Por qué estás viendo RelvatoBot
Relvato no rastrea la web. RelvatoBot visita un sitio solo cuando un cliente de Relvato — normalmente su propietario o su agencia — ha conectado ese sitio concreto para monitorizarlo y ha demostrado que lo controla. No hay descubrimiento, ni seguimiento de enlaces entre dominios, ni interés en tu contenido.
Lo que hace allí es ejecutar los monitores configurados: cargar páginas clave, completar un pedido de prueba, iniciar sesión, medir disponibilidad y velocidad, y comparar páginas con una referencia aprobada, para que el propietario se entere de un fallo antes que su clientela.
Relvato no intenta eludir los controles de acceso. No resuelve CAPTCHAs ni sortea la protección antibots. Si tu firewall bloquea una solicitud, la ejecución falla y Relvato informa del bloqueo al cliente, que puede decidir permitirlo.
Cómo identificar a RelvatoBot
Cloudflare ha verificado RelvatoBot: figura como bot verificado en el directorio de bots de Cloudflare Radar (Monitoring & Operations, operado por Relvato), con el directorio de claves de abajo registrado. Bot verificado — RelvatoBot →
Cuatro señales, de más fuerte a menos. La firma es la única que demuestra que una solicitud viene realmente de Relvato; las demás sirven para casar reglas y dar contexto.
| Señal | Detalles |
|---|---|
| Firma Web Bot Auth | Cada solicitud va firmada con una HTTP Message Signature Ed25519 (RFC 9421): las cabeceras Signature, Signature-Input y Signature-Agent, etiquetadas «web-bot-auth». Signature-Agent apunta al directorio público de claves de Relvato (abajo), así que tu CDN o WAF puede verificar la firma por su cuenta. Es la única señal que no se puede imitar. Cloudflare y AWS WAF pueden validarla. |
| User-Agent | Un user agent real de Chrome o Safari — el motor es Chromium de verdad, y el sitio debe servir lo mismo que ve una persona — con el token de producto de Relvato añadido. Haz coincidir el token; la parte del navegador cambiará al actualizarse el motor. |
| Cabecera X-Relvato-Token | Un secreto propio de tu sitio, visible en sus ajustes de Relvato. Es una credencial de autorización, no una prueba de origen: úsala para permitir Relvato en tu propio sitio. Trátala como un secreto: quien la tenga podría enviarla. |
| Origen de red | Las solicitudes salen de infraestructura controlada por Relvato que ejecuta Chromium. Las direcciones rotan, así que no dependas solo de ellas; publicamos las actuales para firewalls que solo pueden filtrar por dirección. |
User-Agent: RelvatoBot/1.0 (+https://www.relvato.com/bot)
Directorio de claves: https://www.relvato.com/.well-known/http-message-signatures-directory
Cloudflare Radar: https://radar.cloudflare.com/bots/directory/relvatobot
Identidad legible por máquina: https://www.relvato.com/.well-known/relvato-bot.json
Direcciones actuales: https://www.relvato.com/bot-ips.json
Cómo se comporta RelvatoBot
Lo que el bot hace en tu servidor, para que puedas juzgarlo sin fiarte de nuestra palabra:
- Alcance: solo sitios cuyo propietario los conectó a Relvato, y solo las páginas de ese sitio.
- Ritmo de solicitudes: espaciado y con variación, un monitor a la vez por dominio y una pausa deliberada entre los monitores de una tanda. Si un firewall bloquea uno, el resto de la cola de ese sitio se retiene en lugar de chocar contra el mismo muro.
- 429 y 503: se lee y se respeta la cabecera Retry-After — Relvato espera al menos lo que pidió tu servidor.
- robots.txt: se lee en cada sitio monitorizado y se compara con RelvatoBot, y Crawl-delay se respeta como pausa mínima entre solicitudes. La aplicación de Disallow se está desplegando ahora: durante el despliegue una ruta no permitida se registra en vez de omitirse, para que no se detenga sin aviso una monitorización configurada a propósito. El propietario también puede desactivar la regla para su sitio, ya que es quien configuró el monitor.
- Desafíos: nunca se eluden. Ni resolución de CAPTCHAs ni evasión de la protección antibots; un monitor bloqueado se informa como bloqueado.
- Dos excepciones que conviene explicar, ambas solo en el propio sitio conectado de un cliente: el monitor de preparación para motores de respuesta pregunta al servidor del cliente si serviría a GPTBot, Googlebot y similares enviando esos user agents; y el monitor «Señales de un hackeo» pide algunas páginas del cliente como Googlebot (con el identificador de Relvato todavía en el user agent) y como un visitante que llega desde la Búsqueda de Google, para detectar hackeos que solo enseñan spam o una redirección a Google. Esos user agents nunca se usan para otras peticiones de monitorización, ni en un sitio que no esté conectado a Relvato.
Permitirlo
Si gestionas el sitio y quieres que los monitores de Relvato funcionen tras un firewall o CDN, la regla más rápida compara la cabecera X-Relvato-Token con el valor de tu sitio: nuestra guía paso a paso trae la expresión exacta de Cloudflare, además de Sucuri, Wordfence y firewalls del hosting.
En un WAF capaz de verificar Web Bot Auth (Cloudflare, AWS WAF Bot Control) puedes permitir la firma: sin secretos que copiar y con verificación criptográfica. Si tu firewall solo permite por dirección, usa la lista publicada, pero revísala cada cierto tiempo, porque las direcciones rotan.
Bloquearlo
Si no quieres que Relvato te visite, normalmente no hay nada que hacer: solo funciona en sitios que sus clientes han conectado y verificado. Si se está monitorizando un sitio tuyo sin tu autorización, escríbenos y lo detenemos.
También puedes bloquearlo en tu firewall como a cualquier otro cliente: por el token de producto del user agent, por la firma o por dirección. Relvato no lo rodeará; la ejecución simplemente falla y se informa al cliente de que fue bloqueada.
Para equipos de seguridad
La identidad de RelvatoBot está publicada como datos: nombre, operador, patrón de user agent, directorio de claves, comportamiento y contacto. En el modelo de Verified Bots de Cloudflare, Relvato es un operador directo: ejecutamos el bot en nuestra propia infraestructura, nadie más puede enviar solicitudes haciéndose pasar por RelvatoBot y solo llega a sitios cuyo propietario los ha conectado y verificado. Cada monitor lo configura ese propietario.
El contacto de seguridad y la política están en nuestro security.txt.
Verificado de forma independiente
WebBotAuth.net evalúa las configuraciones publicadas de Web Bot Auth: directorio de claves, firmas y agent card. Esta insignia muestra el resultado actual de Relvato; abre el informe para comprobarlo en la fuente.
Identidad legible por máquina: https://www.relvato.com/.well-known/relvato-bot.json
security.txt: https://www.relvato.com/.well-known/security.txt
Contacto
¿Dudas sobre el bot, o quieres que deje de visitar un sitio que gestionas? Escríbenos a contact@relvato.com.