Ce pic de trafic vient-il de vrais visiteurs ou de robots ?

Votre outil de statistiques affiche un pic de visites. Succès d’une campagne, ou attaque ? Plusieurs clients nous ont posé la question ainsi : « ça vient d’une IA ou de robots, et dans quel but ? » Notre réponse tient en une règle : on ne bloque pas un pic, on le lit d’abord.

Environ la moitié. Deux mesures indépendantes, publiées par deux acteurs qui observent une grande partie du web, arrivent au même ordre de grandeur. Un visiteur sur deux n’est pas un humain, et ce n’est pas une anomalie : c’est l’état normal du web.

Les deux mesures ne comptent pas la même chose, mais elles se rejoignent :

• Imperva (Bad Bot Report 2026, publié en mai 2026, sur l’année 2025) : le trafic automatisé dépasse 53 % du trafic web.
• Cloudflare (Radar 2025 Year in Review) : au 2 décembre 2025, les humains produisaient 47 % des demandes de pages, les robots classiques 44 %.

Et les robots d’intelligence artificielle ? Ils pèsent moins qu’on ne le croit. Selon Cloudflare, ils ont produit en moyenne 4,2 % des demandes de pages en 2025, soit un peu moins que le seul robot de Google (4,5 %). Quand un pic arrive, l’IA est rarement le premier suspect.

Un pic de robots se reconnaît à son comportement, pas à son volume. Un vrai succès laisse des traces ailleurs : des demandes de devis, des appels, des ventes. Un pic de robots gonfle les chiffres et ne laisse rien derrière lui.

Dans votre outil de statistiques, cinq signes doivent vous alerter :

• Une seule page vue par visite, et presque aucune interaction (clic, défilement, formulaire).
• Une source « directe » pour la quasi-totalité des visites, sans lien avec une campagne, une newsletter ou un passage dans la presse.
• Un profil identique : même navigateur, même système, même taille d’écran, visite après visite.
• Une cadence plate, aussi forte à 4 h du matin qu’à 15 h.
• Un pays sans rapport avec votre clientèle.

Un piège de plus : votre outil de statistiques ne voit pas tout. Google Analytics exclut d’office les robots connus : ce filtre ne se désactive pas, et le volume écarté reste inconnu. Les robots qui n’exécutent pas son code de mesure lui échappent aussi. Un site peut donc ralentir sous l’effet d’un robot que vos statistiques n’affichent jamais. Seul le journal du serveur, le bilan sanguin du site, enregistre chaque demande.

Deux cas lus sur un site qu’on maintient, anonymisés. Le premier se voyait dans les statistiques, le second non. Dans les deux, la piste évidente était fausse.

Premier cas : un pic venu de Singapour

Les statistiques du client affichaient une montée soudaine de visites depuis Singapour. Il nous a demandé d’où venait ce trafic.

Les examens, dans l’ordre :

• Dans l’outil de statistiques : 98 % des visites en accès direct, moins de 2 % de visites engagées, une page par visite, un seul profil de navigateur et d’écran, une cadence plate jour et nuit. Aucune visite issue d’une publicité.
• Dans le journal du serveur : des centaines d’adresses différentes, chacune à l’origine d’une à neuf demandes seulement. Toutes appartenaient à de grands hébergeurs informatiques asiatiques.

Le diagnostic : un réseau de robots qui pilotent un vrai navigateur, assez complet pour être compté comme un visiteur. Dispersées sur des centaines d’adresses, ses visites restent sous les seuils qui repèrent une adresse trop insistante.

Le piège évité : l’adresse la plus active de toute la période n’était pas un robot. C’était le bureau du client, ses propres équipes au travail. Bloquer « l’adresse qui frappe le plus » l’aurait coupé de son propre site.

Le traitement : les visiteurs des pays concernés passent désormais une vérification invisible pour un humain. Les moteurs de recherche reconnus et les personnes connectées au site passent sans contrôle. Moins d’une heure plus tard, les adresses des hébergeurs asiatiques ne parvenaient plus au site, et le passage des robots utiles n’avait pas baissé.

Second cas : un robot qui faisait 74 % des demandes

Autre symptôme sur le même site : des ralentissements par moments. Rien d’anormal dans les statistiques.

Le journal du serveur racontait une autre histoire. Sur la journée du pic, un seul robot avait envoyé 74 % des demandes reçues par le site. C’était YaComBot, le robot d’achat du moteur de recherche russe Yandex. Il demandait en boucle des adresses de catégories qui n’existent pas, avec des suffixes aléatoires. Chacune obligeait le site à fabriquer une page complète.

Avant de bloquer, une vérification : le client recevait-il des demandes de devis de Russie ? Aucune sur les douze derniers mois. Bloquer ce robot ne coûtait donc rien. Il est bloqué, et le site sert toujours normalement les navigateurs et le robot de Google.

Avec quatre questions, dans cet ordre. Les deux premières se posent dans vos propres outils, sans compétence technique. Les deux dernières demandent l’accès au serveur : c’est le travail de votre prestataire.

1. Le pic se voit-il dans votre activité ? Comparez avec vos demandes de devis, vos appels, vos commandes de la même période. Un vrai succès se retrouve dans le chiffre d’affaires ; un pic de robots, nulle part.
2. D’où vient-il, et pourquoi de là ? Pays, source, page d’arrivée. Une newsletter, une publicité ou un article de presse expliquent un pic. Une source « directe » venue d’un pays où vous n’avez aucun client, non.
3. Qui frappe à la porte, côté serveur ? Combien d’adresses, combien de demandes chacune, quels hébergeurs, quel nom de robot déclaré. Et surtout : retirer de la liste vos propres adresses, celles de votre bureau, de vos prestataires, de vos outils de surveillance.
4. Que coûterait le blocage ? Avant de fermer la porte à un pays ou à un robot, vérifiez qu’il ne vous apporte rien : aucun client, aucun devis, aucune visibilité dans un moteur de recherche utile.

Notre avis : un blocage décidé à chaud coûte souvent plus cher que le pic lui-même. Bloquer un pays entier peut couper un client à l’étranger. Bloquer tous les robots coupe aussi Google. Bloquer l’adresse la plus active peut couper votre propre bureau. Le pic peut attendre une heure de lecture ; un site coupé de Google, lui, met du temps à retrouver sa place.

Quand le pic ne se contente plus de gonfler les chiffres : site lent, pages en erreur, formulaires qui n’aboutissent plus. Là, la lecture se fait en même temps que les premiers soins, et elle reste indispensable : elle dit quoi bloquer sans toucher vos visiteurs.

Si le site ne répond plus du tout, ne cherchez pas seul la cause. Prévenez votre prestataire ou votre hébergeur, avec trois informations : l’heure à laquelle le problème a commencé, ce que vous voyez à l’écran, et ce qui a changé récemment (campagne, mise à jour, nouvelle extension).

Sources : Imperva (Thales), annonce du Bad Bot Report 2026 (nouvel onglet), 5 mai 2026, données de l’année 2025 ; Cloudflare, Radar 2025 Year in Review (nouvel onglet), données du 1er janvier au 2 décembre 2025 ; Google, Exclusion du trafic généré par des robots connus (nouvel onglet), aide Google Analytics. Cas lus sur un site qu’on maintient, anonymisés.