WordPress se cae por bots cómo bloquear sin perder SEO

Sí, bloquear bots WordPress sin perder SEO es posible, siempre que distingas entre rastreadores legítimos y tráfico automatizado abusivo. La clave no está en cortar todo el acceso, sino en mitigar las peticiones que consumen CPU, PHP, base de datos o ancho de banda, mientras permites el rastreo necesario para que la web siga indexando con normalidad.

Cuando WordPress se cae por bots, el problema real no suele ser “tener bots”, sino recibir un volumen de solicitudes excesivo o malicioso sobre rutas sensibles, búsquedas, login, XML-RPC, feeds o URLs no cacheadas. Ahí es donde conviene actuar en servidor, WAF o CDN antes que confiar solo en soluciones dentro del propio WordPress.

Qué significa que WordPress se caiga por bots y cuándo afecta al SEO

Una saturación por bots ocurre cuando el tráfico automatizado dispara el consumo de recursos hasta ralentizar la web, provocar errores 5xx o dejar el hosting sin capacidad de respuesta. Esto puede venir de scrapers, comprobadores de vulnerabilidades, ataques de fuerza bruta, crawlers agresivos o incluso herramientas legítimas mal configuradas.

A nivel SEO, el impacto aparece cuando los rastreadores legítimos encuentran tiempos de respuesta muy altos, errores recurrentes o páginas inaccesibles. Si Googlebot no puede rastrear con estabilidad, el presupuesto de rastreo se desaprovecha y la indexación puede resentirse. En cambio, un bloqueo selectivo del abuso, bien planteado, no tiene por qué perjudicar el posicionamiento.

También conviene separar rastreo, indexación y bloqueo. robots.txt sirve para dar instrucciones de rastreo a bots cooperativos; no es una barrera de seguridad ni frena bots maliciosos por sí solo.

Cómo distinguir bots buenos, bots molestos y bots maliciosos

No todos los bots merecen el mismo tratamiento. Antes de bloquear tráfico malicioso WordPress, conviene revisar los logs del servidor o del CDN para identificar patrones reales.

Criterios prácticos de clasificación

• Bots legítimos: Googlebot, Bingbot u otros rastreadores conocidos que acceden con patrones razonables y compatibles con la indexación.
• Bots molestos: herramientas automáticas que no buscan dañar, pero rastrean demasiado, repiten consultas o fuerzan rutas pesadas.
• Bots maliciosos: fuerza bruta, scraping agresivo, escaneo de plugins, explotación de XML-RPC o ataques distribuidos.

Importante: no bloquees solo por user-agent. Es fácil falsificarlo. Si necesitas verificar bots legítimos, conviene validar también DNS inverso y la documentación oficial del proveedor cuando proceda. Google, por ejemplo, documenta cómo verificar rastreadores legítimos en su documentación para Search Central.

Si ves un supuesto Googlebot golpeando login, wp-admin o endpoints extraños con alta frecuencia, desconfía y valida el origen antes de permitirlo.

Qué medidas pueden bloquear bots en WordPress sin perjudicar la indexación

Para proteger WordPress de bots sin romper el SEO, suele funcionar mejor una combinación de medidas perimetrales y de servidor que un único plugin.

• Rate limiting: limitar la frecuencia por IP, ruta o comportamiento reduce peticiones abusivas sin cerrar la web a rastreadores normales. Su aplicación depende del servidor, proxy inverso o CDN.
• WAF o CDN con reglas de comportamiento: challenges, reputación de IP, detección de anomalías y caché perimetral ayudan a filtrar tráfico antes de llegar a PHP.
• Protección de login y XML-RPC: si no se usan o reciben abuso, puede ser razonable limitar acceso, exigir challenge o restringir por contexto técnico.
• Bloqueos por IP o ASN con evidencia: útiles cuando los logs muestran origen recurrente y patrones claros, pero deben revisarse para evitar falsos positivos.
• Control de rutas costosas: búsquedas internas, parámetros, feeds o endpoints sin caché pueden necesitar reglas específicas.

Los plugins pueden ayudar a registrar eventos o endurecer ciertas áreas, pero si la carga ya es seria, la prioridad suele estar fuera de WordPress: servidor web, firewall para WordPress, CDN o soporte del hosting.

Respecto a robots.txt y SEO, úsalo para orientar el rastreo de recursos o rutas no prioritarias en bots cooperativos, no como sistema de defensa. Si la web necesita indexación, Googlebot no debería bloquearse sin un diagnóstico basado en logs.

Errores frecuentes al frenar bots que sí dañan el SEO

• Bloquear por user-agent sin verificar origen real.
• Aplicar reglas globales demasiado agresivas y cortar también a bots legítimos.
• Pensar que robots.txt impide el acceso de bots maliciosos.
• Mitigar solo dentro de WordPress cuando la saturación ya ocurre antes o durante la ejecución de PHP.
• No revisar caché, cabeceras, rutas dinámicas y recursos que disparan consumo de recursos.
• Bloquear XML-RPC o wp-login.php sin valorar si alguna funcionalidad, integración o app lo necesita.

Cómo actuar si la web ya está saturada o se cae de forma recurrente

Orden de actuación recomendado

1. Revisa logs de acceso y errores para localizar IPs, ASN, rutas y picos horarios.
2. Valida si los bots aparentemente legítimos lo son de verdad.
3. Activa mitigación perimetral: rate limiting, WAF, challenge o caché, según tu stack.
4. Reduce exposición de rutas sensibles como login, XML-RPC o búsquedas internas si están bajo abuso.
5. Comprueba impacto SEO: tiempos de respuesta, errores 5xx y acceso de rastreadores reales.

Si estás en un hosting compartido o gestionado, algunas medidas dependerán del panel, del proveedor o de si existe proxy inverso delante del servidor. Por eso no conviene copiar reglas genéricas de nginx, Apache, fail2ban o Cloudflare sin adaptarlas al entorno real.

Como idea práctica, limitar bots en WordPress funciona mejor cuando se basa en evidencia: logs, patrones, validación de rastreadores y prioridad por capas. Así puedes evitar caídas de WordPress sin comprometer el rastreo e indexación que sí te interesa mantener.

Si el problema persiste, el siguiente paso razonable es auditar logs, verificar bots legítimos y valorar soporte técnico especializado para definir reglas seguras de mitigación sin arriesgar el SEO.