¿Debo bloquear a los bots de IA que rastrean WordPress? Cómo se hace y qué afecta al SEO, AEO y a la visibilidad en IAs

La pregunta que más me hacéis los que tenéis VigIA instalado no es «¿cómo bloqueo a las IA?», es la de fondo: «¿me conviene bloquearlas o no?».

O sea, que si le cierro el paso a los rastreadores de inteligencia artificial que me entran en la web, ¿me estoy protegiendo o  pegando un tiro en el pie con el SEO y con mi visibilidad en las propias IA?

Es una pregunta de las buenas, y casi todo el mundo la responde mal por dos motivos.

El primero es porque confunde declarar con bloquear, que no es lo mismo, una cosa es pedirle al bot que no lo haga y otra impedírselo de verdad, y luego está el hecho de que se decide a la brava, sin pararse a pensar qué le cuesta eso al posicionamiento.

Vamos a ponerlo en orden, con datos, y en mi opinión (y experiencia) son cuatro pasos:

1. Analizar qué puedes hacer y cómo se aplica cada cosa
2. Saber (realmente) a qué hacen caso las IA y a qué no.
3. Lo más importante, razonar si a ti te conviene para el SEO y en qué casos.
4. Y al final, con toda la información en la mano, decidir qué haces con tu web.

Vamos a verlo con calma.

Ah ¿pero se puede bloquear a las IAs?

Antes de decidir conviene saber qué tienes disponible, porque es más de lo que crees y no todo hace lo mismo. Y hay una línea que lo separa todo, porque unas acciones declaran tu voluntad (solo surten efecto si el bot decide respetarlas) y otras bloquean de verdad (impiden el acceso, lo respete o no).

Con esa idea clara esto es lo que hay.

Señales declarativas (piden, no obligan)

¿En serio hace falta que recuerde esto? Ah ¿que sí?, pues nada, uy perdón …

• El Disallow del robots.txt: Le dices a un bot, por su nombre, que no rastree tu web o ciertas partes. Aquí dentro entra también el Google-Extended, que no es más que un Disallow para el token con el que Google controla el entrenamiento de Gemini.
• El noai y el noimageai: Dos etiquetas en la cabecera de tu web que declaran «no me uses para entrenar, ni el texto ni las imágenes».
• Las Content Signals: Una técnica distinta y más fina, que va en el robots.txt y que en vez de bloquear a un bot separa para qué autorizas tu contenido y para qué no, y que además puede llevar respaldo legal. La vemos aparte, que tiene lo suyo.

Bloqueo real y efectivo (impide de verdad)

Aquí quería llegar yo…

• El 403. Le devuelves al bot un «prohibido» desde PHP, desde el .htaccess o desde un firewall, y no ve absolutamente nada. Esto no pide, esto impide.

Espera que hay más

Y dos caminos más que no son ni bloquear ni dejar pasar, y que mucha gente ni se plantea:

• Cobrar por el acceso, con la cabecera 402 y el protocolo x402.
• Adelantarte, asegurándote de que, cuando te compartan con una IA, tu web vaya siempre como fuente.

¿Le damos ya?, que esto era solo la lista, la chicha de cada cosa la explico ahora.

Cómo se bloquea a las IAs

A las manos en la masa. El «cómo» de cada cosa, con código si te va lo artesano y con plugin si prefieres no tocar nada. Y sí, varios plugins son míos, porque los hice justo para esto, así que perdona el autobombo, pero es que vienen al pelo.

El Disallow en el robots.txt (con el Google-Extended dentro)

A mano, en tu robots.txt:

User-agent: GPTBot
Disallow: /

User-agent: CCBot
Disallow: /

User-agent: Google-Extended
Disallow: /

Fíjate en que el Google-Extended es un Disallow más, solo que especial, porque bloquearlo evita que Google te use para entrenar Gemini sin sacarte de las búsquedas, sigues apareciendo igual.

Lo anterior, por supuesto, es solo un ejemplo, aquí tienes una lista bastante más completa de bots de IA a los que hacer Disallow (o no)

Si no te quieres pelear con el fichero, tanto mi plugin Visibility como VigIA te añaden el Disallow a los principales bots de IA con un par de clics.

Las metas noai y el noimageai

En la cabecera de tu web, así:

<meta name="robots" content="noai, noimageai">

Es una declaración de intenciones contra el entrenamiento de las IAs, nacida en DeviantArt en 2022, que no es un estándar oficial de nada, así que vale para el bot que quiera respetarla y para nada frente al que no.

El plugin AI Content Signals las añade (si quieres) sin tocar código ni complicarte.

Las Content Signals (y su respaldo legal)

Las Content Signals también van en el robots.txt, pero en vez de decirle a un bot que no entre, declaran para qué usos autorizas tu contenido y para cuáles no, separando tres cosas distintas:

• search: construir un índice de búsqueda y mostrar resultados (enlaces y extractos cortos), sin incluir los resúmenes generados por IA.
• ai-input: meter tu contenido en modelos de IA en tiempo real, lo que se llama RAG o grounding, las respuestas de búsqueda con IA.
• ai-train: entrenar o afinar los modelos.

Un ejemplo de «buscar sí, entrenar no» quedaría así:

User-agent: *
Content-Signal: search=yes, ai-train=no

¿Y dónde está la gracia de verdad? Pues en que esto no es solo una petición, es una reserva expresa de derechos con base legal.

El plugin AI Content Signals que te comenté en el apartado anterior añade además al robots.txt una declaración que ampara esas señales en el artículo 4 de la Directiva europea 2019/790 de derechos de autor, la que permite a los autores reservarse su contenido frente a la minería de textos y datos, que es, ni más ni menos, lo que hace el entrenamiento de las IA.

O sea, que ya no solo le pides al bot que se porte, le recuerdas que hay una ley europea detrás que protege tu contenido. Te lo conté a fondo en mi artículo sobre las Content Signals, por si quieres seguir informándote de esto.

El bloqueo con 403 por .htaccess o por PHP

Cuando la declaración no basta toca el bloqueo de verdad, cortando por User-agent desde .htaccess:

RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} (Bytespider|PerplexityBot|CCBot) [NC]
RewriteRule .* - [F,L]

O desde PHP, en tu propio plugin o como suelas añadir códigos a tu web:

function ayudawp_bloquear_bots_ia() {
    $ua = isset( $_SERVER['HTTP_USER_AGENT'] ) ? $_SERVER['HTTP_USER_AGENT'] : '';
    if ( $ua && preg_match( '#Bytespider|PerplexityBot|CCBot#i', $ua ) ) {
        status_header( 403 );
        exit;
    }
}
add_action( 'init', 'ayudawp_bloquear_bots_ia' );

Y aquí, de nuevo, VigIA te lo da hecho, porque bloquea de verdad por PHP a los bots que tú elijas, por IP o por User-agent.

Lo mejor de todo es que te da todas las capas, así que puedes probar con el Disallow, y cuando compruebes que no le hacen ni caso, además de aprender en carne propia, con un clic puedes bloquearlos, y también ahí comprobar que eso sí funciona (garantizado).

Para lo más bruto y lejos de tu web de todo, un cortafuegos (un WAF, como el de Cloudflare), que es el único que frena hasta a los que maquillan el User-agent o cambian dinámicamente de IP.

Y en vez de bloquear a las IA ¿puedo cobrarles o alguna otra cosa?

Pues sí ,es posible, y quizás son las que más interesante de cara al futuro.

Cobrar por el acceso: 402 y x402

Existe una cabecera HTTP, la 402 Payment Required, que llevaba décadas casi de adorno y que ahora empieza a cobrar sentido, pues en vez de decirle a la IA que no, le dices «sírvete, pero pagando».

Sobre esa idea se está montando el protocolo x402, para que los bots paguen por rastrearte de forma automática, y Cloudflare ya está levantando su mercado de pago por rastreo.

No es ciencia ficción, te lo he contado en detalle en mis artículos sobre la cabecera 402 y sobre x402, porque es, hoy o mañana, otra opción real para el dueño de una web que no quiere ni regalar su contenido ni renunciar del todo a las IA.

Adelantarte a veces es inevitable, ya puestos que te lleven siempre de fuente

Esta sería la forma más proactiva de todas, porque en vez de solo defenderte juegas al ataque. La gente va a compartir tu contenido con las IA quieras o no, así que al menos que lo haga citando tu web como fuente.

Eso es justo lo que hace el plugin AI Share & Summarize, que añade botones para resumir y compartir tu contenido en ChatGPT, Claude, Perplexity y demás IAs, y cada vez que un lector los usa, el mensaje que se manda a la IA lleva tu URL como origen.

También va un paso más allá y te permite usar la IA para que los usuarios no abandonen tu web para usar la IA ¿flipas verdad?

Básicamente puedes ofrecer resúmenes de tu contenido para, a modo de extracto, generado con tu IA favorita, así les animas a seguir leyendo, sin que dejen de sentir ese calorcito especial que da la IA.

De paso te da analítica de esos clics, que no viene nada mal, lo tienes explicado en mi artículo sobre los resúmenes con IA integrados.

¿A qué hacen caso las IA y a qué no?

Por resumir, recuerda que las señales (el Disallow, el noai, las Content Signals) declaran, y solo surten efecto si el bot decide respetarlas, el 403 bloquea de verdad, lo respete o no.

Los hay que hacen caso, que conste. Sin ir más lejos, esta semana le pedí a mi IA de cabecera (sí, es Claude Code) que me leyera un artículo de ZDNet para recopilar documentarme para los vídeos que hago en YouTube y me dijo que no podía, que ese dominio estaba vetado en su herramienta ¿mande?

Pues resulta que quien opera estas herramientas mantiene una lista de webs que no rastrea, casi siempre por motivos legales, para respetar a editores que han restringido el acceso de las IA o que están directamente en pleitos con ellas.

Y casualmente ZDNet es de Ziff Davis, que demandó a OpenAI en abril de 2025 justo por usar su contenido para entrenar y para alimentar respuestas, así que encaja como un guante.

No tengo acceso a la lista ni al motivo exacto de cada web, pero la idea es esa, y conviene saberla, que a veces la IA no te lee porque legalmente no puede.

El bot más activo de ChatGPT (ChatGPT-User) también se porta razonablemente bien, lee tu robots.txt y para si le dices que no.

El problema son todos los demás.

En agosto de 2025 Cloudflare pilló a Perplexity saltándose las señales a base de cambiar de identidad, rotar direcciones IP y disfrazarse de un navegador normal para colarse en webs que le habían dicho que no. Y yo que tenía en un altar a Perplexity, ¡qué decepción!

Y el Bytespider de ByteDance ignora el robots.txt cuando le da la gana, vamos, siempre. Resumiendo, que fiarte solo de las señales es fiarte de la buena voluntad de cada bot, uno por uno, y ya ves que no todos la tienen.

¿Y cómo sabes tú en cuál de los dos grupos está cada bicho que te visita? Aquí es donde VigIA tiene algo que decir, porque trae una herramienta hecha justo para esto: comprueba si los bots respetan de verdad el Disallow que les has puesto.

Si pillas a una IA pasando de ti, con el mismo VigIA le aplicas el bloqueo por PHP. Declarar, comprobar y, solo si hace falta, bloquear, todo en el mismo sitio y sin adivinar, con datos reales, que de esto falta mucho en todo este tema de las IAs, hay mucho iluminado pero los negocios viven/vivimos de realidades ¿o no?.

¿Y a ti te conviene bloquear? el SEO y AEO

Vale, ya sabes qué puedes hacer y a qué hacen caso. Ahora lo que de verdad nos quita el sueño, que es de donde viene la duda de si conviene bloquear a las IA para el SEO, o nos estamos cerrando una puerta que no deberíamos cerrar.

La pregunta buena no es ¿bloqueo las IA, sí o no?, es más fina, sería algo más como ¿quieres seguir saliendo en los buscadores y en las respuestas de las IA, pero a la vez impedir que usen tu contenido para entrenar sus modelos?

Parece rebuscado, algunos pensarán que imposible, pero no, porque eso, hoy, se puede separar, y ahí está casi toda la chicha, donde podemos poner un poco de orden y control en todo este mejunje.

La clave para entenderlo es que el AEO y el GEO, eso de posicionarte en las respuestas de la IA, siguen siendo SEO. No lo digo yo, lo dice la propia guía de optimización para IA de Google, pues las AI Overviews y el AI Mode se apoyan en su mismo sistema de posicionamiento y calidad de siempre.

O sea, que las mismas señales que te hacen posicionar son las que hacen que te citen en las respuestas con IA. Y ahora ata cabos, que si le impides el paso a los bots que recuperan tu contenido para buscar y citar, dejas de salir en esas respuestas, y el hueco lo ocupa tu competencia.

Y esto no es una teoría mía, ya hay datos. Alrededor del 80 % de los grandes medios de noticias ya bloquean al menos un bot de entrenamiento, y un 70 % bloquea también los bots que recuperan contenido para citar en las IA.

¿El resultado? Pues varios estudios apuntan a que esos mismos medios se están quedando fuera de las respuestas de la IA y perdiendo visibilidad justo por bloquear a la brava. Se protegen de una cosa y se disparan en el pie con la otra, así que la cosa está en saber qué y cuándo bloquear.

Cuándo bloquear SÍ tiene sentido

Que quede claro que no todo es dejar pasar. Bloquear compensa, y mucho, cuando proteger tu contenido pesa más que la visibilidad. Ejemplos de esto:

• Contenido propietario o sensible, eso que te diferencia de verdad de la competencia.
• Contenido de pago, para miembros, cursos o zonas privadas.
• Datos únicos que son tu negocio, como los precios o las fichas de una tienda que no quieres que acaben en el buscador de otro.
• Sitios con obligaciones de cumplimiento estrictas.
• Y el caso de los editores que, sencillamente, no quieren regalar su trabajo para entrenar modelos y prefieren pelear por que les paguen, ahí es donde entra lo del 402 y el x402 de antes.

Cuándo bloquear sería un grave error

Y al revés, si tu web vive de que te encuentren y te citen, impedir el paso a los bots de búsqueda de IA es de las peores ideas que puedes tener.

Hablo de blogs, webs de empresa, guías, contenido informativo, marca personal, todo eso que se alimenta de visibilidad y autoridad.

Ahí cada cita en una IA es un ladrillo más de tu reputación, y cerrarles el paso es quedarte fuera del escaparate donde ahora busca la gente. Y para que te citen bien, el contenido tiene que merecer la cita, que es el E-E-A-T de toda la vida.

Hay un motivo aparte, eso sí, que vale para cualquiera, y me refiero al coste de rastreo.

Estos bots rastrean a lo bestia, y según datos de Cloudflare hay rastreadores de IA que piden decenas de miles de páginas de tu web por cada mísera visita que te devuelven.

Eso es factura de servidor, así que si uno te está reventando el hosting tienes todo el derecho a pararlo aunque el SEO te diga otra cosa.

¿Y surte efecto bloquear? Pues depende de a quién.

Los bots decentes que respetan las señales pararán en cuanto se lo pidas, los que ignoran el robots.txt necesitan el 403. Y a los que se disfrazan, como vimos con Perplexity, ni el bloqueo por user-agent los para del todo, ahí solo un firewall en condiciones les corta el acceso de verdad.

El método tiene que estar adaptado al bot, no hay una bala de plata.

La decisión, con todo en la mano

Con todo esto ya puedes decidir sin agobios, y el orden sensato es este, justo al revés de lo que hace casi todo el mundo:

1. Primero mide: Con VigIA (o con los logs de tu servidor), mira quién te rastrea, si respeta tus señales y cuánto te cuesta. Sin este paso vas a ciegas.
2. Clasifica según el bot y según tu contenido: A los de búsqueda y cita, déjalos pasar si vives de la visibilidad. A los de entrenamiento, ponles la señal. A los que te sangran el servidor o pasan de ti, bloqueo.
3. Aplica el nivel justo: Declaración para el que la respeta, bloqueo para el que no. Y valora si, en vez de bloquear, te compensa cobrar o adelantarte con la atribución.
4. Revisa tu estrategia a menudo: Que esto cambia a toda velocidad, y el bot que hoy no te aporta nada, mañana puede ser tu principal fuente de visitas.

«Bueno, vale, ¿pero qué hago?»

Te veo venir, porque es justo donde te quedas después de tragarte todo esto: «vale, Fernando, ya sé cómo decirle a la IA que no me lea, de varias maneras, y sé qué funciona y qué no, pero yo, con mi web, ¿qué hago?».

Pues para ayudarte a poner orden en la decisión, te lo dejo en una tabla, y luego mi consejo.

Si miras la tabla entera, la lógica salta sola, pues casi todo lo que de verdad quieres (que no te entrenen) lo consigues con señales que no tocan tu SEO, y el bloqueo efectivo lo guardas para los que ignoran tus normas o solo consumen recursos del servidor.

Lo único que te cuesta visibilidad de verdad es impedir el paso a los bots de búsqueda, así que ese error no lo cometas sin querer.

Mi consejo, por si te sirve

Para la web típica, la de contenido, servicios o marca, mi posición es deja pasar a los bots de búsqueda (search) y de cita (assistant), que te interesa muchísimo que las IA te lean y te nombren.

Además, declarar con las Content Signals y el noai que no te entrenen, medir con VigIA quién te respeta, y bloquear de verdad solo a los que ignoran tus normas o te ponen a prueba el hosting.

Además, estoy muy a favor de limitarte solo en defenderte, a ir a por la atribución, que las IA te van a leer igual y más vale que te lleven de fuente.

Si en cambio tu negocio es contenido propietario, de pago o datos únicos, ahí sí, bloquea lo que haga falta y con menos remordimientos, o plantéate cobrar por el acceso.

Porque al final esto va de lo de siempre, de que hemos pasado de ser dueños de nuestro contenido a andar negociando quién lo lee, para qué y a cambio de qué.

Tu web es tuya y la decisión también, faltaría más, pero tómala con los datos delante y sabiendo qué es una declaración y qué es un bloqueo efectivo, que es justo lo que casi nadie te cuenta.

Si quieres seguir tirando del hilo, tengo más escrito sobre visibilidad en las IA, sobre el llms.txt y sobre cómo posicionar en las AI Overviews de Google, donde seguro que atas algún cabo más.

Y si lo ves de otra manera, o me quieres contar cómo lo llevas en tu web, me tienes ahí abajo, en la sección de comentarios, que para eso están.

¿Te gustó este artículo? ¡Ni te imaginas lo que te estás perdiendo en YouTube!