AWS Builder Center: Learn, Build and Connect with builders in the AWS community

AWS Builder Center is the official home for builders on AWS. Share and read what others are working on, follow people who inspire you, explore training and workshops, and find tools to support what you're building.

¿Cómo puedo cobrar a los bots y agentes de IA por el acceso a mi contenido usando la monetización de tráfico de IA de AWS WAF?

8 minutos de lectura

Nivel de contenido: Avanzado

El 15 de junio de 2026, AWS WAF incorporó la monetización de tráfico de IA, una capacidad de Bot Control que permite a los proveedores de contenido y API cobrar a los bots y agentes de IA por el acceso a recursos protegidos directamente en el edge. En lugar de solo permitir o bloquear el tráfico de bots, ahora puede devolver una respuesta HTTP 402 Payment Required, verificar un pago en el edge y servir el contenido.

Descripción general

La monetización de tráfico de IA amplía AWS WAF Bot Control con un nuevo tipo de respuesta: en lugar de solo permitir o bloquear un bot, WAF puede cobrarle por el acceso. Cuando un bot o agente solicita un recurso protegido, WAF devuelve una respuesta HTTP 402 Payment Required, verifica el pago en el edge y sirve el contenido. El tráfico que de otro modo bloquearía se convierte en una fuente de ingresos.

Internamente, esto utiliza el protocolo x402, un estándar abierto para pagos de máquina a máquina (M2M). El intercambio completo es así:

Un bot o agente de IA solicita un recurso monetizado protegido por un Web ACL de AWS WAF en una distribución de Amazon CloudFront.
AWS WAF devuelve una respuesta HTTP 402 Payment Required con el precio, las redes de pago aceptadas y los términos de licencia.
El agente firma una autorización de pago y reenvía la solicitud con la prueba de pago.
AWS WAF verifica el pago en el edge, obtiene el contenido del origen y sirve la respuesta.
Un facilitador liquida el pago on-chain, y el proveedor recibe los pagos en stablecoins.

La función está disponible globalmente con Amazon CloudFront sin cargo adicional más allá del precio estándar de AWS WAF.

Enter image description here

Una breve historia de x402

La idea de cobrar cantidades ínfimas por piezas individuales de contenido, los micropagos, es casi tan antigua como la web. Cuando se definió HTTP, el código de estado 402 Payment Required se reservó exactamente para este propósito, y luego quedó sin usar durante décadas porque ningún riel de pago era lo suficientemente barato o rápido como para hacer práctico el cobro por solicitud. Los intentos anteriores, desde los esquemas de dinero digital hasta sistemas como GNU Taler, nunca alcanzaron una adopción amplia.

x402, desarrollado por Coinbase, revive ese código de estado 402 inactivo y lo convierte en un riel de pago programable. El detonante es el auge de los agentes de IA autónomos. Un agente puede razonar, navegar y actuar por su cuenta, pero los pagos tradicionales asumen que primero un humano configura una cuenta, una clave de API o una relación de facturación. x402 cierra esa brecha: el agente paga por solicitud, bajo demanda, sin registro previo.

Dónde está ahora: x402 es un estándar abierto y agnóstico de plataforma. Cualquier cliente o framework de agentes puede participar siempre que entienda la respuesta HTTP 402 (LangChain, CrewAI, AutoGen, Strands o un cliente HTTP simple). La gobernanza pasó a una Fundación x402 neutral respecto a proveedores, bajo la Linux Foundation, para estandarizar los pagos nativos de internet para agentes de IA.

Enter image description here

Primeros pasos con la monetización de tráfico de IA

Requisitos previos

Un protection pack (Web ACL) de AWS WAF asociado a una distribución de Amazon CloudFront.
Una dirección de wallet USDC (Base y/o Solana) para recibir los pagos.
AWS WAF Bot Control habilitado para clasificar el tráfico de bots de IA por identidad.

Paso 1: Habilitar AWS WAF Bot Control

Agregue el grupo de reglas administrado de Bot Control a su Web ACL para que AWS WAF pueda identificar y etiquetar el tráfico de bots. La inspección dirigida (targeted) expone las etiquetas más ricas (nombres específicos de crawlers y estado verificado/no verificado).

Paso 2: Configurar la monetización (MonetizationConfig)

En la consola de AWS WAF, configure los ajustes de pago en su protection pack: establezca CurrencyMode (TEST para validar primero, o REAL para producción), elija su(s) cadena(s), ingrese su dirección de wallet destinataria y defina el precio base por solicitud. La liquidación la proporciona el facilitador x402 de Coinbase Developer Platform.

Paso 3: Agregar una regla Monetize

Cree una regla con la acción Monetize y una sentencia de coincidencia que apunte al tráfico que desea cobrar. Por ejemplo, la etiqueta de Bot Control awswaf:managed:aws:bot-control:bot:category:ai, una ruta específica u otras características de la solicitud. Configure aquí los multiplicadores basados en derechos para diferenciar el precio según identidad o intención.

Paso 4: Enviar una solicitud de prueba y leer el reto 402

Con CurrencyMode: TEST, cualquier solicitud que coincida con su regla Monetize recibe un 402 con el manifiesto de precios x402. Puede verlo con un simple curl. Envíe un User-Agent de bot de IA y decodifique el encabezado payment-required:

URL="https://<su-distribucion>.cloudfront.net/<ruta-monetizada>"

# Crawler de IA -> HTTP 402 Payment Required
curl -si -A "GPTBot/1.2" "$URL" | head -1

# Decodificar el reto x402 (quite el CR antes de decodificar base64):
curl -si -A "GPTBot/1.2" "$URL" \
  | awk 'tolower($1)=="payment-required:"{print $2}' | tr -d '\r' \
  | python3 -c "import sys,base64,json;r=sys.stdin.read().strip();r+='='*(-len(r)%4);print(json.dumps(json.loads(base64.b64decode(r)),indent=2))"

El reto decodificado muestra exactamente lo que el agente debe pagar (esta es la salida real de un Web ACL en modo de prueba en Base Sepolia):

{
  "accepts": [{
    "amount": "1000",                                       // 0.001 USDC (6 decimales)
    "asset": "0x036CbD53842c5426634e7929541eC2318f3dCF7e",  // USDC en Base Sepolia
    "network": "eip155:84532",                              // 84532 = ID de cadena de Base Sepolia
    "payTo": "0x...su wallet destinataria...",
    "scheme": "exact"
  }],
  "error": "PAYMENT-SIGNATURE header is required",           // por qué es un 402
  "x402Version": 2
}

Un User-Agent de navegador normal no debería recibir un 402, ya que no está etiquetado como bot. Esta es una forma rápida de confirmar que su regla Monetize tiene el alcance correcto.

Paso 5: Completar el ciclo pago → 200 con un cliente x402

Un 402 es solo la mitad del flujo. Para confirmar el ciclo de extremo a extremo, use un cliente compatible con x402 que firme el pago y reenvíe la solicitud. Tiene dos opciones: el AWS Agent Toolkit (la skill amazon-bedrock mediante Bedrock AgentCore Payments), o un cliente mínimo construido sobre la librería open-source x402 más eth-account. El cliente obtiene el recurso, recibe el 402, firma una autorización EIP-3009 y reintenta con un encabezado PAYMENT-SIGNATURE. Si tiene éxito, WAF devuelve un 200 con el contenido y un encabezado PAYMENT-RESPONSE que contiene el hash de la transacción on-chain. Verifique ese hash en un explorador de bloques y confirme que el USDC llegó a su wallet.

Paso 6: Poner en producción y monitorear

Cuando esté conforme, actualice CurrencyMode a REAL y configure las redes de producción (BASE, SOLANA). Revise el panel de monitoreo de tráfico de IA y las métricas de ingresos para dar seguimiento a las ganancias.

Consejos de las pruebas prácticas

Dos cosas fáciles de pasar por alto, aprendidas al validar esto de extremo a extremo en modo de prueba:

La wallet pagadora debe ser distinta de la wallet destinataria. Si el agente firma un pago desde la misma dirección que configuró como payTo, el facilitador lo rechaza con self_send_not_allowed. Use una wallet separada para el agente que paga.
WAF liquida solo cuando el origen devuelve una respuesta exitosa. WAF verifica el pago antes de obtener el origen, pero la liquidación on-chain ocurre después de que el origen responde con éxito (2xx), por lo que no se mueven fondos si el origen da error. Si un pago válido termina en un no-2xx, el problema está del lado del origen, no del pago. Como la liquidación está ligada a una respuesta exitosa, los proveedores solo cobran por el contenido que realmente entregan.

Conclusión

La monetización de tráfico de IA de AWS WAF convierte el código de estado HTTP 402, largamente inactivo, en una opción práctica de ingresos para los proveedores de contenido y API que enfrentan crawlers y agentes de IA. En lugar de elegir solo entre permitir y bloquear, puede cobrar por solicitud en el edge de CloudFront. Bot Control clasifica y etiqueta el tráfico, una regla Monetize devuelve el reto de pago x402, y el pago se verifica y liquida en USDC a través del facilitador de Coinbase, todo sin escribir su propia lógica de edge. Comience en modo de prueba en Base Sepolia para validar los precios y el flujo de extremo a extremo con fondos de faucet, revise el panel de monitoreo de tráfico de IA para entender su tráfico de bots antes de fijar precios, y cambie CurrencyMode a REAL cuando esté listo para poner en producción.