Bot Control y prevención de fraude en AWS WAF - Implementación de protección contra bots y prevención de apropiación de cuentas
Detecta scrapers y herramientas de automatización con Bot Control, y previene credential stuffing con ATP. También presentamos el diseño de experiencia de usuario con challenges y CAPTCHA.
¿Qué es Bot Control de AWS WAF?
Bot Control de AWS WAF es un grupo de reglas gestionadas que detecta y gestiona el tráfico de bots hacia aplicaciones web. El nivel Common detecta bots comunes (bibliotecas HTTP, scrapers, escáneres de seguridad), y el nivel Targeted detecta bots avanzados (bots que imitan navegadores, bots distribuidos). A las solicitudes detectadas se les asignan etiquetas (como awswaf:managed:aws:bot-control:bot:category:scraping_framework), y se pueden configurar acciones personalizadas basadas en las etiquetas. Los bots que se identifican a sí mismos y que Bot Control puede verificar, como Googlebot, reciben la etiqueta de bot verificado (bot:verified); las reglas predeterminadas del grupo bloquean solo los bots que no pueden verificar, por lo que el rastreo normal de los motores de búsqueda no se ve afectado.
Account Takeover Prevention y Fraud Control
Account Takeover Prevention (ATP) monitorea la página de inicio de sesión y detecta credential stuffing (ataques de fuerza bruta usando listas de credenciales filtradas). ATP compara las solicitudes con una base de datos de credenciales robadas y bloquea o muestra CAPTCHA cuando hay coincidencia. Con la inspección de respuestas habilitada (disponible para distribuciones de CloudFront), también rastrea las respuestas de éxito y fallo de inicio de sesión, y bloquea las solicitudes posteriores de direcciones IP o sesiones de cliente con una tasa alta de intentos fallidos. Account Creation Fraud Prevention (ACFP) monitorea la página de creación de cuentas y detecta la creación masiva de cuentas falsas. Combina la detección de direcciones de correo desechables, la detección de anomalías en patrones de creación y la verificación de navegador mediante JavaScript challenge para prevenir la creación fraudulenta de cuentas.
Diseño de challenges y CAPTCHA
El JavaScript challenge hace que el navegador del cliente ejecute JavaScript para verificar la legitimidad del navegador. Las herramientas de automatización (algunas versiones de Selenium, Puppeteer) fallan en el challenge y sus solicitudes son bloqueadas. CAPTCHA presenta un puzzle visual al usuario para confirmar que es humano. Dado que los challenges y CAPTCHA afectan la experiencia del usuario, se deben seleccionar cuidadosamente las páginas donde se aplican. Se recomienda un diseño que los limite a páginas con alto riesgo de fraude como páginas de inicio de sesión, creación de cuentas y pagos, sin aplicarlos a páginas de contenido general. Se configura el tiempo de inmunidad del challenge (período de exención después de pasar la verificación una vez) para reducir la carga sobre usuarios legítimos.
Precios de WAF Bot Control
A fecha de agosto de 2026, la tarifa base de WAF es de 5.00 USD al mes por web ACL, 1.00 USD al mes por regla y 0.60 USD por 1 millón de solicitudes. Bot Control cobra una suscripción mensual de 10.00 USD por web ACL y, además, una tarifa por uso por el análisis de solicitudes. El nivel Common cuesta 1.00 USD por 1 millón de solicitudes (cada mes son gratuitas las solicitudes hasta 10 millones) y el nivel Targeted, 10.00 USD por 1 millón de solicitudes (cada mes son gratuitas las solicitudes hasta 1 millón). ATP (Account Takeover Prevention) y ACFP (Account Creation Fraud Prevention) cobran cada uno una suscripción mensual de 10.00 USD por web ACL y, además, una tarifa de análisis por niveles según el número de intentos. Consulte el desglose de los niveles en la página oficial de precios de AWS WAF. Como el nivel Targeted de Bot Control es caro, gestione los costos con un diseño que lo aplique solo a páginas con alto riesgo de fraude, como las de inicio de sesión y de pago, y aplique el nivel Common a las de contenido general.
Diseño de reglas basado en etiquetas
Bot Control asigna etiquetas a las solicitudes que detecta. Su característica es que, a partir de estas etiquetas, se pueden diseñar respuestas flexibles en las reglas posteriores. Por ejemplo, es posible un control escalonado, como bloquear el tráfico identificado como scraper y mostrar un challenge al tráfico cuya identificación es ambigua. Justo después de la implementación, es seguro no bloquear de inmediato y empezar observando en modo de recuento, que solo realiza la detección. Observe qué tipo de tráfico se clasifica y cómo, y confirme que no está bloqueando por error a usuarios legítimos antes de pasar al bloqueo completo.
Limitación de velocidad y reputación de IP
Las medidas contra bots son eficaces cuando se combinan varios métodos, no solo Bot Control. Las reglas de limitación de velocidad, que restringen los orígenes cuyo número de solicitudes en un período determinado supera el umbral, contienen los ataques de fuerza bruta y el acceso excesivo. Con una lista de reputación que reúne direcciones IP de mala reputación, puede bloquear en la entrada los orígenes maliciosos conocidos. También puede combinar controles por país o región para limitar el tráfico procedente de regiones desde las que no se espera acceso. Al usarlos junto con las reglas basadas en etiquetas, puede construir una red de defensa que disuada a los bots y el acceso no autorizado desde múltiples ángulos.
Pasos de implementación y ajuste
Si las reglas de WAF se ponen en modo de bloqueo desde el principio, pueden afectar incluso a usuarios legítimos. Para empezar, opérelas en modo de recuento durante un período determinado y observe qué reglas reaccionan y cuánto. Analice los registros, confirme que no contienen falsos positivos y pase al bloqueo empezando por las reglas sin problemas. Si encuentra tráfico legítimo rechazado por error, permítalo con reglas de excepción. Los challenges y CAPTCHA suponen una carga para los usuarios, así que limítelos a páginas con alto riesgo de fraude, como el inicio de sesión y los pagos. El ajuste gradual permite compaginar la seguridad y la facilidad de uso.
Combinación con otras capas de defensa
WAF es una capa de defensa, y su eficacia aumenta al combinarlo con otros servicios. Si se coloca detrás de CloudFront, bloquea las amenazas en el borde e impide que lleguen al origen. Para prepararse ante ataques DDoS a gran escala, use además un servicio de protección dedicado. En la aplicación también, refuerce la autenticación y detecte anomalías para prepararse ante las amenazas que atraviesen WAF. Al combinar en varias capas el bloqueo en la entrada, la verificación en la aplicación y la detección mediante supervisión, se obtiene una protección sólida que no depende de una sola medida. Sitúe WAF como una de esas piezas y diséñelo dentro del conjunto.
Resumen
Bot Control, ATP y ACFP de AWS WAF son reglas gestionadas que protegen las aplicaciones web contra bots y fraude. La evaluación flexible de reglas basada en etiquetas permite ajustar la precisión de detección, y los challenges y CAPTCHA equilibran la experiencia del usuario con la seguridad. Se integran con CloudFront y API Gateway para interceptar amenazas en la capa frontal de la aplicación.
Referencias (documentación oficial de AWS)
Las fuentes primarias de las especificaciones tratadas en este artículo son las siguientes: AWS WAF Bot Control rule group, que lista las reglas y etiquetas del grupo de reglas gestionadas; AWS WAF Bot Control components, que explica los niveles de protección, los paneles y las declaraciones de scope-down; y la página de precios de AWS WAF, donde se publican las suscripciones, las tarifas por solicitud y los niveles gratuitos. Si este artículo y la documentación oficial difieren en algún punto, la documentación oficial es la fuente autoritativa.