Radar 942: lo que pasó mientras estaba a otras cosas

El Radar se quedó en julio y el mundo tuvo el detalle de seguir anunciando cosas sin pedir permiso. Entre el 27 de julio y el 23 de octubre de 2026 han llegado reservas y publicidad a ChatGPT, modelos nuevos, más controles para los rastreadores y cambios en Google. Recupero el hilo de estos meses y después las novedades de octubre, incluido un aviso de PHP que merece hablar con el alojamiento antes de apuntarse al siguiente seminario sobre el futuro.

En el último Radar, cerrado el 26 de julio, anuncié que pasaba a ser quincenal. Técnicamente, han cabido varias quincenas entre una edición y la siguiente. La planificación ha sido impecable; el pequeño problema ha estado en publicarlo. La explicación de la pausa está en Frecuencia 942.

Esta vuelta recoge una selección de los cambios que se han acumulado desde entonces, con sus fechas y su alcance. El detalle de Google tiene ya su propio recopilatorio; el Radar reúne también lo que han ido haciendo otras plataformas y llega hasta las noticias del 23 de octubre. La actualidad ha venido bastante servida. Mi calendario, por su parte, no ha presentado disculpas.

Agosto: ChatGPT descubre que también se puede reservar y facturar

El 10 de agosto OpenAI anunció reservas de restaurantes dentro de ChatGPT con OpenTable, Resy y Yelp. El alcance cambia según el proveedor: OpenTable se ofrece globalmente; Resy, en Estados Unidos; Yelp, en Estados Unidos y Canadá. La búsqueda muestra horarios disponibles y permite elegir uno para reservar. La función se anunció para ChatGPT en móvil, web y escritorio; ChatGPT Work quedó fuera de esa búsqueda de reservas.^[1]

En julio hablábamos de asistentes que querían acompañar al usuario hasta una gestión. En agosto ya había una aplicación muy reconocible: conseguir una mesa. Para el restaurante, participar en ese recorrido depende del proveedor y de su disponibilidad. Una buena descripción en la web ayuda a explicar el negocio, pero la mesa libre tiene que existir en un sistema que pueda ofrecerla. El encargado continúa teniendo la desagradable obligación de comprobar que caben los comensales, incluso cuando los ha enviado una inteligencia muy avanzada.

El 31 de agosto OpenAI anunció la apertura del acceso de autoservicio a ChatGPT Ads en Europa y otros mercados. La compañía mantiene que los anuncios se identifican como publicidad, aparecen separados de las respuestas y no influyen en ellas.^[2] Es una vía publicitaria con su contratación y sus resultados, distinta de que una respuesta cite una web. Quien prometa resolver ambas cosas con el mismo presupuesto debería explicar exactamente qué está vendiendo antes de que llegue el cargo.

La trayectoria resulta bastante familiar. Primero llega una herramienta que ayuda a decidir, después una integración que facilita actuar y, en algún punto del trayecto, aparece el departamento comercial. Habíamos tenido un rato para encariñarnos con la interfaz, que es lo mínimo que se le pide a una relación antes de empezar a compartir facturas.

Google pasó el verano ampliando la ventanilla

Google desplegó su spam update de agosto entre el 18 y el 21 de ese mes, con alcance global y para todos los idiomas.^[3] Es un hito confirmado del periodo. Atribuirle una caída concreta exige mirar las fechas y las páginas afectadas; la coincidencia en el calendario, por sí sola, se queda corta. El algoritmo suele llevarse también las culpas de decisiones editoriales que ya venían pidiendo explicaciones desde antes de las vacaciones.

Otro cambio cerró una fase de pruebas anterior. En una actualización fechada el 31 de agosto, Google confirmó el despliegue mundial de los controles e informes que había empezado a probar en junio: la posibilidad de decidir la aparición del sitio en funciones generativas de Search y nuevos datos de rendimiento sobre esa presencia. La exclusión de esas funciones supone renunciar a sus impresiones y tráfico; Google indica que ese control no se utiliza como señal de clasificación en los demás resultados de búsqueda.^[4]

Eso permite formular decisiones más precisas que «quiero salir en la IA» o «quiero bloquear la IA». Hay servicios, usos del contenido y efectos diferentes. Antes de pulsar un interruptor, merece una lectura completa su descripción. El botón grande y tranquilizador tiene una extraordinaria capacidad para esconder el párrafo que explica a quién acabas de cerrar la puerta.

El 24 de septiembre llegó además el anuncio de informes de búsqueda multimodal en Search Console, tanto para resultados de búsqueda como para funciones generativas. Incluyen búsquedas mediante Lens, Rodea para buscar en Android, imágenes subidas a Google y la opción de buscar una imagen desde Chrome. El despliegue se anunció globalmente; las métricas dependen de que el sitio reciba tráfico de esas consultas.^[5] Para negocios con productos, instalaciones o trabajos que se pueden reconocer visualmente, añade una forma de observar cómo los encuentran. La foto real del trabajo empieza a tener más recorrido que el señor de banco de imágenes señalando una gráfica con entusiasmo preventivo.

Las consecuencias y el resto de los cambios de Google están desarrollados en el recopilatorio desde el core update de mayo. Aquí quedan los hitos que ayudan a entender por qué volvemos en octubre con más formatos, controles y datos que cuando cerramos la edición de julio.

Septiembre: modelos nuevos antes de aprenderse los anteriores

En septiembre también cambió el catálogo de modelos. OpenAI publicó la ficha de GPT-6 Astra el día 3 y la de GPT-6.1 Sol el 29. Son dos fechas distintas y dos documentos con sus evaluaciones y salvaguardas; agruparlo todo bajo «el último ChatGPT» deja bastante información fuera.^[6][7] El ritmo permite sentir nostalgia de una versión que uno terminó de aprender a seleccionar el martes.

El 8 de septiembre, ChatGPT Images 2.5 añadió otra pieza a la producción de contenido. OpenAI describe mejoras en la consistencia al editar imágenes, en los diseños y en la precisión de las infografías.^[8] Son capacidades declaradas por el fabricante. Para una web, la comprobación sigue haciéndose sobre la imagen concreta: textos legibles, objetos creíbles y una escena que represente lo que cuenta el artículo. Una mano con cinco dedos ya es un progreso considerable; una portada que además tenga alguna relación con el negocio sería la guinda.

Google resumió el 2 de octubre sus novedades de septiembre, entre ellas Gemini 3.8 Flash, nuevas aplicaciones conectadas y Gemini 4 Argon. En el caso de Argon, el anuncio distingue un despliegue limitado a defensores de ciberseguridad de confianza mediante el programa Fairwind. No era una disponibilidad general para cualquier cuenta de Gemini.^[9] Ver el nombre de un modelo en un titular y encontrarlo después en el selector siguen siendo experiencias que la industria administra por separado.

Para un negocio pequeño, revisar qué puede hacer una herramienta tiene más recorrido que perseguir cada apellido del catálogo. Preparar un documento, contrastar una explicación o editar una imagen son trabajos que se pueden comprobar. Conectar archivos o permitir acciones añade preguntas sobre los permisos y la supervisión. En el artículo de los diez mandamientos está el desarrollo sobre visibilidad; estrenar modelo no coloca automáticamente a una empresa entre sus recomendaciones.

Los bots volvieron de vacaciones con condiciones nuevas

El 15 de septiembre Cloudflare anunció controles más detallados para búsqueda, entrenamiento y agentes. Su opción Disallow AI Training publica una preferencia para rechazar entrenamiento conservando el acceso para búsqueda de los rastreadores compatibles. La compañía diferencia funciones disponibles y compromisos de sus operadores; esa preferencia depende del mecanismo y de quién la respete.^[10]

Elegir un bloqueo completo puede detener también a rastreadores de uso mixto, entre ellos Googlebot y Bingbot, y afectar a la búsqueda. La opción de rechazar entrenamiento y la de impedir el acceso tienen efectos distintos. Un propietario que quisiera reservarse sus textos podía acabar cerrando también el acceso a quien debía encontrarlos. El cartel de «solo personal autorizado» queda precioso hasta que descubres que has dejado al cliente en la calle.

Ese cambio de septiembre ayuda a entender las noticias de octubre sobre descubrimiento y evaluación de bots que vienen después. Los operadores están intentando separar usos y comprobar comportamientos, con límites que hay que leer. La guía de rastreadores y cortafuegos conserva los procedimientos; este repaso deja la fecha y el motivo del cambio.

Octubre: Google vuelve a poner los enlaces a la vista

El 15 de octubre Google anunció cambios en AI Mode y AI Overviews para hacer más visibles los enlaces. Entre ellos están una mayor presencia de enlaces dentro del texto y su aparición más arriba en las respuestas. También anunció pruebas de un bloque destacado con páginas oficiales para determinadas tareas, enlaces finales más visuales, ampliación de carruseles de actualidad y perfiles accesibles desde nombres de creadores en resultados de vídeo.^[11]

Hay distintas fases de despliegue dentro del mismo anuncio. El bloque de páginas oficiales y los perfiles de creadores se presentan como pruebas; los carruseles se amplían a más lugares e idiomas. La publicación no permite dar por hecho que todo esté disponible en todas las cuentas de España.

A un negocio local le interesa especialmente qué página recibe el enlace. Si alguien necesita consultar un servicio o resolver una gestión, la portada puede obligarle a buscar otra vez dentro de la web. Una página que explica ese servicio y facilita el siguiente paso tiene una función mucho más concreta. El visitante ya ha tenido una conversación con una máquina; ponerle después un acertijo de navegación parece ensañamiento.

Mejorar la visibilidad de un enlace abre una posibilidad de visita. Para valorar el resultado habrá que observar clics, consultas y contactos. Un anuncio de interfaz todavía deja bastante trabajo pendiente para quien tenga que pagar la nómina del mes. En AI Overviews y los «clics malos» están los estudios y sus límites; aquí me quedo con el cambio de presentación anunciado.

Bing pone las citas de IA en carpetas, con un asterisco considerable

Microsoft presentó el 13 de octubre Topics Portfolio, una función beta del informe AI Performance de Bing Webmaster Tools. Agrupa por temas las consultas utilizadas para fundamentar respuestas en las que aparece el sitio y permite explorar consultas donde se citan otras webs. Añade estimaciones del tamaño del tema, los sitios citados y el número de consultas.^[12]

Microsoft advierte de que la clasificación la genera IA, varias medidas son aproximadas y algunos volúmenes se muestran como intervalos. También explica que las webs con poca presencia o pocos datos pueden tener una lista corta o no ver la función. Entre las oportunidades pueden aparecer búsquedas de marcas competidoras.

Por tanto, si el panel propone una consulta con el nombre de otro negocio, revisaría por qué está ahí antes de encargar una página. Convertir cualquier sugerencia automática en una tarea editorial es una forma estupenda de llenar el calendario y una forma bastante dudosa de elegir el trabajo.

La aportación está en poder mirar conjuntos de temas y detectar preguntas para investigar. Una cita por sí sola no cuenta cuántas personas visitaron la web ni cuántas pidieron presupuesto. Para un negocio de Cantabria con una muestra pequeña, la ausencia de una pestaña tampoco permite concluir que ninguna IA lo conozca. La guía de auditoría GEO/AEO desarrolla cómo separar estas observaciones sin convertir cada captura en un certificado de omnipresencia.

Cloudflare y OpenAI encuentran páginas; el cliente todavía tiene que llegar

El 15 de octubre Cloudflare y OpenAI publicaron los primeros resultados de su piloto de descubrimiento, anunciado en julio. Según ambas compañías, una cohorte participante de aproximadamente el 1 % de la red de Cloudflare permitió descubrir e indexar cientos de millones de páginas nuevas para la búsqueda de OpenAI. Las señales ayudan a localizar páginas y sus cambios; OpenAI evalúa después su utilidad y clasificación de forma independiente.^[13]

La publicación identifica problemas conocidos: direcciones inexistentes que los bots solicitan una y otra vez, redirecciones indiscriminadas a la portada y copias del mismo contenido. También distingue la información utilizada para descubrir páginas de la cesión de contenido para entrenar modelos. Una señal no concede permiso para acceder al sitio.

Estos resultados pertenecen a un piloto. No permiten atribuir una ventaja de posicionamiento a todas las webs que contraten Cloudflare. Las compañías dejan para la siguiente fase la medición de los resultados empresariales derivados del descubrimiento. El volumen de páginas encontradas impresiona; el dueño de un restaurante seguramente preguntará cuántas mesas se han reservado. Son preguntas compatibles, aunque la segunda luzca menos en la presentación.

Para una web local, la parte práctica empieza por servir la página correcta, mantener su información y evitar que cualquier dirección inventada devuelva una portada con apariencia de éxito. Las decisiones sobre qué rastreadores pueden entrar tienen su propio desarrollo en la guía de acceso de rastreadores y cortafuegos. Cambiar una política de acceso merece una decisión expresa sobre el contenido, los recursos del servidor y el uso que se quiere permitir.

El bot trae carné; ahora tendrá que comportarse

Al día siguiente, el 16 de octubre, Cloudflare presentó un sistema para evaluar de forma continuada el comportamiento de bots verificados. Sus señales iniciales observan si respetan las preferencias publicadas en robots.txt y si reducen su actividad tras recibir respuestas HTTP 429, que comunican un exceso de solicitudes. Se valoran patrones sostenidos, no un incidente aislado.^[14]

La compañía indica que ya utiliza el sistema internamente. La publicación futura de las evaluaciones y la posibilidad de que los clientes elijan umbrales forman parte de sus planes. Hay que distinguir esa evaluación interna de una función que cualquier cliente pueda configurar hoy.

La identidad y la conducta resuelven preguntas distintas. Saber qué empresa opera un rastreador ayuda a decidir cómo tratarlo; observar si respeta los límites ayuda a comprobar esa decisión. El repartidor también puede venir perfectamente uniformado y dejarte el paquete en un municipio creativo.

Para quien mantiene una web pequeña, esto pone el foco en la carga que genera la automatización. Publicar una preferencia y aplicar un control efectivo son operaciones diferentes: robots.txt depende de la cooperación del rastreador. Antes de bloquear o permitir familias enteras de bots, miraría qué están solicitando y qué función cumplen. Así se evita echar al que trae visitas mientras el que insiste en buscar un archivo inexistente sigue dando vueltas por el servidor.

Los agentes quieren un carrito que no dependa de acertar el botón

Commerce.com y Cloudflare explicaron el 21 de octubre cómo están ofreciendo herramientas WebMCP a las tiendas de la plataforma, que utiliza Cloudflare para casi 100.000 dominios. Las herramientas permiten buscar productos, consultar detalles y trabajar con el carrito dentro de la sesión del comprador. Cada comerciante conserva una opción para desactivar la integración.^[15]

La noticia mantiene una limitación importante: WebMCP sigue siendo una propuesta experimental, disponible en entornos concretos de prueba y navegadores compatibles. El flujo descrito deja la finalización de la compra en manos de la persona. Es una implantación en esa plataforma, no una prestación que aparezca por arte de magia en cualquier Joomla, WordPress o tienda de Cantabria.

Una interfaz pensada para personas puede resultar frágil para un agente que interpreta la pantalla. Un cambio de plantilla basta para mover un botón; una herramienta definida puede expresar una operación de forma más estable. Después sigue habiendo que controlar precios, disponibilidad, permisos y efectos. El nombre del protocolo no revisa el pedido por nosotros.

En un alojamiento o un negocio de servicios, esta evolución resulta interesante para observar cómo se conectarán consultas y operaciones. Aplicarla a una reserva exige una integración real con las condiciones del negocio. De momento, no anunciaría «reservas con agentes» por haber añadido un bloque de texto. La guía de reservas directas conserva problemas bastante más inmediatos: que el cliente entienda la oferta y pueda terminar la gestión que ha empezado.

OpenAI y Google también saben compartir factura

El 21 de octubre OpenAI anunció un acuerdo para llevar sus modelos y los flujos de Codex a Model Garden de Google Cloud. El anuncio prevé contratación a través de Google Cloud Marketplace y acceso futuro desde Antigravity y Gemini Agent. La disponibilidad general se plantea para las semanas siguientes; Microsoft continúa siendo el principal socio de nube de OpenAI.^[16]

El acuerdo trata de infraestructura y distribución empresarial. No acredita que Google Search haya incorporado modelos de OpenAI a sus resultados ni que contratar un proveedor mejore el posicionamiento de una web. Leer el nombre completo del producto evita unir titulares que únicamente comparten la palabra Google.

Como movimiento empresarial, tiene bastante gracia después de tantos debates sobre qué compañía va a quedarse con todo. Los proveedores pueden competir delante del usuario y llegar a acuerdos por debajo, donde se contratan los servicios. El cliente que paga una herramienta necesita conocer qué producto usa, qué datos entrega y bajo qué condiciones, aunque el logotipo de la pantalla permanezca igual. Las fidelidades tecnológicas resultan enternecedoras hasta que uno descubre que los protagonistas ya están preparando una factura conjunta.

PHP cierra octubre con dos vulnerabilidades críticas

El equipo de PHP publicó el 21 de octubre un aviso sobre dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El aviso abarca instalaciones que atienden peticiones web, entre ellas PHP-FPM, Apache, CGI, FrankenPHP y LiteSpeed; señala un riesgo especialmente alto en mod_php.^[17]

Los fallos pertenecen al intérprete. Actualizar un CMS o un complemento no sustituye el parche de PHP. Si el alojamiento gestiona esa parte, pediría confirmación del paquete corregido y de su aplicación al servicio que atiende la web. Algunos proveedores pueden distribuir parches propios: el número de versión, sin conocer el paquete instalado, no resuelve por sí solo la comprobación.

Cloudflare comunicó el mismo día protecciones de su cortafuegos, incluidas reglas para planes gratuitos, y observación de intentos de ataque. También insiste en aplicar el parche de PHP aunque exista esa protección adicional.^[18] Un cortafuegos puede reducir la exposición; la actualización corrige la vulnerabilidad del programa. La pegatina de «protegido» queda estupenda hasta que alguien pregunta qué se ha actualizado exactamente.

También hay una novedad de Joomla fechada el 13 de octubre: la versión 6.2 incorpora mejoras de edición, avisos de severidad para actualizaciones de extensiones y soporte genérico XOAuth2 para autenticar correo. Son cambios del CMS y tienen su propio alcance.^[19] Para actualizar una web con extensiones y plantillas, comprobaría compatibilidad en una copia y una recuperación que funcione antes de intervenir en producción. La publicación de una versión no acredita que la instalación concreta esté preparada.

En la guía de seguridad y recuperación de Joomla están las diferencias entre mantener, investigar una intrusión y recuperar una web. Este aviso de PHP añade una comprobación del alojamiento; por sí solo no demuestra que una página haya sido atacada.

El Radar vuelve y el servidor sigue teniendo cosas que decir

Estos meses dejan una combinación curiosa. Google intenta hacer más visibles los enlaces mientras amplía sus respuestas. Bing permite observar citas por temas. Los agentes reciben herramientas para actuar y los proveedores negocian cómo venderlas. En medio, PHP recuerda que toda esta actividad acaba ejecutándose sobre programas que también hay que mantener.

Para Local Rank 942, este Radar recupera el seguimiento de novedades después del parón. Las guías seguirán recogiendo los procedimientos y los estudios; aquí quedan los hitos de la pausa y las novedades de octubre, con sus fechas y el alcance que se ha confirmado. Ya bastante trabajo da seguir a las plataformas como para tener que fingir que cada una acaba de inventar Internet otra vez.

Me interesa ver qué parte de esos enlaces más visibles acaba trayendo consultas y qué operaciones con agentes llegan a funcionar fuera de las demostraciones. Mientras aparecen esos datos, el aviso de PHP puede resolverse con una conversación bastante menos futurista: «¿qué versión corregida está atendiendo mi web?». Para esta semana, me parece una buena forma de volver a encender el Radar.

Cambio y cierro. Nos vemos en la próxima conexión. Traed copia de seguridad.

Fuentes y anuncios originales

1. OpenAI: notas de ChatGPT, reservas de restaurantes del 10 de agosto de 2026.
2. OpenAI: expansión de ChatGPT Ads y acceso de autoservicio, 31 de agosto de 2026.
3. Google: despliegue del spam update del 18 al 21 de agosto de 2026.
4. Google: controles e informes de Search, anuncio de junio actualizado el 31 de agosto de 2026.
5. Google Search Central: informes de búsqueda multimodal, 24 de septiembre de 2026.
6. OpenAI: ficha de GPT-6 Astra, 3 de septiembre de 2026.
7. OpenAI: ficha de GPT-6.1 Sol, 29 de septiembre de 2026.
8. OpenAI: ficha de ChatGPT Images 2.5, 8 de septiembre de 2026.
9. Google: novedades de septiembre y disponibilidad de sus modelos, recopilación del 2 de octubre de 2026.
10. Cloudflare: controles de búsqueda, entrenamiento y agentes, 15 de septiembre de 2026.
11. Google: cambios en enlaces, fuentes y presentación de AI Mode y AI Overviews, 15 de octubre de 2026.
12. Microsoft Bing: Topics Portfolio, beta de AI Performance, 13 de octubre de 2026.
13. Cloudflare y OpenAI: resultados iniciales del piloto de descubrimiento, 15 de octubre de 2026.
14. Cloudflare: evaluación continuada de bots verificados, 16 de octubre de 2026.
15. Commerce.com y Cloudflare: herramientas WebMCP para tiendas, 21 de octubre de 2026.
16. OpenAI: acuerdo anunciado con Google Cloud y calendario previsto, 21 de octubre de 2026.
17. PHP: aviso de vulnerabilidades críticas y versiones corregidas, 21 de octubre de 2026.
18. Cloudflare: protecciones para las vulnerabilidades php2shell, 21 de octubre de 2026.
19. Joomla: anuncio de la versión 6.2, 13 de octubre de 2026.