En bref :
Les bots représentent désormais 49 % de l’ensemble du trafic, soit presque autant que les humains (51 %)
99 % du trafic des bots est indésirable, y compris les scrapers, les usurpateurs, les hackers automatisés et l’automatisation générique
Seuls 1 % des bots sont vérifiés/souhaités, l’IA représentant un sous-ensemble réduit, mais à fort impact
Le trafic des bots est propre à chaque entreprise, secteur et région, le JAPAC a enregistré le moins d’humains, le plus de bots indésirables et le moins de bots recherchés, tandis que le LATAM a observé l’inverse
En résumé : les bots ne font pas seulement partie de votre trafic ; ils façonnent la manière dont votre contenu est consulté, exploité et exposé, et leur présence a des répercussions différentes pour chaque entreprise.
----
L’IA ne change pas seulement la façon dont les gens utilisent Internet — elle change la façon dont Internet vous utilise vous.
En coulisses, les bots sont désormais responsables de près de la moitié de l’ensemble du trafic sur les applications et les API. Mais la véritable histoire ne se résume pas au volume ; il s’agit de savoir où vont les bots, à quoi ils accèdent, et du peu de visibilité dont disposent la plupart des entreprises à ce sujet.
Dans notre dernier Threat Insights Report, nous avons analysé des milliers de milliards de requêtes sur le réseau de Fastly afin de comprendre comment les bots interagissent avec le contenu en cache et le contenu d’origine. Ce que nous avons découvert remet en question certaines hypothèses de longue date sur les performances, les coûts et le contrôle, et souligne pourquoi votre stratégie relative aux bots pourrait nécessiter une sérieuse réévaluation.
Près de la moitié de votre trafic n’est pas humain, et la majeure partie n’est pas vérifiable
En janvier 2026, les bots représentaient 49 % de l’ensemble des requêtes, égalant presque le trafic humain, à 51 %. Cela seul n’est pas surprenant, mais voici ce qui l’était : 99 % de ce trafic de bots est indésirable ou invérifiable.
Il ne s’agit pas de robots d’indexation inoffensifs, mais de bots qui :
Usurpent l’identité de services légitimes
Scraping de renseignements concurrentiels
Sondent les vulnérabilités
Automatisation d’attaques comme le piratage de compte (ATO)
Et comme beaucoup d’entre eux tentent de se faire passer pour des bots vérifiés, les entreprises prennent souvent des décisions de politique sur la base de mauvaises données. Si vous pensez autoriser « ChatGPT » en vous basant, par exemple, uniquement sur leur agent utilisateur déclaré, il y a de fortes chances que vous autorisiez aussi des bots qui se font passer pour lui.
C’est là que la plupart des stratégies liées aux bots échouent. Elles s’arrêtent à « est-ce un bot ? », alors que la vraie question est : que fait ce bot — et doit-il être autorisé à le faire ?
Votre contenu le plus précieux est plus exposé que vous ne le pensez
Le contenu du cache a généralement été considéré comme présentant peu de risques. Il est plus rapide, moins coûteux à livrer et souvent négligé du point de vue de la sécurité. Mais près de la moitié des requêtes vers le contenu du cache (47 %) proviennent de bots. Cela soulève une question importante : qui accède à votre contenu le plus visible et le plus précieux, et pourquoi.
Pour de nombreuses entreprises, la réponse n’est pas claire. Une partie de cette activité peut être attendue. Une partie peut être stratégique. Mais sans visibilité plus approfondie, il est difficile de déterminer :
Quels bots créent de la valeur
Qui créent des risques
Et lesquels devraient être autorisés, tout simplement
Les bots augmentent discrètement les coûts d’infrastructure
Lorsque les bots vont au-delà du cache, l’impact passe de la visibilité au coût. Ces requêtes atteignent directement votre infrastructure, contournent le cache, augmentent les frais de sortie de données et ajoutent de la charge là où cela compte le plus.
Tout ce trafic n’est pas malveillant, mais une grande partie l’est : à faible valeur, redondant et (potentiellement !) entièrement inutile.
Sans comprendre l’intention derrière ces requêtes, les entreprises se retrouvent à absorber le coût sans comprendre le compromis. Le rapport a révélé que 60 % de l’ensemble du trafic d’origine provient de bots, obligeant les entreprises à comprendre ce à quoi il est accédé et la valeur tirée de son autorisation.
Bots d’IA : une petite part, un impact démesuré
Partout où vous regardez, elle est là, l’IA. Nous manquerions donc à notre devoir si nous ne lui accordions pas l’attention qu’elle mérite. Mais nos données ont mis au jour quelques nuances dans la conversation (omniprésente) sur l’IA.
Seuls 1 % des bots sont vérifiés ou « recherchés », et l’IA représente un sous-ensemble de ce trafic. Pourtant, leur influence est disproportionnée.
Les bots d’IA ne se contentent pas d’accéder au contenu — ils remodèlent la façon dont il est mis en avant, résumé et consommé. Dans certains cas, ils peuvent même dissocier complètement le contenu de sa source d’origine. Une tendance que nous mettons en évidence dans le rapport : 57 % des requêtes des fetchers d’IA ciblent du contenu non mis en cache, souvent lié à des requêtes en temps réel ou très spécifiques.
Ce que cela signifie : la stratégie liée aux bots est désormais une stratégie d’entreprise
Auparavant, Bot Management restait en arrière-plan, comme une préoccupation de sécurité ou d’infrastructure. Ce modèle ne tient plus.
Lorsque les bots représentent la moitié de votre trafic, génèrent la majorité de la charge sur l’origine et déterminent la manière dont votre contenu est mis en avant dans les systèmes d’IA, ils cessent d’être un cas limite technique pour devenir une variable métier. Ce que nos données montrent clairement, c’est que le véritable changement ne réside pas seulement dans le volume. Il réside dans la prise de décision.
Chaque requête soulève désormais des questions implicites :
Faut-il autoriser ce bot à accéder à ce contenu, et dans quel contexte ?
Quel est l’impact sur l’entreprise si c’est le cas ?
La plupart des entreprises ne peuvent pas répondre à cette question aujourd’hui. Non pas parce qu’elles manquent de données, mais parce qu’elles n’ont pas la capacité de relier de manière pertinente l’identité d’un bot à son intention.
C’est là qu’est la lacune. Et c’est là que la stratégie doit évoluer.
Car dans un écosystème piloté par l’IA, l’accès est un levier. Les bots que vous autorisez façonnent la manière dont votre marque apparaît, dont vos données sont utilisées et dont votre infrastructure est consommée — souvent longtemps après la requête d’origine.
Les entreprises qui s’adaptent ne seront pas celles qui se contentent de bloquer davantage ou d’autoriser davantage. Ce seront celles qui prendront des décisions délibérées et granulaires sur qui obtient l’accès à quoi, et pourquoi.
Lisez le Threat Insights Reportcomplet pour voir comment l’identité, l’intention et l’accès des bots redéfinissent les performances, les coûts et le contrôle sur le web, et découvrez comment vous pouvez réagir.