Коротко: около половины всего веб-трафика сегодня — это боты, а не люди. Два независимых сетевых оператора сходятся в цифрах: Imperva намерила за 2025 год 53% ботов и 47% людей, а собственные данные Cloudflare независимо дают те же 47% людей. Для вашего сайта это не абстракция: боты тратят тот же процессор, трафик и базу данных, что нужны реальным клиентам, ломятся в ваши формы и вход в админку, и большинство из них не видно в Google Analytics. На дешёвом, перепроданном сервере одной волны ботов хватает, чтобы сайт затормозил для живых посетителей. Ниже — что на самом деле происходит и что с этим делать.
Мы держим хостинг с обслуживанием и смотрим на это на уровне сервера, поэтому ниже — практичная версия.
Цифра — от тех, кто реально её измеряет
Нейтрального, государственного подсчёта трафика ботов не существует — измерить его могут только сети, через которые этот трафик идёт. Две крупнейшие, независимо друг от друга, попадают в одну точку:
- Imperva (Bad Bot Report 2026): «более 53% всего веб-трафика в 2025 году… доля людей снизилась до всего 47%».
- Cloudflare (Radar, итоги 2025): «люди дали 47% HTML-запросов, не-ИИ-боты — 44%» — плюс сверху ИИ-краулеры.
Оба — вендоры (продают защиту и CDN, раздачу сайтов с ближайших к посетителю серверов), так что это их собственная телеметрия (данные их же сети), а не аудит. Но когда две конкурирующие сети с разными методиками выходят на одни и те же 47% людей — это максимально надёжно, как тут вообще бывает. Cloudflare ещё отмечает, что доля колеблется в течение года: временами люди снова выходили вперёд. Так что честная форма — «примерно половина», а не застывшие 53,00%.
Не все боты — вредные
«Бот» — это не автоматически «атака». Грубо:
- Хорошие боты: поисковики (один Googlebot — 4,5% HTML-запросов у Cloudflare), ИИ-краулеры (боты, что обходят сайты ради данных для ИИ; около 4,2%), мониторинг доступности. Большинство из них вам нужны.
- Плохие боты: скрейперы, копирующие ваш контент и цены; боты, перебирающие украденные пароли на вашем входе; спам-боты, забивающие формы; сканеры, которые щупают сайт в поисках непропатченного плагина.
Хороших пускают, плохих фильтруют. Беда в том, что на простом хостинге их никто не разбирает — все они просто валятся на ваш сервер.
Почему это вопрос хостинга, а не только безопасности
Каждый такой бот стоит вам тех же ресурсов, что и платящий клиент:
- Процессор и база данных: скрейпер, обходящий все страницы, или сканер, дёргающий сотни адресов, сжигает процессорное время и запросы к базе.
- Трафик: краулеры систематически выкачивают сайт целиком, перекачивают его заново ради обновлений и тянут файлы, которые живой посетитель никогда не открывает.
- Точка перелома: на дешёвом, перепроданном сервере без запаса мощности одной волны ботов достаточно, чтобы сайт затормозил для живых людей — процессор достаётся ботам, а ваш клиент ждёт.
Почему этого не видно в Google Analytics
Вот в чём подвох: большинство аналитик (Google Analytics и любой трекер на JavaScript) считают только тех посетителей, чей браузер выполняет их скрипт. Большинство ботов JavaScript не исполняют — и в этой панели их попросту нет. Трафик выглядит чистым, пока половина реальной нагрузки на сервер — боты. Честно их видно только в логах самого сервера. (Наша аналитика Pulse как раз и сделана, чтобы показывать заходы ИИ-ботов прямо из серверных логов.)
Что реально помогает
- Решить, кого пускать. Нужные поисковые и ИИ-краулеры — пропустить; остальных — заблокировать или ограничить по частоте запросов. (Каких ИИ-ботов пускать, а каких резать — разбирали отдельно.)
- Фильтровать на сервере, а не на странице. Fail2ban, лимиты запросов и правила фаервола останавливают плохих ботов ещё до того, как они дойдут до PHP и базы, — плагин так не умеет.
- Держать запас мощности. Боты придут в любом случае; вопрос в том, есть ли у сервера запас, чтобы выдержать волну, не уронив реальных посетителей.
Честный вариант
Сделать так, чтобы ботов не было, нельзя — это уже половина интернета, по двум независимым замерам. Что можно — это не стоять на сервере, где они напрямую конкурируют с вашими клиентами за последний кусок процессора. На нашем хостинге с обслуживанием серверы идут с реальным запасом мощности (без оверселла), плохих ботов мы фильтруем на уровне сервера через Fail2ban и лимиты запросов, а нужные вам поисковые и ИИ-краулеры пропускаем. То, что половина трафика не-человеческая, — нормально; главное, чтобы она не тормозила ту половину, что платит.