¿Por qué tu web recibe visitas desde Singapur? Bots, tráfico inesperado y el misterio detrás de tus estadísticas

Abrís el panel de estadísticas de tu página web y descubrís algo inesperado: varias visitas desde Singapur. Tu empresa trabaja en Argentina, no realizaste campañas internacionales y nadie te contactó desde Asia. Las visitas continúan apareciendo, algunas duran apenas unos segundos y otras parecen recorrer páginas que un cliente difícilmente buscaría. ¿Tu negocio despertó interés internacional o hay algo más detrás de esos números?

La respuesta puede encontrarse en el funcionamiento de Internet. Parte del tráfico que llega a una página no corresponde a personas navegando desde sus hogares: puede originarse en centros de datos, rastreadores de buscadores, sistemas de inteligencia artificial, herramientas de monitoreo, servicios automatizados o programas que intentan localizar vulnerabilidades.

Sin embargo, sería un error afirmar que toda visita procedente de Singapur es un bot o que una conexión internacional representa automáticamente un ataque. La ubicación geográfica de una IP, el proveedor de red y el comportamiento de las solicitudes aportan pistas, pero ninguno de esos datos identifica por sí solo a la persona o al sistema responsable.

En esta investigación de byteStudio Argentina vamos a explicar por qué aparece este fenómeno, cómo interpretar las señales de un visitante, qué papel cumplen los centros de datos y cómo diferenciar el tráfico legítimo de una actividad que merece atención.

1. ¿Por qué Singapur puede aparecer en las estadísticas de una web argentina?

Una empresa que presta servicios exclusivamente en Argentina puede recibir conexiones desde numerosos países. Internet funciona sobre una infraestructura distribuida: servidores, proveedores de alojamiento, plataformas cloud y redes intermediarias pueden ejecutar solicitudes desde regiones que no tienen relación directa con el mercado comercial del sitio.

Singapur es una ubicación relevante para la infraestructura tecnológica de Asia. Amazon Web Services, por ejemplo, dispone allí de la región Asia Pacific (Singapore), identificada como ap-southeast-1. Eso permite que aplicaciones y procesos alojados en esa infraestructura originen conexiones identificadas geográficamente con Singapur.

Pero la existencia de centros de datos no demuestra que las conexiones de nuestro sitio provengan de AWS ni de un proveedor concreto. Para acercarnos a una identificación necesitamos analizar el origen de las solicitudes, su red y su comportamiento.

2. Geolocalización IP: el mapa muestra una pista, no la identidad del visitante

Los sistemas de estadísticas pueden utilizar bases de datos GeoIP para asociar una dirección IP con un país, región o ciudad aproximada. Esta información es útil para comprender la distribución del tráfico, pero tiene limitaciones importantes.

Cuando alguien navega mediante una VPN o un proxy, la ubicación registrada puede corresponder al servidor intermediario en lugar de reflejar la ubicación física del usuario. Las bases de geolocalización tampoco son perfectamente precisas y diferentes proveedores pueden ofrecer resultados distintos.

Por eso, un punto sobre el mapa no debería presentarse como una prueba de que una persona está navegando físicamente desde ese lugar.

3. ¿Qué es un bot y por qué visita una página web?

Un bot es un programa capaz de ejecutar tareas de manera automatizada. En la web, estas tareas pueden incluir solicitar documentos, recorrer enlaces, comprobar disponibilidad, recopilar información o interactuar con determinados servicios.

La automatización no es sinónimo de actividad maliciosa. Los buscadores utilizan rastreadores para descubrir contenido, los servicios de monitoreo comprueban si una página responde correctamente y distintas plataformas ejecutan tareas automáticas para prestar sus servicios.

La diferencia entre estos grupos no siempre puede identificarse con una sola señal. Algunos sistemas automatizados se presentan claramente; otros utilizan agentes de usuario genéricos o incluso pueden suplantar nombres de rastreadores legítimos.

4. El error estadístico fundamental: una solicitud HTTP no es necesariamente una visita humana

Cuando un navegador abre una página, puede generar varias solicitudes: una para el HTML, otras para imágenes, archivos CSS, JavaScript y demás recursos. Un rastreador también puede solicitar esos documentos, aunque ninguna persona esté leyendo el contenido.

Por eso, es imprescindible comprender qué contabiliza cada sistema de medición. Algunos paneles muestran solicitudes HTTP, otros visitas estimadas, sesiones o eventos ejecutados en el navegador. Estas métricas no son intercambiables.

Google Analytics excluye automáticamente el tráfico de bots y rastreadores conocidos, aunque reconoce que esa identificación tiene un alcance limitado. Una herramienta propia basada en registros de servidor puede contabilizar solicitudes diferentes y necesita definir su propia metodología de clasificación.

5. ISP y ASN: cómo investigar la infraestructura detrás de una conexión

Los datos del proveedor de Internet y del sistema autónomo pueden ayudar a interpretar el origen de una solicitud. Un ASN, o Autonomous System Number, identifica un sistema autónomo de enrutamiento, normalmente asociado a un operador o red determinada.

Si varias solicitudes aparecen desde Singapur y están asociadas a una red de alojamiento, tenemos un indicio de que podrían proceder de infraestructura automatizada. Si corresponden a un proveedor de conectividad residencial, el escenario puede ser diferente. Ninguna de estas observaciones alcanza, por sí sola, para establecer una identidad o intención.

Incluso cuando conocemos el ASN, todavía necesitamos analizar las URLs solicitadas, su frecuencia y otras evidencias. Una empresa de infraestructura puede alojar servicios legítimos y abusivos simultáneamente.

6. Cómo reconocer un comportamiento automatizado sin generar falsos positivos

Una investigación comienza observando patrones. Determinados comportamientos pueden justificar una revisión, aunque no constituyen una prueba definitiva de automatización cuando aparecen de manera aislada.

También existen explicaciones legítimas: un monitoreo de disponibilidad puede consultar reiteradamente la misma URL y un buscador puede recorrer muchas páginas en poco tiempo. Por eso necesitamos combinar señales y comprobar si las solicitudes fueron verificadas como pertenecientes a un bot conocido.

7. Cómo investigar las visitas inesperadas: una auditoría de tráfico en cinco etapas

Cuando detectamos tráfico extraño, la primera respuesta no debería ser bloquearlo. Conviene construir un diagnóstico que permita identificar qué ocurre y conservar suficiente evidencia para justificar una medida.

Por qué conviene revisar Cloudflare

Si el sitio utiliza Cloudflare, sus herramientas de seguridad permiten investigar solicitudes y conocer cuáles fueron bloqueadas, desafiadas, respondidas desde su red o enviadas al servidor de origen, según los informes y las funciones disponibles en el plan contratado.

Esto es relevante porque no todas las solicitudes que llegan a Cloudflare alcanzan necesariamente a WordPress. Una petición bloqueada por el firewall o respondida directamente desde caché puede no aparecer en los registros del servidor de origen.

Las funciones avanzadas también pueden asignar puntuaciones de probabilidad de automatización. Sin embargo, no todos los planes ofrecen las mismas herramientas ni acceso a los mismos valores. Es importante comprobar las prestaciones disponibles antes de diseñar una regla.

8. El impacto invisible: cómo los bots pueden distorsionar las decisiones comerciales

Imaginemos que un sitio recibe habitualmente 300 visitas humanas estimadas por día y, de repente, comienza a registrar miles de solicitudes adicionales procedentes de automatizaciones. Si el sistema las interpreta como visitantes, las estadísticas pueden mostrar un crecimiento que no se corresponde con un aumento real de audiencia.

En este escenario hipotético, el panel estaría informando cinco veces las visitas humanas estimadas. Pero ese cálculo solamente sería válido si la herramienta hubiera clasificado erróneamente todos los eventos automáticos como visitas individuales; no podemos sumar solicitudes HTTP a sesiones reales sin comprobar cómo funciona el contador.

El efecto comercial puede ser importante: una empresa podría interpretar que una publicación se volvió popular, que una campaña funcionó o que comenzó a atraer clientes internacionales, cuando en realidad gran parte de la actividad procede de procesos automatizados.

9. ¿Conviene bloquear todo el tráfico procedente de Singapur?

Una restricción geográfica puede parecer una solución sencilla, especialmente cuando una empresa atiende exclusivamente al mercado argentino. Sin embargo, bloquear un país completo puede afectar a visitantes legítimos, usuarios de redes intermediarias, herramientas de monitoreo o determinados rastreadores.

La estrategia debería depender del comportamiento detectado y de las necesidades del negocio. Si el problema consiste en intentos repetidos sobre un endpoint de acceso, es preferible investigar y proteger ese recurso en lugar de asumir que todas las solicitudes del país son equivalentes.

Cloudflare recomienda analizar el tráfico y sus herramientas de detección antes de desplegar reglas restrictivas. Las excepciones para rastreadores verificados y servicios automatizados necesarios ayudan a reducir bloqueos no deseados.

¿Sirve robots.txt para detener estos bots?

robots.txt sirve para comunicar preferencias o restricciones de rastreo a programas que deciden respetarlas. No es un mecanismo de autenticación ni un firewall, y los programas abusivos pueden ignorar sus instrucciones.

Si el objetivo es proteger información privada o detener solicitudes maliciosas, necesitamos controles de acceso, reglas de seguridad y medidas del lado del servidor o la infraestructura.

10. ¿El tráfico de bots afecta al SEO o significa que una inteligencia artificial está leyendo mi web?

La presencia de bots no demuestra por sí sola un problema de posicionamiento. Tampoco significa automáticamente que un buscador haya indexado una página, que un modelo de inteligencia artificial vaya a citarla o que un motor generativo esté recomendando nuestra marca.

Un rastreador puede solicitar contenido sin producir una visita humana, una impresión en Google o una citación en una respuesta de IA. Cada resultado pertenece a una etapa diferente y requiere evidencias específicas.

Sí puede existir un efecto indirecto cuando un volumen abusivo de solicitudes sobrecarga el servidor o cuando una configuración de seguridad bloquea accidentalmente a Googlebot. Por eso conviene mantener separadas las tareas de protección, clasificación de tráfico y análisis SEO.

En nuestra guía sobre cómo entender Google Search Console explicamos cómo comprobar el rastreo, la indexación y el rendimiento de las páginas sin confundirlos con las estadísticas de visitas de WordPress.

11. Caso práctico: una web argentina descubre un pico de tráfico desde Singapur

Una empresa de servicios situada en Argentina observa un incremento inusual de actividad desde Singapur. El panel registra numerosas solicitudes, pero no existe un aumento equivalente de consultas comerciales o formularios recibidos.

Primera hipótesis: interés internacional real

Buscamos indicios de navegación coherente, interacción y acciones comerciales. No asumimos que la ausencia de conversiones demuestra automatización, pero registramos la diferencia entre el aumento de solicitudes y las acciones de valor.

Segunda hipótesis: tráfico automatizado

Revisamos la frecuencia, las rutas consultadas, los agentes de usuario y la información disponible sobre las redes. Si aparece un patrón repetitivo y coherente con automatización, elevamos la confianza de la hipótesis, pero no atribuimos su autoría sin pruebas.

Tercera hipótesis: actividad abusiva

Si el tráfico apunta reiteradamente a rutas de autenticación o endpoints inexistentes, contrastamos la información con el firewall y las respuestas HTTP. La combinación de objetivos sensibles, frecuencia y eventos de seguridad podría justificar medidas específicas.

Resultado de la metodología

La investigación no termina en identificar el país. Debe permitir documentar cuáles solicitudes parecen humanas, cuáles pertenecen a sistemas verificados, cuáles requieren seguimiento y sobre qué comportamientos sería razonable intervenir.

Preguntas frecuentes sobre visitas inesperadas y bots

Conclusión: no todas las visitas representan oportunidades y no todos los bots son enemigos

Descubrir visitas inesperadas desde Singapur puede resultar llamativo, pero el verdadero análisis comienza después de mirar el mapa. Necesitamos comprender qué cuenta nuestra herramienta, de dónde procede técnicamente la solicitud, qué recursos intenta obtener y cómo se comporta a lo largo del tiempo.

Una conexión internacional puede corresponder a un cliente real, un rastreador legítimo, un servicio automatizado o una actividad abusiva. Bloquear todo sin distinguir estas posibilidades puede perjudicar servicios que necesitamos, mientras que contabilizar cada solicitud como una visita puede distorsionar nuestras decisiones comerciales.

La solución no es desconfiar de todos los países ni celebrar cada incremento del contador. Es construir estadísticas comprensibles, reconocer el funcionamiento de la infraestructura y utilizar evidencias para separar el tráfico útil del ruido y de los riesgos reales.