Il 53% del traffico web nel 2025 non era una persona

Imperva, società del gruppo Thales, pubblica ogni anno un conteggio di ciò che attraversa davvero la sua rete. L'edizione 2026, relativa al 2025, riporta che "automated traffic continues to outpace human activity online, accounting for more than 53% of all web traffic in 2025, up from 51% the year before", mentre "human activity has declined to just 47% and continues to fall". (Imperva, 2026 Bad Bot Report: Bad Bots in the Agentic Age, aprile 2026)

È il secondo anno consecutivo in cui le macchine superano le persone sul web aperto. Vale la pena essere precisi su cosa dice e cosa non dice questo dato, perché per chi gestisce un sito la parte utile non è il titolo.

Cosa conta come bot

In questo conteggio "bot" significa qualsiasi richiesta automatizzata, non solo quelle malevole. Comprende almeno quattro popolazioni diverse, che visitano per motivi diversi.

I crawler dei motori di ricerca indicizzano le tue pagine perché le persone possano trovarle. I crawler AI scaricano le pagine per rispondere a domande o per addestrare modelli: è il motivo per cui un negozio che non ha mai visto un referral da AI può comunque essere scansionato centinaia di volte al mese. Gli scraper copiano prezzi, disponibilità e contenuti per concorrenti, aggregatori e rivenditori. E c'è un gruppo più recente, gli agenti, che navigano per conto di una persona che ha fatto una domanda, cliccando e leggendo in tempo reale.

La chiave di lettura scelta da Imperva per questa edizione è proprio l'arrivo di quest'ultimo gruppo: il sottotitolo del report è "Bad Bots in the Agentic Age". Nel riepilogo pubblico l'azienda non pubblica una separazione netta tra bot buoni e bot cattivi, quindi l'affermazione onesta è quella scritta sulla card: il 53% del traffico era automatizzato, di ogni tipo, e il 47% era umano.

Perché i tuoi analytics non lo mostrano

Apri Google Analytics su un negozio normale e non vedrai nulla di simile a una quota macchine del 53%. Non è una contraddizione, è una differenza di misurazione, e capirla conta.

Gli strumenti di analytics che girano nel browser contano solo i visitatori che eseguono JavaScript. La maggior parte dei crawler non lo fa. Richiedono l'HTML, lo leggono e se ne vanno: non attivano mai lo script di tracciamento e non compaiono mai nei tuoi report. Le piattaforme di analytics, inoltre, filtrano di proposito i bot noti in base allo user agent, perché i report servono a descrivere i clienti.

Imperva conta a un livello diverso. Sta davanti al sito come servizio di rete e vede ogni richiesta, con o senza script. Quindi i due numeri misurano cose diverse: i tuoi analytics misurano le persone che hanno visualizzato una pagina, Imperva misura le richieste arrivate. Entrambi sono corretti.

La conseguenza pratica è che l'unico posto in cui puoi vedere questo traffico sono i log del tuo server o la dashboard della tua CDN. Se non ci hai mai guardato, non hai mai visto la maggior parte di ciò che legge il tuo sito.

Cosa significa quando la maggior parte dei lettori sono macchine

Per un negozio o un'azienda di servizi ne derivano tre cose.

La tua scheda prodotto ha due pubblici con esigenze diverse. Una persona guarda una foto, un prezzo e un punteggio delle recensioni. Un crawler legge il testo e i dati strutturati e ignora completamente la foto. Una pagina che a un umano sembra completa può essere quasi vuota per una macchina se le specifiche stanno in un'immagine, il prezzo viene disegnato da uno script dopo il caricamento o le condizioni di consegna sono in un PDF. Oggi entrambi i pubblici sono numerosi, e solo uno dei due può farti una domanda.

È la lettura da parte delle macchine che alimenta le risposte delle AI. Quando qualcuno chiede a un assistente AI dove comprare un prodotto, l'assistente risponde partendo da pagine che sono state scaricate e lette, dal suo crawler o dal vivo durante la ricerca. Essere assenti da quel prelievo è il motivo più comune per cui un'azienda manca nella risposta, ed è invisibile negli analytics perché quella visita non è mai comparsa.

Parte del traffico lavora contro di te. Il report esiste proprio perché buona parte di questa automazione è ostile: scraper che prendono i prezzi per fare offerte più basse, credential stuffing, accaparramento di scorte. Bloccare in modo indiscriminato è la risposta sbagliata, perché a livello di rete i crawler che alimentano ricerca e risposte AI assomigliano molto a quelli che ti portano via i prezzi. La decisione riguarda quali agenti far entrare, non se avere un cancello.

Cosa controllare

Tre controlli, ognuno di mezz'ora o meno.

Guarda i log del tuo server o della tua CDN per una settimana e conta le richieste per user agent. Cerca i crawler AI noti, se hanno ricevuto un 200 o un 403 e quali pagine hanno chiesto. Un numero sorprendente di siti li blocca per sbaglio, a causa di un'impostazione di sicurezza che nessuno ricorda di aver attivato.

Apri la tua scheda prodotto più venduta con JavaScript disabilitato, oppure scaricala con una semplice richiesta HTTP. Quello che resta è più o meno ciò che vede un crawler. Se mancano il prezzo e le specifiche principali, quello è il tuo problema.

Poi verifica se il tuo robots.txt dice davvero quello che pensi. È l'unico file che decide quali di queste popolazioni possono leggerti, e di solito viene scritto una volta e mai più riletto.

La domanda sulla card era: quand'è stata l'ultima volta che i tuoi analytics hanno mostrato più persone che bot, e te ne accorgeresti? Per quasi tutti i siti la risposta onesta è che gli analytics non potevano dirtelo in nessun caso.