¿Qué es el cloaking?

El cloaking consiste en mostrar a los buscadores un contenido distinto del que ve el visitante, con la intención de manipular las posiciones en la SERP y engañar a quien llega. Esa última parte no es un adorno: está en la definición que publica Google, y es lo que separa una práctica prohibida de una diferencia legítima.

Los ejemplos que Google cita son inequívocos: enseñar al buscador una página sobre destinos de viaje mientras el usuario ve una de medicamentos, o insertar texto y palabras clave solo cuando quien pide la página es un rastreador.

Está clasificado entre las prácticas de spam, es decir en el terreno del black hat SEO, y puede costar posiciones o la presencia completa en los resultados.

Conviene fijar el alcance antes de seguir, porque el término se usa mal en dos direcciones. No es cloaking que una página cambie con el tiempo, ni que dos personas vean cosas distintas por estar en países distintos. Lo que define la práctica es la pareja: buscador por un lado, usuario por otro, y una diferencia puesta ahí a propósito.

Tampoco es una técnica antigua que haya desaparecido. Sigue apareciendo, sobre todo en sitios comprometidos por terceros: quien entra por un enlace ve publicidad de otra cosa mientras el rastreador sigue recibiendo la página legítima, y el dueño no se entera durante semanas porque en su navegador todo se ve normal.

Aquí está la confusión que más miedo genera sin motivo. Muchas webs entregan cosas distintas según quién pregunte, y casi ninguna de esas diferencias es cloaking.

Google lo dice sin ambigüedad del renderizado dinámico: no lo considera cloaking, siempre que produzca un contenido similar. Y añade lo contrario con la misma claridad: usarlo para servir contenido completamente distinto sí lo es.

Lo mismo vale para casos cotidianos: una página de error, una versión adaptada a otro país declarada con hreflang, un contenido detrás de un registro. Ninguno existe para engañar, y por eso ninguno cae en la definición, aunque en los tres el servidor entregue algo distinto.

Hay un tercer caso que merece nombrarse porque se parece mucho y no lo es: la personalización. Un sitio que recuerda tus últimas compras y coloca otros productos en portada muestra a cada visitante algo distinto, y también algo distinto de lo que recibe el buscador, que llega sin historial. Nada de eso existe para engañar.

La regla práctica que se saca de ahí sirve para todos los casos: pregunta si lo que ve el buscador es una versión razonable de lo que verá una persona. Si un visitante podría llegar a ver eso mismo, no hay cloaking; si es una página que ningún ser humano recibirá jamás, sí. El índice acaba conteniendo lo que se le sirvió, y por eso la pregunta importa.

Técnicamente el cloaking se monta de dos maneras: mirando el agente de usuario que pide la página, o mirando la dirección IP desde la que llega la petición. En ambos casos el servidor decide qué entregar antes de entregar nada.

Detectarlo desde fuera es sencillo y no requiere herramientas caras: pide la misma URL dos veces, una identificándote como navegador y otra como rastreador, y compara. Si las dos respuestas no se parecen, ya tienes la pregunta que hay que responder.

Para lo que ve realmente Google, la inspección de URLs de Search Console enseña el HTML renderizado desde su lado, y el análisis de logs muestra qué se le sirvió y cuándo. Entre las dos fuentes queda poco margen para la duda.

Una precisión sobre la comprobación por agente de usuario: declararse rastreador no basta del todo, porque algunas configuraciones miran además la dirección IP. Una petición desde una oficina española diciendo ser Googlebot no es lo mismo que una que llega desde los rangos de Google, y hay montajes que distinguen justo eso.

Por eso el cruce con dos fuentes propias vale más que cualquier prueba aislada: el registro del servidor dice qué se sirvió realmente a cada petición, y una revisión de SEO técnico que compare esas líneas con lo que muestra la inspección de URLs cierra el círculo. Lo que no sirve es fiarse de lo que se ve en el propio navegador.

El primero, y el más frecuente, es el contenido de pago. Enseñar el artículo completo al buscador y un fragmento al lector suena a cloaking y no lo es cuando se declara con el marcado previsto para ello; lo que no vale es hacerlo en silencio.

El segundo es la adaptación por región. Servir precios en otra moneda o un idioma distinto según el país, lo habitual en SEO internacional, es normal, siempre que se indique con los medios pensados para eso y no se sirva al buscador una versión que ningún usuario llega a ver.

Y el tercero, el que aparece por accidente: una configuración antigua que, en vez de un redirect 301, devuelve la página vieja a ciertos agentes de usuario tras una migración. Nadie lo hizo con intención de engañar y el efecto es indistinguible desde fuera, así que conviene mirarlo antes de que lo mire otro.

Hay un cuarto caso límite que nace de la buena intención: las pruebas A/B. Repartir visitantes entre dos versiones es normal y no es cloaking, siempre que el reparto no dependa de si quien pide la página es un buscador y que las variantes sean versiones de lo mismo. Enviar al rastreador siempre a la misma variante tampoco es un problema; enviarle a una página que ningún participante recibe, sí.

Y uno más, cada vez más común: las medidas contra bots. Un cortafuegos, a menudo el del propio CDN, que responde con un desafío a lo que no reconoce puede acabar sirviendo al rastreador una página de verificación en lugar del contenido. No hay intención de engañar y el efecto es que el índice se llena de páginas que nadie escribió; se descubre mirando qué código de respuesta recibió Google, no qué se ve en pantalla.

El primero es el miedo indiscriminado: creer que cualquier diferencia entre lo que recibe un rastreador y lo que ve un usuario es cloaking. No lo es, y esa creencia lleva a renunciar a técnicas de white hat SEO perfectamente válidas como el prerendering.

El segundo es el contrario: pensar que basta con no tener mala intención. La intención importa en la definición, pero nadie puede leerla desde fuera; si el contenido servido a un lado y otro no se parece, el efecto es el mismo aunque el motivo fuera inocente.

Y el tercero es dejar de comprobarlo. Basta un cambio en la configuración del servidor para que aparezca sin que nadie lo decida, y un penalización por algo que nadie hizo a propósito cuesta exactamente lo mismo que una merecida.

Un cuarto error es tratarlo como algo que solo hacen otros. Los casos más frecuentes hoy no son maniobras deliberadas sino restos: una regla de servidor que sobrevivió a una migración, un módulo de caché que guarda por agente de usuario en vez de por parámetro, un plugin de seguridad que decide por su cuenta. Ninguno se anuncia.

Y el último: no dejar constancia de las diferencias que sí son legítimas. Si tu web sirve algo distinto por una razón válida —muro de pago, versión por país, protección contra bots— conviene que esté escrito en algún sitio del propio equipo. Cuando alguien mire esas líneas dentro de dos años, la diferencia entre una decisión documentada y una anomalía sin explicación decide cuánto tiempo se pierde, igual que ocurre con cualquier regla de robots.txt heredada.