify.com (docs de Shopify). Si los tuyos difieren, entiende por qué antes de migrar.

La mudanza en sí

5. Crea una cuenta gratuita de Cloudflare y añade tu dominio. Cloudflare escanea e importa tus registros existentes. Ahora haz la verificación más importante de todo el proceso: compara la lista importada con tu inventario del paso 1, registro a registro, y añade lo que falte. Este es el paso que evita la historia de «mi correo murió tres días después».
6. Deja todos los registros en "DNS only" (nube gris) por ahora. Primero todo en nube gris, para que la mudanza no cambie nada de cómo fluye el tráfico. Lo estás haciendo en dos pasos seguros: mover el DNS y, después, encender el proxy.
7. Cambia tus nameservers en el registrador por los dos que te asigna Cloudflare. Esta es la mudanza de verdad. La propagación tarda oficialmente hasta 24 horas; en la práctica suele completarse en horas, aunque algunos registradores y terminaciones de dominio van más lentos. Tu tienda sigue funcionando todo el tiempo en cualquier caso, porque los registros en sí son idénticos; solo cambió el servidor que los responde.
8. Espera a que Cloudflare marque la zona como Active (te llega un email) y comprueba entonces que tu tienda carga, que tu admin funciona y que un correo de prueba llega. Funcionalmente aún no ha cambiado nada, y esa es la gracia.

Enciende el filtro

9. Pasa el CNAME de www a proxy activado (nube naranja), y solo el CNAME de www. Todos los demás registros, los CNAME de envío de correo, los subdominios de blog y de apps, todo eso, se quedan en "DNS only" salvo que sepas exactamente por qué les pones proxy; un registro de seguimiento de email con proxy es la manera clásica de romper algo sin relación días después. Como el destino de www es shops.myshopify.com, Cloudflare reconoce automáticamente la relación con Shopify y enruta el tráfico zona a zona; verás aparecer un logo de Shopify junto al registro en el dashboard. Tus reglas WAF, tus ajustes de bots y tu analítica ya se aplican al tráfico de la tienda.
10. Deja el registro A del dominio raíz en nube gris, y deja que el dominio raíz redirija a www. El traspaso zona a zona se activa en registros CNAME, no en registros A con proxy; un registro A con proxy delante de Shopify es exactamente la configuración no soportada que produce errores de certificado. El patrón limpio: mantén el dominio raíz sin proxy y asegúrate de que www es tu dominio principal en Shopify (mira Configuración y luego Dominios; es lo predeterminado en la mayoría de tiendas). Shopify redirige el dominio raíz al dominio que sea principal, así que con www como principal, quien entra por el dominio raíz aterriza igualmente en el www filtrado. Si tu dominio raíz es hoy el principal, cambia el principal a www antes de este paso o tu filtro solo verá la redirección.
11. No actives "Always Use HTTPS", nunca, en esta zona. Esta es la trampa que muerde semanas después. Shopify renueva tu certificado TLS mediante un archivo de validación que sirve por HTTP plano en "/.well-known/acme-challenge/". La redirección HTTPS global de Cloudflare intercepta esa ruta, la validación falla y tu certificado deja de renovarse en silencio (la guía de Cloudflare para Shopify documenta exactamente esta advertencia). Si quieres una redirección HTTPS en el borde, crea una regla de redirección que excluya esa ruta, según la guía de Cloudflare. Pon el modo de cifrado SSL/TLS en Full (strict), nunca en Flexible; Flexible contra Shopify produce un bucle infinito de redirecciones.
12. Ahora aplica la estrategia que elegiste antes: activa Bot Fight Mode (o Super Bot Fight Mode con los bots verificados permitidos, en Pro), crea la regla geográfica si elegiste una y fija tu política de crawlers de IA en AI Crawl Control.

Comprueba que funcionó

Repasa esta lista esa misma tarde, y otra vez al día siguiente:

• La tienda carga por HTTPS en www y en el dominio raíz, desde un navegador normal y desde tu móvil sin wifi.
• Haz un pedido de prueba real por el checkout, pago incluido. El checkout es el único flujo que jamás se da por supuesto.
• Admin de Shopify, Configuración, Dominios: estado en verde, SSL activo, sin avisos de proxy.
• Envíate un correo a tu dominio propio, y envía otro hacia fuera.
• Confirma que Google Search Console y el resto de verificaciones de dominio (Meta, Pinterest) siguen en verificado; sus registros TXT se mudaron con todo lo demás, y esta es la comprobación que lo demuestra.
• En Cloudflare, observa la analítica de seguridad durante un día: deberías ver desafíos servidos, con tasas de resolución cercanas a cero para el tráfico basura (los bots no resuelven desafíos; los humanos sí).
• Compara tu informe de sesiones de Shopify semana contra semana pasados siete días. Este es tu antes y después.

Si algo se rompe

Las salidas, de la más rápida en adelante:

• Deshaz el filtro y conserva el DNS: devuelve el registro www a la nube gris. Surte efecto en segundos o minutos, y el tráfico vuelve a fluir exactamente como antes de que Cloudflare tocara nada. Errores de certificado, bucles de redirección, avisos de «dominio con proxy no soportado» en el admin de Shopify: este único movimiento elimina la condición que los causa todos mientras investigas. Por eso importa el enfoque en dos pasos; la vuelta atrás completa, que suena tan temible, casi nunca es la que necesitas.
• Vuelta atrás completa: devuelve los nameservers en tu registrador al antiguo proveedor de DNS. Deja tu antigua zona DNS intacta en el proveedor viejo durante al menos un par de semanas, precisamente para que esto siga siendo una operación de cinco minutos. Con los TTL bajados de la lista previa, la propagación es rápida.
• Certificado atascado en "SSL pending" en el admin de Shopify: pon los registros en nube gris y espera a que Shopify termine de emitirlo; después reactiva el proxy. Es el modo de fallo conocido de activar el proxy demasiado pronto o con los ajustes equivocados, y se resuelve igual todas las veces.

La semana de después

Tus gráficos van a cambiar de forma a propósito, y conviene saber qué esperar antes de que tu jefe pregunte.

• Las sesiones caen en picado. Eso es la solución funcionando. Todo gráfico de tendencia que cuente sesiones rompe su historial el día del cambio. Anota la fecha, en GA4 y donde tu equipo guarde las notas, para que nadie dentro de tres meses lea la caída como un problema de tráfico. La frase para la reunión del lunes: las sesiones cayeron porque dejamos de servir a robots; cada una de esas sesiones inflaba nuestras facturas por uso y alimentaba de basura a los píxeles publicitarios.
• La tasa de conversión sube por la misma razón. El denominador se volvió honesto. Resiste la tentación de celebrarlo como crecimiento; son los mismos pedidos entre sesiones reales.
• Ten claro cuál es ahora el número verdadero. La analítica de Cloudflare cuenta todo lo que llega al borde, incluido lo que los desafíos apartan; los informes de Shopify cuentan lo que pasó. Espera que la cifra de Cloudflare sea mucho mayor, y trata la diferencia como el trabajo de tu filtro. Como la propia detección de bots de Shopify ve el tráfico con proxy con menos claridad (su advertencia, y es justa), el dashboard de Cloudflare es desde ahora tu fuente de verdad para el tráfico; Shopify sigue siendo la verdad para los pedidos y para todo lo que importa más que el tráfico.
• Vigila al raro humano de verdad atrapado en una regla. El registro de eventos de seguridad de Cloudflare muestra exactamente qué regla coincidió con cada petición desafiada o bloqueada. Si un cliente real o la herramienta de un partner reporta un bloqueo, localiza el evento y, o bien relaja esa regla de bloqueo a desafío gestionado (los humanos los pasan), o añade encima una regla de excepción para su IP. Nunca estás eligiendo entre «se queda la regla» y «se queda el cliente».

La factura del tráfico que nunca compra

Ya sabes cómo parar la inundación. Aquí tienes un marco para lo que estaba costando, para que la tarde de configuración tenga una cifra al lado.

Para una tienda Shopify estándar el coste no es el ancho de banda (Shopify lo incluye), sino todo lo que se mide alrededor de la tienda:

• Herramientas facturadas por sesiones y páginas vistas. Cuenta las tuyas: mapas de calor, personalización, popups, analítica, algunas herramientas de reseñas y de soporte. Cada una tiene una escalera de tramos, y las sesiones bot la suben por ti. Una escalera real como referencia: los precios públicos de Lucky Orange van de 32 a 839 $ al mes según el volumen de sesiones.
• Gasto publicitario y daño a los píxeles. Los clics de bots en anuncios son pérdida directa; el aprendizaje contaminado del píxel es indirecto pero se acumula, porque el algoritmo optimiza hacia lo que convierte, y los bots le enseñan que nada convierte.
• Decisiones. Tasa de conversión, priorización de mercados, lecturas de campaña, señales de merchandising: todas se degradan con el denominador. Este coste no se puede medir, y justo por eso es el peor.
• La infraestructura de todos. Para las tiendas headless la línea de ancho de banda es real e inmediata (Vercel, por ejemplo, cobra 0,15 $ por GB por encima de la transferencia incluida). Cuando la plataforma de documentación Read the Docs bloqueó los crawlers de IA en 2024, su ancho de banda cayó un 75%, unos 1.500 $ al mes; no es una tienda, pero sí un antes y después limpio de lo que cuesta servir bots a quien los sirve.

Introduce tus propios números, los de tu diagnóstico de antes:

¿Por qué escribe esto una empresa de merchandising?

Pregunta justa. Depict construye merchandising asistido por IA para tiendas Shopify: visual merchandising para páginas de colección. El tráfico de bots no es nuestro producto, y esta guía no vende nada.

La escribimos porque nuestros comercios no dejaban de preguntar, y porque nos jugamos algo por tres vías. Nuestro propio precio cuenta sesiones igual que las herramientas de analítica, sin separar bots, así que las inundaciones de bots empujan a nuestros clientes hacia límites por tráfico que nunca comprará (nuestra postura: límites generosos, seguidos pero no aplicados automáticamente, y conversaciones honestas). Las sesiones bot también contaminan los datos de comportamiento sobre los que corre el merchandising. Los bots no compran, así que tus cifras de ventas sobreviven; lo que se corrompe es todo lo basado en vistas y clics. Las sesiones basura inflan la popularidad aparente de las páginas que machacan, así que los productos que un merchandiser colocó a propósito pueden leerse como flojos al lado de lo que los bots tocaron por azar, y la ordenación por popularidad aprende en silencio de una ficción. Y la carga de bots quema computación, la nuestra y la de cada proveedor, para nadie.

Así que: un tráfico más limpio hace tus costes más sensatos y tus datos honestos, y los datos honestos son la materia prima del buen merchandising. Si las horas que recuperas de pelear con tráfico basura son horas que prefieres dedicar a seleccionar las colecciones que cuentan tu historia, ese es el trabajo que hace Depict.

Preguntas frecuentes

Los datos de esta guía se verificaron en julio de 2026 contra la documentación de los proveedores e informes primarios; las fuentes están enlazadas en el texto. Cloudflare y Shopify cambian rápido en este terreno. Si ves algo que ya no cuadra, dínoslo y lo corregimos.