Se está produciendo un cambio sutil pero significativo en la forma en que internet gestiona los bots. El protocolo más reciente en este sentido es PACT (Private Access Control Tokens), desarrollado por Cloudflare. Será implementado por Google Chrome, Microsoft Edge, Mozilla Firefox y Shopify. Su concepto es sencillo: permite el acceso a agentes de IA legítimos y rechaza los bots maliciosos.
La razón por la que esto es importante es que existe un problema de bots en la web, y este problema sigue creciendo.
El problema de los bots está empeorando.
Según los datos de Cloudflare Radar, los bots automatizados representan aproximadamente el 58 % de todas las solicitudes HTTP a contenido web. Esto significa que los visitantes humanos reales constituyen solo alrededor del 42 % del tráfico web. Matthew Prince, director ejecutivo de Cloudflare, mencionó esta tendencia a principios de junio. En sus palabras, ahora la web es navegada con mayor frecuencia por bots impulsados por inteligencia artificial como ChatGPT y Gemini.
El problema es que las técnicas que usan los sitios web para filtrar el tráfico son vestigios del pasado. Captchas, inicio de sesión obligatorio, huella digital del navegador, seguimiento del comportamiento: todas esas técnicas presuponían que serían personas quienes harían clic en los enlaces. Y cuando son agentes de IA quienes navegan, todas estas técnicas se convierten en obstáculos y resultan ineficaces.
El director de tecnología de Cloudflare, Dane Knecht, fue directo al hablar del problema. Explicó que, a medida que crece el tráfico impulsado por IA, las herramientas existentes para gestionarlo resultan demasiado rudimentarias y genéricas para mantenerse al día. PACT está diseñado para ofrecer a todos, ya sean humanos o agentes, una experiencia más fluida sin sacrificar la privacidad.
¿Qué hace realmente PACT?
En términos generales, PACT funciona desacoplando la autenticación de la participación humana de la revelación de información sobre dicha persona. En términos muy básicos, el sitio que mantiene una relación de confianza con un usuario determinado puede emitir un token anónimo al navegador de este usuario. Este token se puede utilizar para demostrar la participación humana ante otros sitios sin revelar información sobre el usuario y sin permitir el seguimiento por parte del sitio receptor.
Según Cloudflare, los sitios web que poseen un buen conocimiento sobre la "personalidad jurídica" se denominan emisores de dichos tokens. En concreto, las plataformas en las que los usuarios confían y con las que interactúan habitualmente, como sus navegadores o tiendas de comercio electrónico, serían las que emitirían estas credenciales anónimas.
El protocolo funciona tanto para visitas humanas como para visitas automatizadas. Por lo tanto, no bloqueará todo el tráfico automatizado; más bien, permitirá que los sitios web distingan entre un agente de IA que busca un producto y un bot que extrae contenido o lanza campañas de abuso.
¿Por qué está involucrada Shopify?
La participación de Shopify en el desarrollo de PACT tiene todo el sentido del mundo, teniendo en cuenta el impacto que los bots están teniendo en los comerciantes online.
En este contexto, Ilya Grigorik, ingeniero distinguido de Shopify, quien anteriormente dirigió el Informe de Experiencia de Usuario de Chrome en Google, fue muy franco: “En el comercio, cada desafío adicional y cada falso positivo se traduce en un carrito abandonado. Los comerciantes necesitan una protección real contra el abuso, pero los compradores reales no deberían tener que lidiar con obstáculos adicionales ni con un seguimiento invasivo para completar su compra”. Esto es precisamente lo que PACT pretende solucionar.
Grigorik afirmó que Shopify participa para ayudar a los millones de empresas en su plataforma a distinguir entre compradores legítimos y agentes de IA autorizados, por un lado, y tráfico abusivo, por otro, todo ello sin comprometer la privacidad del comprador.
¿Dónde encaja Cloudflare?
Es fundamental que quede claro desde el principio qué es PACT y qué no es. Ante todo, no es un producto de Cloudflare. Se trata, más bien, de un protocolo abierto propuesto que Cloudflare pretende presentar para su estandarización.
Esta distinción es importante, ya que si el protocolo se acepta de forma suficientemente amplia, regiría la web de agentes a escala global, y no solo dentro de la infraestructura de Cloudflare.
Dicho esto, Cloudflare no es un actor neutral en este asunto. Ya proporciona infraestructura a una parte importante de la web. Aloja y gestiona agentes de IA mediante el marco de trabajo Cloudflare Agents, enruta el tráfico a través de Cloudflare Tunnels y opera AI Gateway, a través del cual se conectan diferentes sistemas de IA. Además, esta empresa no oculta sus intenciones, afirmando que el uso de PACT en la red de Cloudflare eleva el nivel de confiabilidad e integridad en línea sin costes adicionales.
Preguntas que aún necesitan respuesta
Sin embargo, aún quedan algunas incógnitas sobre el protocolo. La más importante es cómo se determinará el emisor de los tokens de personalidad jurídica. Según Cloudflare, los sitios con conocimiento exhaustivo de la personalidad jurídica serán los que emitan los tokens, pero este criterio no se ha explicado en detalle.
Si la capacidad de emitir tokens de confianza termina concentrándose en unas pocas plataformas grandes, sin duda generará serias preocupaciones sobre el poder y la responsabilidad. Un estándar verdaderamente abierto debe funcionar para sitios que no utilizan Cloudflare y para usuarios que no están vinculados a ninguna plataforma importante.
Security Boulevard señaló que en la descripción oficial del problema que plantea el protocolo, que actualmente está disponible para el público, no se ha descrito ninguna arquitectura ni se han establecido plazos para su estandarización o implementación.
Una Internet posterior a CAPTCHA
Una de las implicaciones más notables de PACT, en caso de ser adoptado, podría ser la eliminación definitiva de los CAPTCHA en la web. Si bien puede parecer insignificante, en realidad refleja un cambio filosófico sustancial en el enfoque de la verificación.
Los CAPTCHA y los inicios de sesión obligatorios se crearon bajo la premisa de que la web era para humanos y que los bots eran, en su mayoría, indeseables. Esta premisa ya no es válida. Los agentes de inteligencia artificial, que actúan en nombre de los usuarios, son ahora participantes habituales en actividades de navegación como el comercio electrónico, la búsqueda de información, la reserva de billetes, etc. El protocolo PACT se ha desarrollado específicamente para este nuevo entorno, donde la presencia de bots en la web ya no es relevante, siempre y cuando estos tengan motivos legítimos para ello.
Que viene despues
PACT aún no está operativo y no hay fechas anunciadas para su implementación. Cloudflare y sus socios planean seguir desarrollando el protocolo y presentarlo para su estandarización. Es una señal muy prometedora que Chrome, Edge y Firefox participen en su desarrollo.
Para los propietarios de sitios web, los profesionales del marketing y todos aquellos que se dedican al comercio electrónico, será interesante seguir este proyecto, ya que el mecanismo de verificación de usuarios y sus agentes en los sitios web cambiará próximamente.
Preguntas frecuentes
P 1: ¿Qué es el protocolo PACT de Cloudflare?
PACT significa Tokens de Control de Acceso Privado. Es un protocolo propuesto por Cloudflare que permitirá a los sitios web confirmar que una persona legítima está detrás de un agente que actúa en su nombre, sin rastrear ni identificar a dicha persona.
P 2: ¿Quién apoya el desarrollo de PACT?
Google Chrome, Microsoft Edge, Mozilla Firefox y Shopify se han sumado como participantes en el desarrollo de PACT, junto con Cloudflare. Cloudflare planea presentar este protocolo para su estandarización.
P 3: ¿Por qué es necesario PACT ahora mismo?
Según las estadísticas de Cloudflare Radar, actualmente la proporción de sistemas automatizados entre todas las solicitudes web ronda el 58 %. A medida que los agentes de IA realizan cada vez más navegación en nombre de los usuarios, herramientas antiguas como CAPTCHA y los muros de inicio de sesión generan obstáculos para las acciones legítimas y no logran impedir el acceso de usuarios malintencionados.
P 4: ¿Cómo funciona técnicamente PACT?
Un sitio web de confianza, que ya ha establecido una relación con un usuario humano, puede emitir un token anónimo para el navegador de dicho usuario. Este token puede utilizarse para autenticar a un usuario real en otros sitios web.
P 5: ¿PACT es un producto de Cloudflare?
No, PACT es un protocolo abierto propuesto, no un producto de Cloudflare. Sin embargo, la infraestructura de Cloudflare es fundamental para la implementación práctica de este protocolo.
P 6: ¿Por qué participa Shopify en PACT?
Shopify participa en la creación de PACT debido a que el abuso de bots perjudica los intereses de los comerciantes. Los procesos de pago fraudulentos, los web scrapers y los CAPTCHA innecesarios generan pérdidas para los comerciantes. PACT tiene como objetivo ayudar a los comerciantes a diferenciar a los clientes reales del tráfico fraudulento sin generarles inconvenientes adicionales.
P 7: ¿Bloqueará PACT a todos los bots de IA?
No, ese no es el objetivo del protocolo. Su propósito es distinguir a los agentes autorizados, que actúan en nombre de usuarios reales, de los programas de extracción de datos y los bots que realizan abusos. Se permitirá la actividad legítima de la IA.
P 8: ¿Cuándo estará disponible PACT?
No se han anunciado fechas para el despliegue de PACT. Cloudflare y sus socios planean seguir desarrollando el protocolo y presentarlo para su estandarización, pero no se ha anunciado ninguna fecha de despliegue.
