Precursor de Cloudflare vigila a los agentes que parecen navegadores

Cloudflare anunció Precursor el 13 de julio de 2026. Es un motor de validación conductual continua para la gestión de bots, y la idea que hay detrás es fácil de enunciar: deja de juzgar a un visitante por un único punto de control y empieza a juzgar la forma de toda la sesión. El anuncio de Cloudflare lo sitúa dentro de Enterprise Bot Management y lo describe como complemento de Turnstile, no como sustituto.

El problema que aborda es real. La automatización moderna puede ejecutar JavaScript, manejar un navegador real y superar un CAPTCHA concreto. Lo que cuesta más falsificar es comportarse como una persona durante toda una visita.

Qué vigila realmente Precursor

Cloudflare inyecta un script en el cliente que recoge comportamiento y lo evalúa en el edge a lo largo de la sesión, no en una sola vista de página. Su descripción es concreta sobre las entradas y discreta sobre los umbrales, algo normal en un producto de detección.

• Movimiento del puntero y ritmo de tecleo, correlacionados a lo largo de una sesión y no en una sola petición.

• Cambios de foco y visibilidad de la página, que separan una sesión que alguien usa de un script que renderiza una página y se va.

• Telemetría agregada, que según Cloudflare preserva la privacidad en lugar de registrar lo que la gente escribe.

Ese último punto es una afirmación de diseño, no una auditoría. Es lo que hay que exigirle al producto si lo despliegas, y por lo que hay que leer la documentación en lugar de una nota de lanzamiento.

Dónde se sitúa junto a Turnstile

Son productos distintos que responden a preguntas distintas. Turnstile pide al visitante que demuestre algo una vez, en un punto que tú eliges. Precursor observa qué hace una sesión con el tiempo. Cloudflare presenta el segundo como complemento del primero dentro de Enterprise Bot Management; no sustituye al desafío.

El estado del lanzamiento conviene comprobarlo, no darlo por supuesto. La nota de prensa de Cloudflare del 13 de julio de 2026 describe Precursor como disponible de forma general. La propia documentación de Cloudflare, citada por el análisis de InfoQ del 8 de agosto de 2026, lo describe como una beta abierta que sigue siendo gratuita hasta la disponibilidad general. Ambas son palabras de Cloudflare. Si la distinción importa para tu despliegue, comprueba el estado actual en tu cuenta y no en un resumen, incluido este.

Qué significa esto para un formulario

FormFlow no usa Precursor. Turnstile es el desafío que ofrece FormFlow, y es el desafío de un solo proveedor: FormFlow falla abierto, así que cuando no se puede alcanzar Turnstile, una Submission no se bloquea por ese motivo. El juicio de spam es una capa aparte. FormFlow pondera la evidencia de la petición contra un modelo por formulario entrenado con correcciones humanas, y una prior del equipo puede marcar una Submission pero nunca vetarla.

Leídas juntas, son tres capas distintas: un desafío, un producto conductual que podrías poner delante de todo un sitio y el juicio de spam de un formulario. Ninguna es una garantía y ninguna sustituye a las otras.

Qué no decide esto

Precursor no decide si un visitante es un bot. Produce una señal para una política que tú configuras, y la política es donde vive la decisión.

No sustituye a Turnstile, y Cloudflare no lo presenta así. No hace por sí mismo que el tráfico de agentes sea ilícito ni indeseado, y no te dice qué deberían decir tus términos de servicio sobre agentes. Una puntuación de detección no es una regla.

No es una función de FormFlow, y nada de esto dice que FormFlow vaya a adoptarlo. Para los mecanismos que un formulario sí tiene, lee la referencia de la API y la entrada del Changelog de v1.0.0.