53 % du trafic web en 2025 n'était pas humain

Imperva, une entreprise du groupe Thales, publie chaque année un décompte de ce qui traverse réellement son réseau. L'édition 2026, qui porte sur 2025, indique que « le trafic automatisé continue de dépasser l'activité humaine en ligne, avec plus de 53 % de l'ensemble du trafic web en 2025, contre 51 % l'année précédente », tandis que « l'activité humaine est descendue à seulement 47 % et continue de baisser ». (Imperva, 2026 Bad Bot Report: Bad Bots in the Agentic Age, avril 2026)

C'est la deuxième année consécutive où les machines sont plus nombreuses que les personnes sur le web ouvert. Il vaut la peine d'être précis sur ce que dit ce chiffre, et sur ce qu'il ne dit pas, parce que l'intérêt pour un propriétaire de site n'est pas dans le titre.

Ce qui compte comme bot

Dans ce décompte, « bot » désigne toute requête automatisée, pas seulement une requête malveillante. Cela couvre au moins quatre populations différentes, qui viennent pour des raisons différentes.

Les crawlers de recherche indexent vos pages pour qu'on puisse les trouver. Les crawlers d'IA récupèrent des pages pour répondre à des questions ou entraîner des modèles, ce qui explique qu'une boutique n'ayant jamais vu la moindre visite venue d'une IA puisse malgré tout être crawlée des centaines de fois par mois. Les scrapers copient les prix, les niveaux de stock et les contenus pour des concurrents, des agrégateurs et des revendeurs. Et un groupe plus récent, les agents, naviguent pour le compte d'une personne qui a posé une question, en cliquant et en lisant en temps réel.

Le cadrage retenu par Imperva pour cette édition, c'est justement l'arrivée de ce dernier groupe : le rapport est sous-titré « Bad Bots in the Agentic Age ». L'entreprise ne publie pas de répartition nette entre bons et mauvais bots dans son résumé public, donc l'énoncé honnête est celui de la carte : 53 % du trafic était automatisé, toutes catégories confondues, et 47 % était humain.

Pourquoi vos analytics ne montrent pas ça

Ouvrez Google Analytics sur une boutique normale et vous ne verrez rien qui ressemble à 53 % de machines. Ce n'est pas une contradiction, c'est une différence de mesure, et il est important de la comprendre.

Les outils d'analytics qui tournent dans le navigateur ne comptent que les visiteurs qui exécutent du JavaScript. La plupart des crawlers ne le font pas. Ils demandent le HTML, le lisent et repartent : ils ne déclenchent jamais le script de suivi et n'apparaissent jamais dans vos rapports. Les plateformes d'analytics filtrent aussi volontairement les bots connus via le user agent, parce que ces rapports existent pour décrire des clients.

Imperva compte à un autre niveau. L'entreprise se place devant le site, comme service réseau, et voit chaque requête, script ou pas. Les deux chiffres mesurent donc des choses différentes : vos analytics mesurent des personnes qui ont affiché une page, Imperva mesure des requêtes qui sont arrivées. Les deux sont justes.

Conséquence pratique : le seul endroit où vous pouvez voir ce trafic, ce sont vos logs serveur ou le tableau de bord de votre CDN. Si vous n'y avez jamais regardé, vous n'avez jamais vu la majorité de ce qui lit votre site.

Ce que ça change quand la majorité des lecteurs sont des machines

Pour une boutique ou une entreprise de services, trois choses en découlent.

Votre fiche produit a deux publics avec des besoins différents. Une personne balaie une photo, un prix et une note d'avis. Un crawler lit le texte et les données structurées, et ignore complètement la photo. Une page qui paraît complète à un humain peut être presque vide pour une machine si les caractéristiques sont dans une image, si le prix est affiché par un script après le chargement, ou si les conditions de livraison sont dans un PDF. Les deux publics sont désormais importants, et un seul des deux peut vous poser une question.

C'est la lecture par les machines qui alimente les réponses des IA. Quand quelqu'un demande à un assistant IA où acheter un produit, l'assistant répond à partir de pages qui ont été récupérées et lues, soit par son propre crawler, soit en direct pendant la recherche. Être absent de cette récupération est la raison la plus fréquente pour laquelle une entreprise manque à l'appel dans la réponse, et c'est invisible dans les analytics parce que la visite n'y est jamais apparue.

Une partie de ce trafic joue contre vous. Si ce rapport existe, c'est parce qu'une grande partie de cette automatisation est hostile : des scrapers qui relèvent les prix pour passer en dessous, du credential stuffing, de l'accaparement de stock. Bloquer sans discernement est la mauvaise réponse, car les crawlers qui alimentent la recherche et les réponses des IA ressemblent beaucoup, au niveau réseau, à ceux qui prennent vos prix. La question est de savoir quels agents laisser entrer, pas s'il faut une porte.

Ce qu'il faut vérifier

Trois vérifications, une demi-heure au maximum chacune.

Regardez vos logs serveur ou CDN sur une semaine et comptez les requêtes par user agent. Vous cherchez les crawlers d'IA identifiés, s'ils ont reçu un 200 ou un 403, et quelles pages ils ont demandées. Un nombre surprenant de sites les bloquent par accident, via un réglage de sécurité que plus personne ne se souvient d'avoir activé.

Ouvrez votre fiche produit la plus vendue avec le JavaScript désactivé, ou récupérez-la avec une simple requête HTTP. Ce qui subsiste correspond à peu près à ce que voit un crawler. Si le prix et les caractéristiques clés manquent, voilà votre trou.

Vérifiez ensuite si votre robots.txt dit bien ce que vous croyez. C'est le seul fichier qui décide laquelle de ces populations a le droit de vous lire, et il est en général écrit une fois puis jamais relu.

La question posée sur la carte était : à quand remonte la dernière fois où vos analytics ont montré plus de personnes que de bots, et le sauriez-vous ? Pour presque tous les sites, la réponse honnête est que les analytics ne peuvent pas vous le dire, dans un sens ou dans l'autre.