Seguridad de redCómo verificar Googlebot por IP y detectar Googlebots falsos
Cómo verificar Googlebot: una comprobación de DNS inverso y directo, los rangos de IP que publica Google y una consulta real que muestra un Googlebot verificado junto a uno suplantado.
El User-Agent es la parte que controla el impostor. En una prueba de 14 días sobre un sitio nuevo publicada por Search Engine Journal, solo 107 de las 799 peticiones que decían ser Googlebot venían de una dirección verificada de Google. Es un solo sitio pequeño, así que tómalo como una advertencia, no como una tasa. A continuación tienes la comprobación manual, la automatizada y una consulta real de un Googlebot auténtico y uno falso, uno junto al otro.
Por qué un User-Agent de Googlebot no demuestra nada
Una cadena User-Agent es una afirmación que el cliente hace sobre sí mismo, y cualquier cliente puede enviar cualquier cadena. Los scrapers copian la de Googlebot porque muchos sitios lo tratan con amabilidad: sin límites de tasa, sin muros de inicio de sesión, sin desafíos para bots. Eso convierte el nombre en un disfraz que vale la pena llevar.
El coste de creérselo va en las dos direcciones. Si dejas pasar un Googlebot falso, un scraper obtiene tu contenido a velocidad de rastreador (nuestra guía para detectar bots de scraping en tus logs de acceso muestra cómo se ve eso). Si bloqueas uno real por error, tus páginas desaparecen del índice de Google. La solución es la misma en ambos casos: verificar la dirección. Nuestra guía más amplia para verificar rastreadores de IA por IP cubre GPTBot, ClaudeBot y los agentes firmados, y nuestra comparación de los principales bots de OpenAI, GPTBot, OAI-SearchBot y ChatGPT-User explica cuáles bloquear; este artículo trata solo los rastreadores de Google.
Cómo verificar Googlebot manualmente: DNS inverso y luego DNS directo
Google documenta una comprobación de DNS en dos pasos, y ambos importan. Aquí está sobre una dirección real de Googlebot, ejecutada el 5 de octubre de 2026:
# 1. Reverse lookup: which hostname does the IP claim?
dig +short -x 66.249.66.1
# crawl-66-249-66-1.googlebot.com.
# 2. Forward lookup: does that hostname point back to the same IP?
dig +short crawl-66-249-66-1.googlebot.com
# 66.249.66.1
El nombre de host termina en googlebot.com y resuelve de vuelta a la IP original, así que la petición vino de Google. Saltarse el paso 2 es el error habitual. Quien controla una IP también controla su registro de DNS inverso, así que un scraper puede llamar a su propio servidor crawl-fake.googlebot.com. Lo que no puede es hacer que el DNS de Google apunte ese nombre de vuelta a su servidor. La consulta directa es lo que hace que la comprobación sea imposible de falsificar.
Esto funciona bien para una dirección concreta que estás investigando. Es lento para un log con mucho tráfico, porque cada IP nueva necesita dos consultas DNS, y los fallos de DNS se convierten en falsos "impostores".
Rangos de IP de Googlebot: tres tipos de rastreador, tres archivos de rangos
Los rastreadores de Google se dividen en tres grupos, y cada uno tiene sus propios nombres de host y su propia lista de IP publicada. Comparar una IP con el archivo correcto es la versión automatizada de la comprobación de DNS, y es como se hace la mayor parte de la verificación a escala.
| Tipo | Ejemplos | Aspecto del DNS inverso | Archivo de rangos | Respeta robots.txt |
|---|---|---|---|---|
| Rastreadores comunes | Googlebot | crawl-*.googlebot.com o geo-crawl-*.geo.googlebot.com | common-crawlers.json | Siempre, en los rastreos automáticos |
| Rastreadores de casos especiales | AdsBot | rate-limited-proxy-*.google.com | special-crawlers.json | Puede que sí o puede que no |
| Fetchers activados por usuarios | Google Site Verifier, peticiones solicitadas por un usuario | *.gae.googleusercontent.com o google-proxy-*.google.com | user-triggered-fetchers.json, user-triggered-fetchers-google.json, user-triggered-agents.json | No, un usuario pidió la petición |
Dos detalles hacen fallar a los scripts antiguos. Primero, los archivos se movieron: la antigua URL googlebot.json ahora responde con una redirección 301 a /static/crawling/ipranges/common-crawlers.json, así que el código que no sigue redirecciones no obtiene nada, sin avisar. Segundo, la página de verificación de Google no declara ningún calendario de actualización. Los archivos que descargamos el 29 de octubre de 2026 tenían fecha del día anterior; la copia que descargamos el 5 de octubre de 2026 se generó el 2 de octubre de 2026 e incluye 317 prefijos, 170 de ellos IPv4. Guarda el archivo en caché, pero actualízalo al menos una vez al día.
Fuente de la tabla: la página de Google Verify requests from Google crawlers and fetchers.
Un Googlebot real y uno falso, uno junto al otro
La forma más rápida de ver la diferencia es consultar ambas direcciones. Hicimos dos consultas el 5 de octubre de 2026 (los resultados cambian a medida que se mueven los rangos). La primera es 66.249.66.1, la dirección de Googlebot de la propia documentación de Google. La segunda es 104.248.50.21, un servidor de DigitalOcean: imagina que tu log muestra que envía un User-Agent de Googlebot.
[
{
"ip": "66.249.66.1",
"asn": { "asn": 15169, "org": "GOOGLE - Google LLC", "asn_type": "hosting", "user_type": "search_engine_spider" },
"detection": { "is_hosting": true, "is_vpn": false, "is_proxy": false, "is_tor": false },
"threat": {
"is_crawler": true,
"crawler": {
"verified": true,
"name": "Googlebot",
"operator": "Google",
"category": "search_engine",
"verification_method": "ip_range_list"
}
},
"scoring": {
"fraud_score": 0,
"recommended_action": "allow",
"detection_methods": ["datacenter_ip", "no_ptr_datacenter", "verified_crawler"]
}
},
{
"ip": "104.248.50.21",
"asn": { "asn": 14061, "org": "DIGITALOCEAN-ASN - DigitalOcean, LLC", "asn_type": "hosting", "user_type": "hosting" },
"detection": { "is_hosting": true, "is_vpn": false, "is_proxy": false, "is_tor": false },
"threat": {
"is_crawler": false,
"crawler": { "verified": false, "name": "none", "verification_method": "none" }
},
"scoring": {
"fraud_score": 15,
"recommended_action": "allow",
"detection_methods": ["datacenter_ip", "no_ptr_datacenter"]
}
}
]
La primera dirección está dentro de la lista de rangos de Google, así que threat.crawler.verified es true y verification_method indica cómo: ip_range_list. La señal verified_crawler lleva su fraud_score a 0. La segunda es un servidor en la nube corriente. No es ningún tipo de rastreador, así que una petición desde él con un User-Agent de Googlebot es falsa por definición.
Fíjate en lo que la puntuación no hace. El falso obtiene 15, allow, porque un servidor en la nube por sí solo no es malicioso. El veredicto "Googlebot falso" sale de combinar dos hechos: tu log dice Googlebot y la consulta dice que no es Google. La API ve la IP, no tus cabeceras, así que esa comparación te toca hacerla a ti:
const claimsGooglebot = /Googlebot/i.test(req.headers["user-agent"] ?? "");
const res = await fetch(`https://api.geoiphub.com/v1/lookup/${clientIp}`, {
headers: { "x-api-key": process.env.GEOIPHUB_KEY },
});
const ip = await res.json();
const isRealGoogle = ip.threat.crawler.verified && ip.threat.crawler.operator === "Google";
if (claimsGooglebot && !isRealGoogle) {
// Treat as an ordinary unverified bot: rate-limit or challenge it.
}
Puedes probar ambas direcciones en la herramienta gratuita de consulta de IP sin clave.
Qué hacer con un Googlebot falso
Trata una comprobación fallida como "bot no verificado", no como un ataque. La petición viene de alguien que se hace pasar por Google, lo que te dice que quiere el trato de rastreador. Retira ese trato y gestiónalo como cualquier otro cliente automatizado.
- Elimina las concesiones de rastreador. Nada de saltarse límites de tasa, muros de pago ni desafíos para bots con un nombre de Googlebot que no se ha verificado.
- Limita la tasa por red, no por dirección. Los scrapers rotan IP dentro de un mismo proveedor. Para orígenes IPv6, usa el prefijo como clave, como en nuestra guía para limitar la tasa de IPv6 por prefijo /64.
- Nunca bloquees por accidente una dirección verificada de Google. Ejecuta la verificación antes de cualquier regla de lista de bloqueo, para que un bloqueo amplio de hosting o de ASN no pueda atrapar al Googlebot real.
- Verifica la IP real del cliente. Usa la dirección de conexión, o una cabecera de reenvío solo cuando la establezca tu propio proxy o CDN. Un cliente puede escribir cualquier cosa en
X-Forwarded-For, incluida una dirección real de Googlebot. - Falla en abierto ante errores de DNS. Si la consulta inversa agota el tiempo de espera, eso no prueba que sea falso. Recurre al archivo de rangos, o deja pasar la petición y compruébala más tarde.
- Guarda las pruebas. Registra el User-Agent declarado, la IP y el resultado de la verificación, para poder medir cuánto tráfico de "Googlebot" es real.
El mismo patrón se aplica en el checkout y el registro, donde cada vez más agentes automatizados dicen ser bots conocidos. Nuestra guía para bloquear el fraude de agentes de compra con IA en el checkout muestra cómo encaja un indicador de rastreador verificado o no verificado en una decisión de pago. Para las demás clases de bots que una consulta de IP puede y no puede identificar, consulta nuestra visión general de lo que los datos de IP revelan sobre un bot.
Dónde se queda corta la verificación por IP
La comparación de rangos te dice que una dirección pertenece a los rastreadores de Google. Tiene límites que conviene conocer antes de confiar en ella.
- Cubrimos todos los archivos de Google, cada uno con su propio nombre. GeoIPHub verifica rastreadores a partir de 19 fuentes oficiales de rangos, incluidos los cinco archivos de Google de la tabla anterior: rastreadores comunes, rastreadores de casos especiales y los tres archivos de peticiones activadas por usuarios. El 8 de octubre de 2026,
107.178.192.1, de user-triggered-fetchers.json, devolvióverified: trueconname: "GoogleUserTriggeredFetcher", noGooglebot. Compruebathreat.crawler.name, no soloverified. - Puede haber un pequeño retraso. Google no declara ningún calendario de actualización para sus archivos. Nosotros los volvemos a descargar a diario y reconstruimos nuestra base de datos de consultas a diario, así que un prefijo de Google completamente nuevo puede tardar hasta unos dos días en verificarse a través de nosotros. La comprobación de DNS no tiene retraso.
- Nuestro registro no contiene DNS inverso para estas direcciones. Por eso aparece
no_ptr_datacenteren el Googlebot real de arriba, aunquedigdevuelvecrawl-66-249-66-1.googlebot.com. El veredicto procede de la lista de rangos, que es la vía fiable, pero la etiqueta del método induce a error. Lo hemos registrado como un bug. - Las peticiones firmadas están en camino, pero todavía no para Googlebot. Google está probando Web Bot Auth, que permite a un agente firmar criptográficamente sus peticiones, con algunos agentes de IA en su infraestructura. No firma todas las peticiones, y Google indica que se recurra a las comprobaciones establecidas descritas arriba. Nuestra guía de verificación de rastreadores de IA explica cómo verificar una firma.
- Una dirección real de Google no siempre es Googlebot. La red de Google, AS15169, también transporta servicios como Google Public DNS (
8.8.8.8), que nuestra consulta puntúa como hosting normal, no como rastreador. Solo cuentan los archivos de rangos de rastreadores, así que nunca añadas AS15169 entero a una lista de permitidos.
Empieza con una cifra de tus propios logs: cuántas peticiones de la semana pasada decían ser Googlebot y cuántas de esas IP superan la comprobación de DNS con confirmación directa. La diferencia entre ambas es tu tráfico de Googlebot falso, y suele ser mayor de lo que la gente espera.
Preguntas frecuentes
¿Cuál es la dirección IP de Googlebot?
Googlebot no tiene una única dirección IP. Rastrea desde muchos prefijos que Google publica en common-crawlers.json, sin un calendario de actualización declarado; la copia que descargamos el 5 de octubre de 2026 incluía 317 prefijos, 170 de ellos IPv4. 66.249.66.1, el ejemplo de la propia documentación de Google, es uno de ellos. Comprueba siempre una dirección con el archivo actual en lugar de con una lista fija en el código.
¿Cómo verifico que una petición viene realmente de Googlebot?
Comprueba la IP, no el User-Agent. Haz una consulta de DNS inverso sobre la IP y confirma que el nombre de host termina en googlebot.com, google.com o googleusercontent.com; después haz una consulta directa sobre ese nombre de host y confirma que devuelve la misma IP. A gran escala, compara la IP con los archivos de rangos que publica Google, empezando por common-crawlers.json para Googlebot.
¿Dónde publica Google los rangos de IP de Googlebot?
En archivos JSON enlazados desde la página de Google 'Verify requests from Google crawlers and fetchers'. Googlebot y los demás rastreadores comunes están en common-crawlers.json. La antigua dirección googlebot.json ahora devuelve una redirección 301 a ese archivo. Los rastreadores de casos especiales, como AdsBot, y los fetchers activados por usuarios tienen sus propios archivos.
¿Toda IP de Google es una IP de Googlebot?
No. La red de Google (AS15169) también transporta otros servicios de Google, como Google Public DNS en 8.8.8.8. Solo las direcciones incluidas en los archivos de rangos de rastreadores son rastreadores de Google, así que una lista de permitidos por ASN es demasiado amplia. En nuestra consulta, 66.249.66.1 se verificó como Googlebot, mientras que un servidor de DigitalOcean que decía llamarse igual no lo hizo.
¿Debo bloquear las peticiones que dicen ser Googlebot pero no superan la verificación?
Trátalas como un cliente no verificado cualquiera, no como Googlebot. Limita su tasa o desafíalas como a cualquier otro bot. No les des las concesiones de rastreo que das al Googlebot real, y comprueba que tus propias reglas nunca puedan bloquear una dirección verificada de Google.
El equipo detrás de la API de GeoIPHub
Escrito por el equipo de GeoIPHub, las personas que crean la API de inteligencia IP de GeoIPHub y su escáner. Los borradores se preparan con ayuda de IA y el equipo los edita; los ejemplos de la API son consultas reales contra la API en producción, salvo que se indique que son ilustrativos.
Inteligencia IP