¿Es de verdad Googlebot? Cómo verificar la IP de un rastreador
Una línea de tu log dice Googlebot/2.1, pero está machacando tu página de acceso o descargando tu catálogo entero cada hora. ¿De verdad es Google? Normalmente no, y puedes demostrarlo en un minuto.
Un user agent es una línea de texto que el cliente escribe sobre sí mismo. Los scrapers y las herramientas de ataque copian el de Googlebot porque a los dueños de webs les da miedo bloquearlo, y algunos cortafuegos lo dejan pasar. La dirección es otra cosa. En una petición web completa es la red real de la que vino la conexión, y Google controla los nombres DNS de sus propias direcciones de rastreo. Eso es lo que compruebas.
La prueba de las dos consultas
El método que documenta Google tiene dos pasos, y necesitas los dos:
- Consulta inversa: pregunta al DNS qué nombre corresponde a la dirección. Una dirección de rastreo auténtica tiene un nombre bajo
googlebot.com,google.comogoogleusercontent.com. - Consulta directa: pregunta al DNS la dirección de ese nombre. Tiene que ser la dirección de la que partiste.
El segundo paso es lo que lo convierte en prueba. Quien controla una dirección puede poner el nombre inverso que quiera, incluido crawl-1-2-3-4.googlebot.com. Solo Google puede hacer que un nombre googlebot.com apunte a una dirección.
En Linux o macOS:
host 66.249.66.1
host crawl-66-249-66-1.googlebot.comEn Windows, usa nslookup 66.249.66.1 y después nslookup crawl-66-249-66-1.googlebot.com, o en PowerShell Resolve-DnsName 66.249.66.1.
La respuesta para esta dirección: el nombre inverso es crawl-66-249-66-1.googlebot.com, y ese nombre vuelve a apuntar a 66.249.66.1. Pasa los dos pasos, así que es Google.
La comprobación rápida: las listas publicadas por Google
Google también publica las direcciones de sus rastreadores en archivos JSON, enlazados desde la misma página de documentación. El de Googlebot y los demás rastreadores comunes es common-crawlers.json. Si una dirección cae en uno de sus rangos, es el rastreador de Google. Es más fácil de automatizar que el DNS, y es lo que usan las herramientas de iplover, actualizadas a diario.
Un ejemplo real: un Googlebot de verdad y uno falso
Estas son dos líneas del mismo log. Las dos dicen ser Googlebot.
66.249.66.1 - - [05/Nov/2026:09:15:40 +0000] "GET /2026/09/router-settings/ HTTP/1.1" 200 21004 "-" "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)"
3.5.140.1 - - [05/Nov/2026:09:20:55 +0000] "GET /.env HTTP/1.1" 404 548 "-" "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)"Mete las dos direcciones en la búsqueda de IP de iplover y los resultados no se parecen en nada:
| Comprobación | 66.249.66.1 | 3.5.140.1 |
|---|---|---|
| Veredicto | Rastreador verificado Esto es Googlebot. | Proveedor de nube o hosting Esta dirección pertenece a Amazon Web Services. |
| Lista coincidente | Google common crawlers (Googlebot) | AWS IP address ranges |
| DNS inverso | crawl-66-249-66-1.googlebot.com, confirmado en sentido directo | Sin nombre |
| Titular de la red | Google LLC (AS15169), ARIN | Amazon Data Services Northern Virginia (AS16509), ARIN |
El primero es Google, en todas las pruebas. El segundo es un servidor alquilado a Amazon que escribió «Googlebot» en su user agent, y buscaba un archivo .env lleno de contraseñas. Los rastreadores de Google no funcionan en la nube de Amazon. Esa línea es un escáner disfrazado.
Para el de verdad, el consejo de la búsqueda es claro: no lo bloquees, porque bloquearlo puede quitar tus páginas de los resultados de Google.
Si encuentras esto, haz esto
| Lo que encuentras | Qué significa | Qué hacer |
|---|---|---|
| Pasa los dos pasos DNS, o la dirección está en la lista de Google | El Googlebot real | Déjalo en paz. Para cambiar cuánto rastrea, usa robots.txt y Search Console. |
El nombre inverso está bajo googleusercontent.com | Un servicio de Google que descarga para un usuario o un cliente de Google Cloud | Es la red de Google, pero no necesariamente el rastreador de búsqueda. Júzgalo por lo que pide. |
| El nombre inverso parece correcto, pero la consulta directa da otra dirección | Un nombre inverso falsificado | Trátalo como falso. |
| Sin nombre inverso, o con uno que no tiene que ver con Google | No es Google | Trátalo como cualquier bot desconocido. Bloquéalo si se porta mal. |
Un «Googlebot» falso que pide .env, copias de seguridad o wp-login.php | Un escáner escondido tras un nombre de confianza | Comprueba que esas rutas dan 404 y luego bloquea o limita la dirección. |
Los otros grandes rastreadores
La misma regla vale para todos: comprueba la dirección, nunca el user agent. Casi todos los grandes operadores publican los rangos de sus rastreadores en el mismo formato JSON que Google. Estas son las listas que usa iplover:
- Bing:
https://www.bing.com/toolbox/bingbot.json - Apple (Applebot):
https://search.developer.apple.com/applebot.json - DuckDuckGo:
https://duckduckgo.com/duckduckbot.json - OpenAI (GPTBot):
https://openai.com/gptbot.json
Nuestra página de fuentes de datos enumera cada lista de rastreadores que cargamos y cuándo se actualizó por última vez.
Bloquear a los falsos sin perjudicar al de verdad
Nunca hagas una regla del tipo «deja pasar todo lo que diga ser Googlebot» basada solo en el user agent. Es justo el agujero con el que cuentan los falsos. Si tu cortafuegos o tu CDN tiene una categoría de «bots verificados» (Cloudflare la tiene), úsala: comprueba la dirección por ti. Si escribes tu propia regla, permite los rangos publicados y trata todo lo demás que diga ser un rastreador como un visitante cualquiera.
Y recuerda qué es un rastreador falso: un bot que no quiere que lo juzguen como bot. Trátalo como tal. Si merece un bloqueo depende de lo que hace, no del nombre que usa.
Fuentes
Documentos oficiales que usamos para comprobar los datos de esta guía.