TL;DR:
I bot ora costituiscono il 49% di tutto il traffico, quasi quanto gli esseri umani (51%)
Il 99% del traffico bot è indesiderato, inclusi scraper, imitatori, hacker automatizzati e automazione generica
Solo l'1% dei bot è verificato/desiderato, con l'IA che rappresenta un sottoinsieme ridotto ma ad alto impatto
Il traffico bot è unico per ogni azienda, settore e regione, JAPAC ha registrato il minor numero di esseri umani, il maggior numero di bot indesiderati e il minor numero di bot desiderati, mentre LATAM ha registrato l’opposto
Risultato finale: i bot non sono solo una parte del tuo traffico; stanno plasmando il modo in cui i tuoi contenuti vengono raggiunti, fruiti ed esposti, e la loro presenza comporta impatti diversi per ogni azienda.
----
L'IA non sta solo cambiando il modo in cui le persone usano internet, ma sta cambiando il modo in cui internet usa te.
Dietro le quinte, i bot sono ora responsabili di quasi la metà di tutto il traffico tra applicazioni e API. Ma la vera storia non riguarda solo il volume; riguarda dove vanno i bot, a cosa accedono e quanta scarsa visibilità ha la maggior parte delle organizzazioni su tutto questo.
Nel nostro ultimo Threat Insight Report, abbiamo analizzato migliaia di miliardi di richieste sulla rete di Fastly per capire come i bot interagiscono con i cache content e i contenuti di origine. Ciò che abbiamo scoperto mette in discussione alcune convinzioni consolidate su prestazioni, costi e controllo, e mette in evidenza perché la tua strategia per i bot potrebbe aver bisogno di una seria revisione.
Quasi la metà del tuo traffico non è umano, e la maggior parte non è verificabile
A gennaio 2026, i bot rappresentavano il 49% di tutte le richieste, quasi alla pari con il traffico umano al 51%. Questo di per sé non sorprende, ma ecco cosa lo è stato: il 99% di quel traffico bot è indesiderato o non verificabile.
Non si tratta di crawler innocui, ma di bot che:
si spacciano per servizi legittimi
raccolgono informazioni sulla concorrenza
sondano vulnerabilità
automatizzano attacchi come l'acquisizione dell'account (ATO)
E poiché molti di loro cercano di camuffarsi da bot verificati, le organizzazioni spesso prendono decisioni di policy sulla base di dati errati. Se pensi di consentire “ChatGPT” guardando solo il relativo user agent dichiarato, per esempio, c'è una concreta possibilità che tu stia consentendo anche bot che fingono di esserlo.
È qui che la maggior parte delle strategie per i bot si interrompe. Si fermano a «è un bot?» quando la vera domanda è: cosa sta facendo questo bot e dovrebbe essergli consentito farlo?
I tuoi contenuti di maggior valore sono più esposti di quanto pensi
I cache content sono stati tipicamente considerati a basso rischio. Sono più veloci, meno costosi da consegnare e spesso trascurati dal punto di vista della sicurezza. Ma quasi la metà delle richieste ai cache content (47%) proviene da bot. Questo solleva una domanda importante: chi sta accedendo ai tuoi contenuti più visibili e di maggior valore, e perché.
Per molte organizzazioni, la risposta non è chiara. Una parte di questa attività può essere prevista. Una parte potrebbe essere strategica. Ma senza una visibilità più approfondita, è difficile determinare:
Quali bot stanno creando valore
quali stanno creando rischi
E quali dovrebbero essere consentiti
I bot stanno aumentando silenziosamente i costi dell'infrastruttura
Quando i bot vanno oltre la cache, l'impatto passa dalla visibilità al costo. Queste richieste colpiscono direttamente la tua infrastruttura, aggirano la cache, aumentano i costi di uscita e aggiungono carico dove conta di più.
Non tutto questo traffico è dannoso, ma gran parte lo è: di basso valore, ridondante e (potenzialmente!) del tutto non necessario.
Senza comprendere l’intento dietro queste richieste, le organizzazioni si ritrovano ad assorbirne il costo senza comprenderne il compromesso. Il report ha rilevato che il 60% di tutto il traffico di origine proviene da bot, costringendo le organizzazioni a capire a cosa si sta accedendo e quale valore derivi dal consentirlo.
Bot IA: una piccola quota, un impatto sproporzionato
Ovunque guardi, c'è: l'IA. Quindi sarebbe negligente da parte nostra non dedicargli l’attenzione che merita. Ma i nostri dati hanno fatto emergere alcune sfumature nella conversazione (totalizzante) sull'IA.
Solo l'1% dei bot è verificato o “desiderato” e l'IA rappresenta un sottoinsieme di quel traffico. Eppure la loro influenza è sproporzionata.
I bot IA non si limitano ad accedere ai contenuti: rimodellano il modo in cui vengono mostrati, riassunti e fruiti. In alcuni casi, possono persino separare completamente i contenuti dalla loro fonte originale. Una tendenza che evidenziamo nel report: il 57% delle richieste dei fetcher IA riguarda contenuti non memorizzati nella cache, spesso legati a query in tempo reale o altamente specifiche.
Cosa significa: la strategia per i bot ora è strategia aziendale
In precedenza, la gestione dei bot operava sullo sfondo, come una questione di sicurezza o infrastruttura. Quel modello non regge più.
Quando i bot rappresentano metà del tuo traffico, generano la maggior parte del carico di origine e determinano come i tuoi contenuti vengono mostrati nei sistemi di IA, smettono di essere un caso limite tecnico e iniziano a diventare una variabile di business. Ciò che i nostri dati chiariscono è che il vero cambiamento non riguarda solo il volume. È processo decisionale.
Ogni richiesta ora porta con sé domande implicite:
Si dovrebbe consentire a questo bot di accedere a questo contenuto e in quale contesto?
Qual è l’impatto sul business se lo fa?
La maggior parte delle organizzazioni oggi non sa rispondere a questa domanda. Non perché manchino i dati, ma perché manca la capacità di collegare in modo significativo l'identità del bot con l'intento.
Questo è il divario. Ed è qui che la strategia deve evolversi.
Perché in un ecosistema guidato dall’IA, l’accesso è leva. I bot che consenti plasmano il modo in cui appare il tuo brand, come vengono usati i tuoi dati e come viene consumata la tua infrastruttura, spesso molto tempo dopo che la richiesta originale è stata effettuata.
Le organizzazioni che si adatteranno non saranno quelle che semplicemente bloccano di più o consentono di più. Saranno quelle che prenderanno decisioni intenzionali e granulari su chi ottiene accesso a cosa, e perché.
Leggi il Threat Insights Reportfull per vedere come identità, intento e accesso dei bot stanno ridefinendo prestazioni, costi e controllo sul web e scoprire come puoi rispondere.