Trafic de bots et trafic humain : comment les distinguer
Sur le web, l’identité est déclarée, pas garantie. Cette page explique ce que signifie chaque signal, pourquoi aucun ne suffit à lui seul, et comment lire la différence sans présenter une supposition comme un fait.
Quatre signaux, aucun concluant à lui seul.
Chaque requête reçue par votre site arrive avec une identité déclarée, pas prouvée. Navigateurs, robots d’exploration, outils de supervision et scrapers parlent tous le même protocole. Séparer le bot de l’humain est donc une affaire d’indices et de niveau de confiance, pas un choix binaire qui se lirait dans un seul en-tête.
La chaîne user-agent
Le signal le plus courant, et le plus faible pris isolément. Les bots qui se déclarent donnent leur nom ; les clients malveillants usurpent celui d’un vrai navigateur. Utile pour classer, jamais suffisant pour accorder sa confiance.
Identité déclarée et identité vérifiée
Les principaux robots d’exploration publient un moyen de les vérifier : DNS inverse, plages d’adresses IP publiées. Le cas intéressant, c’est un user-agent qui se dit Googlebot mais échoue à la vérification.
L’allure du comportement
Les humains chargent les ressources, font défiler la page et s’y attardent ; beaucoup de bots ne récupèrent que le HTML, à cadence de machine. C’est une indication de tendance, pas une preuve : ne qualifiez jamais un visiteur rapide de bot sur la seule cadence.
Le contexte de la requête
Le fait que JavaScript se soit exécuté, la cohérence des référents transmis et les points d’accès sollicités. Uniquement des signaux respectueux de la vie privée : aucune empreinte de navigateur.
Une catégorie assortie d’un niveau de confiance.
Le bon cadre de lecture est un continuum : bots connus et vérifiés (un robot qui se nomme et passe la vérification), bots déclarés (qui se nomment sans être vérifiables), automatisation probable (qui se comporte comme une machine) et humains. WebmasterID classe de façon déterministe à partir d’une liste de signatures tenue à jour, et laisse les cas incertains dans une catégorie « autres » assumée.
Il n’est jamais possible d’avoir une certitude absolue sur le fait qu’une visite vienne d’un bot ou d’une personne. La posture honnête consiste à attribuer une catégorie assortie d’un niveau de confiance : bot connu et vérifié, bot déclaré, automatisation probable ou humain. WebmasterID enregistre ce qui est observable côté serveur, et ne présente jamais une estimation probabiliste comme un fait.
La couche d’ingestion classe chaque requête côté serveur et tient par défaut le trafic des bots à l’écart de votre analyse d’audience humaine. Les robots d’IA et ceux des moteurs de recherche disposent chacun de leur propre surface d’observation. Aucune empreinte de navigateur n’est calculée, les adresses IP sont anonymisées à la périphérie, et les chaînes user-agent des visiteurs réels ne sont pas exposées.
L’objectif n’est pas de bloquer les bots
Une bonne partie du trafic des bots est indispensable : les robots des moteurs de recherche et ceux de l’IA ont besoin d’accéder aux pages pour indexer et pour répondre. Le but n’est pas de les bloquer, mais de les voir clairement, de les séparer de l’analyse d’audience humaine, et de décider délibérément de votre politique d’exploration.
Questions fréquentes
- Peut-on être certain à cent pour cent qu’une visite vient d’un bot ou d’un humain ?
- Non. Sur le web, l’identité est déclarée, pas garantie. La posture honnête est une catégorie assortie d’un niveau de confiance : bot connu et vérifié, bot déclaré, automatisation probable ou humain. WebmasterID enregistre ce qui est observable côté serveur, et ne présente jamais une supposition probabiliste comme un fait.
- Pourquoi des bots se font-ils passer pour des navigateurs ?
- Les scrapers et les clients automatisés copient la chaîne user-agent d’un vrai navigateur pour se fondre dans la masse. C’est pourquoi le user-agent seul ne suffit pas, et pourquoi la vérification — pour les robots qui la permettent — et le contexte comportemental comptent.
- Le trafic des bots est-il mauvais ?
- Non, et une bonne partie est indispensable. Les robots des moteurs de recherche et ceux de l’IA ont besoin d’accéder aux pages pour indexer et pour répondre. Le but n’est pas de bloquer les bots, mais de les voir clairement, de les séparer de l’analyse d’audience humaine, et de décider délibérément de votre politique d’exploration.