Quelle part de mon trafic web est réellement composée de bots ?
Bien plus que ce qu'affiche votre outil d'analyse, parce que pour cette question précise l'analytics est le mauvais instrument. Une balise JavaScript ne compte que les visiteurs qui exécutent du JavaScript : les robots d'exploration et les scrapers simples n'y apparaissent donc jamais, tandis que ceux qui affichent réellement une page atterrissent dans Direct et se lisent comme des personnes. Les journaux du serveur ou du CDN comptent chaque requête, et c'est là que se trouve le vrai rapport : sur un échantillon de trois heures de nos propres journaux d'origine, environ trois quarts des requêtes venaient de clients hébergés en centre de données, avec un user agent falsifié ou vide. Mesurez-le une fois depuis les journaux avant de relire un graphique de trafic.
Votre balise d'analyse et votre journal serveur ne comptent pas la même chose
La question est difficile parce que les deux endroits où vous pourriez regarder divergent par construction, et qu'aucun des deux ne ment. Une balise de page se déclenche dans le navigateur une fois le JavaScript exécuté : elle compte donc des clients qui affichent, c'est-à-dire de vraies personnes, plus la minorité de bots qui pilotent un navigateur complet. Un journal serveur ou CDN enregistre chaque requête arrivée jusqu'à votre origine : il compte donc des récupérations, y compris celle du robot qui a pris votre sitemap et tiré quatre cents pages en une minute sans exécuter une seule ligne de votre code. Le même site peut honnêtement déclarer deux cents sessions dans l'analytics et douze mille requêtes en périphérie le même jour.
Le bon chiffre dépend de ce que vous décidez. Si vous voulez savoir si vos textes atteignent des humains, la balise est plus proche de la vérité et le journal vous flattera. Si vous voulez savoir pourquoi votre facture d'hébergement a bougé, pourquoi votre positionnement semble déconnecté de votre courbe de trafic, ou si le pic de mardi dernier était réel, le journal est le seul témoin. L'erreur n'est pas de mal choisir entre les deux : c'est de lire un chiffre sur l'instrument qui ne peut pas voir ce que vous êtes en train de demander.
- Visible seulement dans le journal — les robots simples. Robots des moteurs de recherche, robots d'IA, lecteurs de flux, sondes de disponibilité, scanners de sécurité et scrapers qui republient vos contenus récupèrent le HTML et s'arrêtent là. Aucun n'exécute votre balise d'analyse : pour votre tableau de bord, aucun n'existe.
- Visible seulement dans le journal — tout ce qui n'est pas une page. Images, polices, points d'API JSON, RSS, robots.txt, et chaque 404 que quelqu'un a sondée. C'est en général là qu'un schéma inhabituel se montre en premier, car un bot qui cherche une interface d'administration n'a aucune raison de se cacher parmi vos articles.
- Visible dans les deux, et faux dans les deux — les navigateurs sans interface. Un bot qui pilote un vrai navigateur exécute votre balise et arrive comme une session ordinaire, avec appareil, localisation et référent. Ce sont ceux-là qui déplacent vos moyennes en silence, parce qu'aucune ligne prise isolément n'a l'air anormale.
- Visible seulement dans l'analytics — ce qui s'est passé après le chargement. Faire défiler, cliquer, remplir un formulaire, s'inscrire. Un journal peut dire qu'une page a été servie ; il ne dira jamais si la visite valait quelque chose, et c'est pourquoi la réponse consiste à lire les deux plutôt qu'à changer de camp.
Les indices qu'une session n'est pas une personne
Vous n'obtiendrez presque jamais une ligne étiquetée bot. Vous obtenez un ensemble d'impossibilités qu'un visiteur humain n'aurait pas pu produire, et elles sont plus faciles à repérer qu'il n'y paraît : le trafic automatisé est mauvais pour être irrégulier à la manière des gens. Prenez un segment suspect et demandez-vous si un seul corps humain aurait pu le générer.
| Ce que vous voyez | Ce que c'est en général | Pourquoi cela ressemble à cela |
|---|---|---|
| Un visiteur enregistré en quelques secondes dans plusieurs villes et sur plusieurs appareils | Un seul client automatisé, découpé en sessions distinctes par un parc de proxys rotatifs | Les scrapers qui achètent des proxys résidentiels changent d'adresse IP à chaque requête, et l'analytics déduit la localisation et l'appareil de chacune indépendamment. |
| Un groupe de sessions sans ville ni région, toutes avec le même user agent | Un unique script qui n'a jamais fait varier son empreinte | De vrais navigateurs diffèrent entre eux ; un client HTTP par défaut envoie le même en-tête à chaque fois, et les bases de géolocalisation n'ont souvent rien d'utile sur les plages d'adresses des centres de données. |
| Une largeur de fenêtre qui ne change jamais, depuis une petite ville où vous n'avez jamais vendu | Un navigateur sans interface à sa taille de fenêtre par défaut, exécuté dans une région cloud | Chrome sans interface s'ouvre à une taille fixe sauf indication contraire, et les régions cloud tiennent dans une poignée de petites villes : la localisation est donc un fait d'hébergement, pas un fait d'audience. |
| Chaque page quittée en moins de deux secondes, visitée dans l'ordre de votre sitemap | Une exploration qui suit vos liens | C'est de la lecture, pas de la navigation. Aucun temps passé, aucun défilement, et la séquence suit votre maillage interne plutôt que la curiosité de quiconque. |
Ce que nous avons trouvé en auditant notre propre trafic
Cette partie vient de l'exploitation d'agentceres.com, pas de la documentation. Nous avons extrait trois heures de journaux d'origine bruts et compté 1 438 requêtes réparties sur 558 URL distinctes — soit 2,58 requêtes par URL — dont environ trois quarts provenaient de clients en centre de données au user agent falsifié ou vide. La forme comptait plus que la proportion : une longue traîne de pages récupérées deux ou trois fois chacune, c'est l'allure d'une exploration, et une audience ne ressemble en rien à cela. Cela avait aussi un prix visible, car il s'agissait surtout d'échecs de cache sur des pages que personne n'avait demandées, et ils apparaissaient en mémoire et en bande passante sur la facture d'hébergement plutôt qu'en lecteurs.
Un second audit, portant cette fois sur notre analytics et non sur les journaux, a mis au jour deux distorsions, dont une seule tenait aux bots. Notre propre équipe naviguant dans la console interne d'exploitation représentait environ 35 % de toutes les pages vues du site : nous étions de loin notre plus grande audience, et personne ne l'avait remarqué parce que des pages internes ressemblent à des pages. Ensuite, à l'intérieur du trafic classé en Direct, près de la moitié n'a pas survécu à l'inspection : un visiteur enregistré dans quatre villes et sur quatre appareils en 1,7 seconde, un groupe de sessions au champ ville vide partageant un unique user agent, et une fenêtre de 800 pixels de large signalée depuis une petite ville de l'Oregon plus connue pour héberger un grand centre de données que pour acheter des logiciels. Sur cinq sources de référence listées cette semaine-là, exactement une était une vraie référence.
La correction n'a pas changé ce que nous devions faire ensuite ; elle a changé ce que nous croyions déjà savoir, ce qui est pire. Deux gestes ont réglé l'essentiel, et aucun n'a rien coûté. Excluez d'abord votre propre équipe, car c'est l'erreur la plus grande et la plus simple à retirer. Cessez ensuite de traiter Direct comme un canal et traitez-le comme un bac de visites que vous n'avez pas encore identifiées : une partie est automatisée, et une bonne part du reste relève du dark social, c'est-à-dire du vrai bouche-à-oreille qui arrive sans référent. Les deux vivent sur la même ligne du même rapport, et les séparer constitue tout le travail.
FAQ
- Le trafic de bots est-il mauvais pour le référencement ?
- La plupart du temps non. Les robots des moteurs de recherche sont des bots et vous les voulez ; être exploré est la seule façon d'être indexé. Ce qui peut nuire, c'est le volume sans valeur : un très grand site où les robots passent leur temps sur des URL à paramètres, des doublons et des impasses au lieu de vos vraies pages, c'est-à-dire le problème du budget d'exploration. Pour un petit site, le trafic de bots est un coût et un problème de mesure bien avant d'être un problème de classement.
- Google Analytics ne filtre-t-il pas les bots automatiquement ?
- Il filtre les bots et robots connus à partir d'une liste publiée, et cette liste est par définition composée de clients qui s'identifient honnêtement. Tout ce qui envoie un user agent de navigateur ordinaire depuis un serveur cloud n'y figure pas et n'y figurera jamais, faute de quoi que ce soit à faire correspondre. Le filtrage automatique retire la moitié polie du problème.
- Faut-il bloquer les robots d'IA ?
- C'est une décision de stratégie, pas d'hygiène, et elle mérite d'être prise délibérément plutôt que par défaut. Bloquer réduit la charge et empêche vos textes d'alimenter un modèle ; cela vous retire aussi des systèmes qui répondent de plus en plus aux questions que posent vos clients. Les arbitrages, et quel réglage gouverne quel comportement, se trouvent dans ce qu'est un robot d'IA.
- Pourquoi mon trafic Direct est-il soudain si élevé ?
- Direct n'est pas une source, c'est l'absence de source : il grossit donc pour deux raisons sans rapport entre elles. Les clients automatisés arrivent sans référent, et de vraies personnes cliquant sur un lien dans un message, un logiciel de messagerie ou une communauté privée aussi. Si Direct monte, découpez-le avant de vous en réjouir ou de l'écarter : la moitié qui est une bonne nouvelle est traitée dans dark social.
- Cela veut-il dire que mes chiffres de trafic sont faux ?
- Non. Cela veut dire que l'un de vos chiffres répond à une autre question que celle que vous lui posez. Les sessions issues d'une balise JavaScript restent une approximation correcte des humains qui lisent vos pages ; les requêtes d'un journal restent la vérité sur la charge et l'exploration. Les ennuis ne commencent que lorsqu'un chiffre de l'un sert à une décision qui appartient à l'autre, ce qui est aussi l'argument de comment mesurer si mon marketing fonctionne.
Want this done for you?
AgentCeres is a managed AI marketing team — specialists draft the work, you approve what ships. 14-day free trial, from $39/month.