Quelle part du trafic web est générée par des bots ?

On imagine le web comme un espace peuplé d'humains qui cliquent, lisent et achètent. La réalité est plus étrange : en 2024, pour la première fois depuis dix ans de mesures, le trafic automatisé a dépassé le trafic humain. Autrement dit, une requête sur deux qui arrive sur un site n'est plus envoyée par une personne, mais par un programme.

Ce chiffre mérite qu'on s'y arrête, parce qu'il change la façon de comprendre ce qui se passe derrière un simple affichage de page. Voici ce que disent les données récentes, d'où elles viennent, et pourquoi elles ne se lisent pas toutes de la même manière.

Tous les bots ne se valent pas

Un bot, c'est simplement un logiciel qui interagit avec un site sans intervention humaine directe. La catégorie recouvre le meilleur comme le pire.

D'un côté, les bons bots : le robot de Google qui indexe les pages pour la recherche, les moniteurs de disponibilité, les agrégateurs de prix légitimes, les outils qui vérifient les liens. Ils s'annoncent, respectent les règles publiées dans le fichier robots.txt et ne cherchent pas à se cacher.

De l'autre, les mauvais bots : ceux qui tentent de deviner des mots de passe, de racheter tout un stock de billets à la seconde, de copier un catalogue entier, ou de fausser des statistiques publicitaires. Ce sont eux qui inquiètent, et leur part ne cesse de croître.

La tendance est nette et régulière : cinq années consécutives de hausse. Imperva attribue une partie de cette accélération à l'intelligence artificielle générative, qui a rendu la création de bots simples accessible à beaucoup plus de monde. Les bots dits « basiques » regagnent du terrain, précisément parce qu'ils sont devenus faciles à écrire.

La vague des robots d'IA

Un phénomène récent bouscule les compteurs : les crawlers qui alimentent les modèles d'intelligence artificielle. Ils parcourent le web pour collecter du texte, soit pour l'entraînement, soit pour répondre en direct à une question posée dans un assistant.

Leur croissance est spectaculaire. La part de GPTBot, le robot d'OpenAI, a plus que doublé en un an dans le trafic de bots vérifiés mesuré par Cloudflare.

Ce qui interpelle, ce n'est pas seulement le volume, mais le déséquilibre. Cloudflare a publié un ratio parlant : le nombre de pages aspirées par un robot pour chaque visiteur qu'il renvoie ensuite vers le site. À l'été 2025, ce rapport atteignait des sommets pour certains assistants, de l'ordre de dizaines de milliers de pages crawlées pour un seul visiteur redirigé. L'éditeur nuance lui-même la mesure, car certaines applications ne transmettent pas l'information permettant de compter les visites entrantes, ce qui gonfle mécaniquement le ratio. La direction reste claire : les sites donnent beaucoup, et reçoivent peu en retour.

C'est ce déséquilibre qui a poussé Cloudflare, en juillet 2025, à bloquer par défaut les crawlers d'IA sur les sites qu'il protège, et à lancer un système où l'accès peut être monnayé. Un basculement d'un web ouvert par défaut vers un web qui demande la permission.

Certains secteurs prennent plus cher que d'autres

La moyenne cache de fortes disparités. Là où il y a de la valeur à extraire ou à détourner, les bots se concentrent.

• Le commerce en ligne : sur les sites de retail, la part de mauvais bots atteint 59 % du trafic selon Imperva. Surveillance des prix concurrents, rachat de stock, tests de cartes volées.
• Le voyage : environ un quart de toutes les attaques de bots visent ce secteur, friand de tarifs et de disponibilités en temps réel.
• Les API : 44 % du trafic de bots avancés cible directement les interfaces programmatiques, souvent moins bien protégées que les pages classiques.

Ce que ça coûte, concrètement

Derrière les pourcentages, il y a des factures. Les bots malveillants pèsent lourd sur l'économie en ligne.

Ajoutons quelques repères, en gardant en tête que certains chiffres viennent de communications d'entreprises et doivent se lire comme des déclarations :

• Une étude Netacea estime que les bots coûtent en moyenne 4,3 % du chiffre d'affaires en ligne des grandes entreprises.
• Sur les fournisseurs d'authentification unique, une tentative de connexion sur cinq relève du « credential stuffing », le rejeu massif d'identifiants volés (Verizon DBIR 2025).
• Côté billetterie et sneakers, les volumes annoncés donnent le vertige : plusieurs milliards de tentatives de bots bloquées chaque mois par les plus gros acteurs.

Une précaution avant de citer ces chiffres

Ce qu'il faut en retenir

Le web n'est plus majoritairement humain, et la part automatisée grandit d'année en année. Cette réalité a deux conséquences opposées. Pour ceux qui protègent un site, elle justifie des défenses de plus en plus fines. Pour ceux qui collectent de la donnée publique de façon légitime, elle explique pourquoi un simple script ne suffit plus : il évolue désormais dans un environnement pensé pour distinguer, à chaque requête, la machine de la personne. Comprendre cette frontière, c'est le sujet de nos autres articles.