Cómo detectar y filtrar el tráfico de bots en GA4

El tráfico sube. El tiempo de interacción es de 2 segundos. Los usuarios nuevos de una ciudad mediana a la que no te diriges están al 100%, y ni una sola de esas sesiones convirtió. Si ese patrón te resulta familiar, no estás ante un éxito de marketing; estás ante el aspecto que tiene el tráfico de bots después de que el filtro automático de Google haya eliminado la parte fácil.

Esta guía cubre las tres capas que la mayoría de las guías sobre bots en GA4 mezclan en una: qué filtra GA4 por su cuenta (y qué se le escapa a ese filtro por diseño), una receta de exploración repetible para destapar el resto y (la parte que de verdad protege el presupuesto) cómo convertir cada síntoma de GA4 en una acción de bloqueo en Google Ads y Meta. Porque la verdad incómoda es que GA4 puede describir el tráfico de bots con detalle, pero no puede frenar ni un solo clic.

Qué filtra ya GA4 y qué no puede filtrar por diseño

GA4 excluye automáticamente el tráfico de bots conocidos. El filtro combina la investigación propia de Google con la IAB/ABC International Spiders & Bots List, se ejecuta en todas las propiedades y no lo gestionas tú: no hay interruptor para desactivarlo, ni ajustes que afinar, ni informe que muestre cuánto tráfico eliminó. Simplemente ocurre antes de que los datos lleguen a tus informes.

Ese filtro es real, y también es estrecho. Detecta los rastreadores declarados y los bots conocidos: el tráfico automatizado lo bastante educado como para identificarse o lo bastante conocido como para figurar en una lista del sector. Lo que no detecta es el tráfico que cuesta dinero a los anunciantes: bots diseñados para parecer humanos. El fraude de clics moderno ejecuta entornos de navegador completos que ejecutan JavaScript, disparan tu etiqueta de GA4, hacen scroll y recorren páginas; pasa por proxies residenciales para que la IP pertenezca a un hogar real y no a un centro de datos. Nada de eso coincide con una entrada de la lista de la IAB. La investigación sobre bots maliciosos de Imperva sitúa ya el tráfico automatizado en el 53% de todo el tráfico web, y la parte sofisticada es precisamente la que una lista de bots conocidos no puede ver.

Y hay una tercera categoría que la mayoría de las guías nunca menciona: el tráfico de bots que GA4 nunca llega a registrar. Muchos bots de clics llegan a tu anuncio y nunca ejecutan la etiqueta de analítica en la landing: sin JavaScript, sin sesión, sin rastro. En GA4 son invisibles; en tu factura de Google Ads están completamente presentes. Por eso una diferencia creciente entre los clics de pago en Google Ads y las sesiones de pago en GA4 es en sí misma una de las señales de bots más sólidas que tienes, y por eso la detección desde la analítica solo puede ser la mitad de la imagen.

Así que ajusta tus expectativas. En GA4 estás cazando el nivel intermedio: tráfico automatizado que ejecutó tu etiqueta, superó el filtro de bots conocidos y dejó huellas de comportamiento en tus datos.

Siete señales que delatan el tráfico de bots en GA4

Ninguna métrica aislada demuestra que hay tráfico de bots. Los grupos sí. Busca varias de estas señales concentradas a la vez en la misma fuente, campaña o ciudad:

1. Tiempo medio de interacción casi nulo. Los visitantes reales de campañas de pago pasan un tiempo medible en la página. Las sesiones con una media de 0–2 segundos de interacción, en volumen, desde una sola fuente, son automatización. Es la señal individual más clara de GA4.
2. Desplome del porcentaje de interacciones en un segmento. Si el tráfico de pago de tu propiedad tiene un porcentaje de interacciones del 55–65% y de repente una campaña, ubicación o ciudad baja al 5%, ese segmento tiene un problema de calidad del tráfico, no de creatividades.
3. ~100% de usuarios nuevos desde una sola fuente. Los bots rotan identidades; los humanos vuelven. Una fuente que nunca produce un visitante recurrente, sobre todo junto a la señal n.º 1, es un fuerte indicio de automatización.
4. Geografía que no coincide con tu segmentación. Los grupos de sesiones desde ciudades o países en los que no te anuncias, o un volumen improbable desde una ciudad pequeña, apuntan a salidas de proxies y granjas de clics. (Parte del tráfico con geografía equivocada también es un problema de configuración; lo vemos más abajo).
5. Huellas tecnológicas improbables. Versiones de navegador obsoletas, resoluciones de pantalla como 800×600 o (not set) donde deberían estar los datos del dispositivo: los entornos headless y falsificados dejan escapar incoherencias que los dispositivos de consumo reales no tienen.
6. Picos de sesiones con conversiones planas, o conversiones basura. Las oleadas de tráfico que no producen nada son una variante; las que producen leads falsos con correos desechables y teléfonos que no existen son la variante más cara, porque esos leads falsos alimentan tu puja automatizada.
7. Oleadas de tráfico directo y referencias extrañas. Un tráfico directo repentino e inexplicable con una interacción propia de bots, o fuentes de referencia que no reconoces, completan el cuadro. El spam de referencia clásico es más raro en GA4 que en Universal Analytics, pero las referencias no deseadas siguen apareciendo y conviene excluirlas.

Una receta de exploración para copiar y pegar

Puedes detectar casi todo lo anterior en una sola exploración de formato libre. En GA4: Explorar → Formato libre, y luego configura:

• Dimensiones: Fuente/medio de la sesión, Campaña de la sesión, Ciudad, Categoría de dispositivo, Navegador
• Métricas: Sesiones, Sesiones con interacción, Tiempo medio de interacción por sesión, Usuarios nuevos, Eventos clave
• Filtro: Grupo de canales predeterminado de la sesión = Búsqueda de pago (repite para Social de pago / Display / Multired)
• Filas: empieza con Fuente/medio de la sesión + Ciudad; en la segunda pasada cambia Ciudad por Navegador

Después lee cada fila con estos umbrales:

Las filas que fallan tres o más columnas con un volumen relevante merecen una investigación. Las filas que fallan las cinco son tu lista de acciones para la siguiente sección. Repite la misma exploración cada semana; las campañas de bots se mueven, y la comparación con la referencia de la semana anterior es lo que hace evidente un pico.

Filtrar lo que encuentres, y los límites estrictos de GA4

GA4 te da exactamente tres herramientas de limpieza nativas, y conviene ser sincero sobre el techo de cada una:

• Filtros de tráfico interno y de IP. Puedes definir el tráfico interno por IP y filtrarlo. El problema para el fraude: el filtro exige conocer las IP de antemano, y GA4 nunca te muestra las direcciones IP de los visitantes. Está pensado para excluir tu propia oficina, no salidas de bots que rotan.
• Exclusiones de referencias no deseadas. Útiles para limpiar de la atribución el spam de referencia y el ruido de las pasarelas de pago. No hacen nada contra las sesiones de bots que llegan a través de clics de pago.
• Comparaciones y segmentos. Tu herramienta de higiene diaria: crea una comparación que excluya la ciudad, la fuente o el grupo de navegadores problemático para tomar decisiones con datos limpios. Ten claro que esto oculta la basura en los informes; los datos de fondo se quedan.

Dos límites importan más que cualquier función. Primero, los filtros de datos solo actúan hacia delante: nada elimina las sesiones de bots ya procesadas en tu propiedad. Segundo, GA4 eliminó la dimensión de ISP/proveedor de servicios que los usuarios de Universal Analytics usaban para detectar tráfico de centros de datos, así que incluso el truco de “buscar ISP de proveedores de hosting” ha desaparecido. GA4 simplemente no lleva la evidencia a nivel de red (IP, ISP, ASN) que, en última instancia, hace falta para separar bots de humanos.

No es un fallo; es un límite de alcance. GA4 es un producto de medición. Lo que nos lleva a la parte que de verdad ahorra dinero.

Del síntoma a la acción: qué hacer en el lado de los anuncios

Cada señal que haya sacado a la luz tu exploración corresponde a un control que vive fuera de GA4. Esta correspondencia es el paso que la mayoría de las guías sobre tráfico de bots se saltan:

Las salvedades de las exclusiones de IP merecen un párrafo, porque aquí es donde el flujo de GA4 llega a un callejón sin salida. Google Ads limita las exclusiones de IP a 500 por campaña, las exclusiones a nivel de campaña no se aplican en absoluto a Performance Max y (el problema estructural) GA4 no puede decirte qué IP excluir, porque no las muestra. Los bots que usan proxies residenciales rotan por más direcciones en un día de las que el límite permite en total. Cerrar esa brecha exige detección de bots a nivel de clic: una capa independiente que ve cada clic de pago con su huella completa de red y de dispositivo, identifica al visitante por su comportamiento y escribe las exclusiones automáticamente. Ese es el trabajo de un software especializado de protección contra el fraude de clics, no de una propiedad de analítica: GA4 te dice que el ataque ocurrió; una capa de protección es lo que hace que pare.

El propio sistema de clics inválidos de Google sí filtra y abona el tráfico que detecta, y esa base es real. Pero optimiza para la subasta a escala de plataforma y, como vimos antes, el nivel intermedio de automatización con apariencia humana es exactamente lo que se cuela, a tu costa.

Los bots más caros nunca pisan tu web dos veces: protege la señal de conversión

Este es el modo de fallo que se multiplica. El tráfico de bots que llega a tus formularios no solo contamina la analítica; envía leads falsos, y si esos leads falsos se notifican a Google y Meta como conversiones, tus campañas de Smart Bidding y Advantage+ aprenden de ellos. El algoritmo va obedientemente a comprar más de lo que produjo la basura. En ese punto no solo pierdes el coste de los clics malos; estás pagando a la plataforma para escalarlos.

GA4 no tiene ningún papel aquí. La solución es filtrar en la capa de conversión:

• En Google, eso significa validar los leads antes de subirlos mediante las conversiones avanzadas para leads, para que la puja solo se entrene con clientes potenciales reales.
• En Meta, significa señales filtradas contra el fraude a través de la Conversions API: puntuar cada evento en el servidor y enviar solo conversiones verificadas, para que Advantage+ optimice hacia humanos. Meta no ofrece a los anunciantes exclusiones de IP y apenas palancas manuales, lo que convierte la calidad de las señales de conversión en el único control que sigues teniendo en esa plataforma.

Si tu exploración de GA4 mostró envíos de formulario basura desde el tráfico de pago, trata el filtrado de conversiones como algo más urgente que limpiar los informes. Unos informes limpios están bien; una señal de entrenamiento limpia es dinero.

Conclusión

El filtro automático de bots de GA4 se ocupa del tráfico que se anuncia a sí mismo. Para todo lo demás, GA4 es un detector de humo: ejecuta la receta de exploración cada semana, lee en conjunto el tiempo de interacción, la proporción de usuarios nuevos, la geografía y las diferencias entre clics y sesiones, y usa comparaciones para que tus decisiones se basen en datos limpios. Después haz la parte que de verdad cambia la factura: actúa en las plataformas de anuncios y pon detección de bots a nivel de clic y filtrado de conversiones por delante del tráfico, para que la basura deje de llegar a tu propiedad, a tus formularios y a tus algoritmos de puja desde el principio. La medición te muestra la fuga. La protección la tapa.