53 % do tráfego web em 2025 não era uma pessoa

A Imperva, empresa do grupo Thales, publica todos os anos uma contagem do que realmente atravessa a sua rede. A edição de 2026, relativa a 2025, indica que "o tráfego automatizado continua a superar a atividade humana online, representando mais de 53 % de todo o tráfego web em 2025, acima dos 51 % do ano anterior", enquanto "a atividade humana desceu para apenas 47 % e continua a cair". (Imperva, 2026 Bad Bot Report: Bad Bots in the Agentic Age, abril de 2026)

É o segundo ano consecutivo em que as máquinas superam as pessoas na web aberta. Vale a pena ser preciso sobre o que o número diz e não diz, porque a parte útil para quem tem um site não é o título.

O que conta como bot

"Bot", nesta contagem, significa qualquer pedido automatizado, não apenas um pedido malicioso. Abrange pelo menos quatro populações diferentes, e cada uma visita por razões diferentes.

Os crawlers de motores de busca indexam as suas páginas para que as pessoas as encontrem. Os crawlers de IA vão buscar páginas para responder a perguntas ou para treinar modelos, e é por isso que uma loja que nunca viu uma referência de IA pode ainda assim ser rastreada centenas de vezes por mês. Os scrapers copiam preços, níveis de stock e conteúdo para concorrentes, agregadores e revendedores. E um grupo mais recente, os agentes, navega em nome de uma pessoa que fez uma pergunta, clicando e lendo em tempo real.

O enquadramento da própria Imperva para esta edição é a chegada deste último grupo: o relatório tem como subtítulo "Bad Bots in the Agentic Age". A empresa não publica no resumo público uma separação clara entre bots bons e bots maus, por isso a afirmação honesta é a que está no cartão: 53 % do tráfego foi automatizado, de todos os tipos, e 47 % foi humano.

Porque é que as suas analytics não mostram isto

Abra o Google Analytics numa loja normal e não verá nada parecido com uma fatia de 53 % de máquinas. Não é uma contradição, é uma diferença de medição, e compreendê-la importa.

As ferramentas de analytics que correm no browser só contam visitantes que executam JavaScript. A maioria dos crawlers não executa. Pedem o HTML, leem-no e vão-se embora, por isso nunca acionam o script de tracking e nunca aparecem nos seus relatórios. As plataformas de analytics também filtram propositadamente bots conhecidos pelo user agent, porque os relatórios existem para descrever clientes.

A Imperva conta noutra camada. Está à frente do site como serviço de rede e vê todos os pedidos, com script ou sem script. Portanto os dois números medem coisas diferentes: as suas analytics medem pessoas que renderizaram uma página, a Imperva mede pedidos que chegaram. Ambos estão corretos.

A consequência prática é que o único lugar onde consegue ver este tráfego são os logs do seu servidor ou o painel da sua CDN. Se nunca lá olhou, nunca viu a maior parte do que lê o seu site.

O que significa quando a maioria dos leitores são máquinas

Para uma loja ou um negócio de serviços, seguem-se três coisas.

A sua página de produto tem dois públicos com necessidades diferentes. Uma pessoa passa os olhos por uma foto, um preço e uma avaliação. Um crawler lê o texto e os dados estruturados e ignora a foto por completo. Uma página que parece completa a um humano pode estar quase vazia para uma máquina se as especificações estiverem numa imagem, se o preço for escrito por um script depois do carregamento ou se as condições de entrega estiverem num PDF. Ambos os públicos são agora grandes, e só um deles lhe pode fazer uma pergunta.

É a leitura por máquinas que alimenta as respostas de IA. Quando alguém pergunta a um assistente de IA onde comprar um produto, o assistente responde a partir de páginas que foram buscadas e lidas, pelo seu próprio crawler ou ao vivo durante a pesquisa. Estar ausente dessa recolha é a razão mais comum para uma empresa faltar na resposta, e é invisível nas analytics porque a visita nunca lá apareceu.

Parte do tráfego trabalha contra si. O relatório existe precisamente porque muita desta automação é hostil: scrapers que recolhem preços para os baterem, credential stuffing, açambarcamento de stock. Bloquear indiscriminadamente é a resposta errada, porque os crawlers que alimentam a pesquisa e as respostas de IA parecem, ao nível da rede, muito semelhantes aos que lhe levam os preços. A decisão é quais os agentes a deixar entrar, não se deve ou não haver um portão.

O que verificar

Três verificações, cada uma em meia hora ou menos.

Veja os logs do seu servidor ou da sua CDN durante uma semana e conte os pedidos por user agent. Procure os crawlers de IA identificados, se receberam um 200 ou um 403, e que páginas pediram. Um número surpreendente de sites bloqueia-os por acidente, através de uma configuração de segurança que ninguém se lembra de ter ativado.

Abra a sua página de produto mais vendida com o JavaScript desativado, ou vá buscá-la com um pedido HTTP simples. O que sobreviver é aproximadamente o que um crawler vê. Se o preço e as especificações principais faltarem, é aí que está a sua falha.

Depois verifique se o seu robots.txt diz o que acha que diz. É o único ficheiro que decide qual destas populações tem sequer autorização para o ler, e normalmente é escrito uma vez e nunca mais lido.

A pergunta no cartão era: quando foi a última vez que as suas analytics mostraram mais pessoas do que bots, e daria por isso? Para quase todos os sites, a resposta honesta é que as analytics não lho poderiam dizer, num sentido ou no outro.