Коротко: близько половини всього веб-трафіку сьогодні — це боти, а не люди. Два незалежні мережеві оператори сходяться в цифрах: Imperva наміряла за 2025 рік 53% ботів і 47% людей, а власні дані Cloudflare незалежно дають ті самі 47% людей. Для вашого сайту це не абстракція: боти витрачають той самий процесор, трафік і базу даних, що потрібні реальним клієнтам, ломляться у ваші форми і вхід в адмінку, і більшість із них не видно в Google Analytics. На дешевому, перепроданому сервері однієї хвилі ботів вистачає, щоб сайт загальмував для живих відвідувачів. Нижче — що насправді відбувається і що з цим робити.
Ми тримаємо хостинг з обслуговуванням і дивимося на це на рівні сервера, тож нижче — практична версія.
Цифра — від тих, хто реально її вимірює
Нейтрального, державного підрахунку трафіку ботів не існує — виміряти його можуть лише мережі, через які цей трафік іде. Дві найбільші, незалежно одна від одної, потрапляють в одну точку:
- Imperva (Bad Bot Report 2026): «понад 53% усього веб-трафіку у 2025 році… частка людей знизилася до лише 47%».
- Cloudflare (Radar, підсумки 2025): «люди дали 47% HTML-запитів, не-ШІ-боти — 44%» — плюс зверху ШІ-краулери.
Обидва — вендори (продають захист і CDN, роздачу сайтів із найближчих до відвідувача серверів), тож це їхня власна телеметрія (дані їхньої ж мережі), а не аудит. Але коли дві конкурентні мережі з різними методиками виходять на ті самі 47% людей — це максимально надійно, як тут узагалі буває. Cloudflare ще зазначає, що частка коливається протягом року: часом люди знову виходили вперед. Тож чесна форма — «приблизно половина», а не застиглі 53,00%.
Не всі боти — шкідливі
«Бот» — це не автоматично «атака». Грубо:
- Хороші боти: пошуковики (сам Googlebot — 4,5% HTML-запитів у Cloudflare), ШІ-краулери (боти, що обходять сайти задля даних для ШІ; близько 4,2%), моніторинг доступності. Більшість із них вам потрібні.
- Погані боти: скрейпери, що копіюють ваш контент і ціни; боти, що перебирають украдені паролі на вашому вході; спам-боти, що забивають форми; сканери, які промацують сайт у пошуках незалатаного плагіна.
Хороших пускають, поганих фільтрують. Біда в тому, що на простому хостингу їх ніхто не розбирає — усі вони просто валяться на ваш сервер.
Чому це питання хостингу, а не лише безпеки
Кожен такий бот коштує вам тих самих ресурсів, що й клієнт, який платить:
- Процесор і база даних: скрейпер, що обходить усі сторінки, або сканер, що смикає сотні адрес, спалює процесорний час і запити до бази.
- Трафік: краулери систематично викачують сайт цілком, перекачують його знову заради оновлень і тягнуть файли, які живий відвідувач ніколи не відкриває.
- Точка перелому: на дешевому, перепроданому сервері без запасу потужності однієї хвилі ботів досить, щоб сайт загальмував для живих людей — процесор дістається ботам, а ваш клієнт чекає.
Чому цього не видно в Google Analytics
Ось у чому підступ: більшість аналітик (Google Analytics і будь-який трекер на JavaScript) рахують лише тих відвідувачів, чий браузер виконує їхній скрипт. Більшість ботів JavaScript не виконують — і в цій панелі їх просто немає. Трафік виглядає чистим, поки половина реального навантаження на сервер — боти. Чесно їх видно лише в логах самого сервера. (Наша аналітика Pulse якраз і зроблена, щоб показувати заходи ШІ-ботів прямо із серверних логів.)
Що реально допомагає
- Вирішити, кого пускати. Потрібні пошукові та ШІ-краулери — пропустити; решту — заблокувати або обмежити за частотою запитів. (Яких ШІ-ботів пускати, а яких різати — розбирали окремо.)
- Фільтрувати на сервері, а не на сторінці. Fail2ban, ліміти запитів і правила фаєрвола зупиняють поганих ботів ще до того, як вони дійдуть до PHP і бази, — плагін так не вміє.
- Тримати запас потужності. Боти прийдуть у будь-якому разі; питання в тому, чи є в сервера запас, щоб витримати хвилю, не впустивши реальних відвідувачів.
Чесний варіант
Зробити так, щоб ботів не було, не можна — це вже половина інтернету, за двома незалежними замірами. Що можна — це не стояти на сервері, де вони безпосередньо конкурують із вашими клієнтами за останній шматок процесора. На нашому хостингу з обслуговуванням сервери йдуть із реальним запасом потужності (без оверселла), поганих ботів ми фільтруємо на рівні сервера через Fail2ban і ліміти запитів, а потрібні вам пошукові та ШІ-краулери пропускаємо. Те, що половина трафіку не-людська, — нормально; головне, щоб вона не гальмувала ту половину, що платить.