Qué es una cadena user-agent
Cada petición HTTP lleva una cabecera User-Agent que identifica el software que la envía. Treinta años de navegadores imitándose unos a otros han vuelto el formato absurdo: Chrome en Windows se anuncia como Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.0.0 Safari/537.36 y afirma ser a la vez Mozilla, WebKit y Safari. Analizarla consiste en saber qué tokens importan: Edg/ gana a Chrome/, Chrome/ gana a Safari/, y Firefox/ va por su cuenta.
Lo que ya no revela
- Chrome congela la versión menor (
129.0.0.0) y los detalles del SO (siempre «Windows NT 10.0», siempre «Mac OS X 10_15_7»), un cambio llamado reducción de UA. Los valores completos solo están disponibles mediante cabeceras Client Hints. - Windows 11 es indistinguible de Windows 10.
- Todo navegador en iOS es WebKit, así que «Chrome en el iPhone» (
CriOS/) es el motor de Safari con la interfaz de Google.
Bots
Los rastreadores educados se identifican y a menudo incluyen una URL: Googlebot/2.1 (+http://www.google.com/bot.html). Los rastreadores de IA son ya una parte importante del tráfico: GPTBot (entrenamiento de OpenAI), ChatGPT-User (obtención para un usuario), ClaudeBot y Claude-User (Anthropic), PerplexityBot, Bytespider, CCBot (Common Crawl), meta-externalagent. Cada uno puede permitirse o bloquearse por nombre en robots.txt; el robots.txt de este sitio los permite, porque ser citado en respuestas de IA forma parte del objetivo.
Cualquiera puede poner cualquier user-agent, así que la cadena no demuestra nada. Los scrapers copian la cadena de Chrome; la identidad de Googlebot debe confirmarse con una consulta DNS inversa de la IP (debe terminar en googlebot.com o google.com y resolver de vuelta).
Preguntas
¿Cómo veo mi propio user-agent?
El campo de arriba viene rellenado con la cadena de tu navegador. También puedes ejecutar navigator.userAgent en la consola o mirar las cabeceras de la petición en la pestaña de red.
¿Puedo fiarme del user-agent para decisiones de seguridad?
No. Lo establece el cliente y se falsifica a voluntad. Úsalo para analítica, pistas aproximadas de funcionalidades e identificación amistosa de bots; para todo lo importante usa reputación de IP, límites de tasa y comprobaciones de DNS inverso.
¿Por qué mi analítica muestra Safari 605 o Chrome 537?
Son números de compilación de WebKit (AppleWebKit/537.36, Safari/605.1.15), que nunca cambian, no versiones de navegador. La versión del navegador está tras Version/ en Safari y tras Chrome/ en Chrome.
¿Debo bloquear los rastreadores de IA?
Depende de si quieres aparecer en respuestas generadas por IA. Para un sitio de herramientas, ser citado es tráfico. Los rastreadores de solo entrenamiento (GPTBot, Google-Extended, ClaudeBot) pueden bloquearse por separado de los que obtienen bajo demanda (ChatGPT-User, Claude-User), que actúan en nombre de una persona.