Les bots ont représenté 53% de tout le trafic web en 2025, et 40% de chaque requête sur internet était franchement malveillante (Imperva, 2026 Bad Bot Report). C’est la deuxième année consécutive où le trafic automatisé dépasse les humains en nombre, et les machines deviennent plus intelligentes : les attaques de bots pilotées par l’IA ont bondi de 12.5x d’une année sur l’autre (Imperva, 2026 Bad Bot Report). La télémétrie réseau indépendante de Cloudflare confirme ce constat, montrant que les humains ne représentaient que 47% des requêtes de pages HTML fin décembre 2025 (Cloudflare, Radar 2025 Year in Review), tandis qu’environ une impression publicitaire sur cinq présente désormais des signes de trafic invalide (Fraudlogix, Ad Fraud Statistics 2026). Cette analyse rassemble les données d’Imperva, Cloudflare Radar, Fraudlogix, DataDome, Verizon et six autres sources primaires en un seul ensemble de référence.
En bref
- Les bots ont constitué 53% du trafic web en 2025, dont 40% de tout le trafic classé comme malveillant (Imperva, 2026 Bad Bot Report).
- Les attaques de bots pilotées par l’IA ont bondi de 12.5x d’une année sur l’autre en 2025 (Imperva, 2026 Bad Bot Report).
- Les humains n’ont généré que 47% des requêtes de pages HTML en décembre 2025, contre 44% pour les bots non-IA (Cloudflare, Radar 2025 Year in Review).
- Les crawlers IA ont atteint 20% du trafic de bots vérifié, Googlebot dépassant 28% et GPTBot approchant 7.5% (Cloudflare, Radar 2025 Year in Review).
- Le trafic invalide (IVT) mondial a atteint 20.64% sur 105.7 milliards d’impressions publicitaires en 2025 (Fraudlogix, Ad Fraud Statistics 2026).
- Seuls 2.8% des 16,900+ sites web testés étaient entièrement protégés contre les bots, contre 8.4% en 2024 (DataDome, 2025 Global Bot Security Report).
- Le credential stuffing a représenté 19% des tentatives d’authentification lors d’une journée médiane (Verizon, 2025 DBIR).
- Meta a traité 1.1 milliard de faux comptes Facebook rien qu’au T4 2025 (Meta, Transparency Center).
- Les bots simples et à haut volume sont montés à 45% du trafic de bots malveillants, aidés par des outils IA gratuits (Imperva, 2025 Bad Bot Report).
- Les proxys résidentiels ont masqué 21% des attaques de bots pour se fondre parmi les utilisateurs réels (Imperva, 2025 Bad Bot Report).
- Le commerce a fait face à plus de 200 milliards d’attaques d’applications et d’API sur 2024-2025 (Akamai, 2025).
- L’IA peut résoudre les défis de type reCAPTCHA avec une précision proche de 100%, contre 50-84% pour les humains (arXiv, Breaking reCAPTCHAv2, 2024).
1. Bots contre Humains : la Répartition du Trafic
Le chiffre phare a franchi un seuil et continue de progresser. Pour la deuxième année consécutive, le trafic automatisé a détenu la majorité du web, passant à 53% en 2025 contre 51% un an plus tôt (Imperva, 2026 Bad Bot Report). Deux réseaux de mesure indépendants, Imperva et Cloudflare, arrivent à quelques points l’un de l’autre, ce qui est inhabituel pour des estimations à l’échelle d’internet et suggère que l’ère de la minorité humaine est réelle et non un artefact d’échantillonnage. La part activement hostile, et non simplement automatisée, est le chiffre qui compte pour les défenseurs : 40% de tout le trafic.
| Métrique | Valeur | Source |
|---|---|---|
| Part des bots dans tout le trafic web, 2025 | 53% (up from 51%) | Imperva, 2026 Bad Bot Report |
| Trafic classé comme malveillant (bots malveillants), 2025 | 40% | Imperva, 2026 Bad Bot Report |
| Part des bots malveillants, 2024 | 37% (up from 32% in 2023) | Imperva, 2025 Bad Bot Report |
| Part humaine des requêtes de pages HTML, Dec 2025 | 47% | Cloudflare, Radar 2025 Year in Review |
| Part des bots non-IA dans les requêtes HTML, Dec 2025 | 44% | Cloudflare, Radar 2025 Year in Review |
| Part des bots IA dans les requêtes HTML (moyenne 2025) | 4.2% (range 2.4%-6.4%) | Cloudflare, Radar 2025 Year in Review |
| Trafic de bots sur les sites e-commerce (31% malveillant) | 57% | Radware, 2025 E-Commerce Bot Threat Report |
Source : Imperva - AI-Driven Bot Attacks Surged 12.5x (2026 Bad Bot Report)
Le chiffre e-commerce de Radware montre à quel point cette répartition s’aggrave sur les cibles à forte valeur : les bots malveillants y ont doublé, passant de 16% du trafic en 2022 à 31% en 2025. Pour une vision plus large des menaces alimentées par ces bots, voir nos statistiques de cybersécurité pour 2026.
2. Crawlers IA et l’Explosion du Scraping
La part du trafic de bots qui croît le plus vite n’attaque rien ; elle lit tout. Les crawlers IA ont atteint 20% de tout le trafic de bots vérifié en 2025, et l’agent ChatGPT-User d’OpenAI a culminé à environ 16x son volume de requêtes de début d’année (Cloudflare, Radar 2025 Year in Review). La composition du trafic de “bons” crawlers évolue de l’indexation pour la recherche vers l’entraînement de modèles et la récupération en direct pour les chatbots, ce qui explique pourquoi les éditeurs voient le volume de crawl augmenter tandis que les clics de référencement restent stables. Le crawler à double usage de Google écrase toujours les autres.
| Métrique | Valeur | Source |
|---|---|---|
| Part des crawlers IA dans le trafic de bots vérifié | 20% | Cloudflare, Radar 2025 Year in Review |
| Part de Googlebot dans le trafic de bots vérifié | Over 28% | Cloudflare, Radar 2025 Year in Review |
| Part des crawlers de moteurs de recherche parmi les bots vérifiés | 40% | Cloudflare, Radar 2025 Year in Review |
| Part du GPTBot d’OpenAI dans le trafic de bots vérifié | ~7.5% | Cloudflare, Radar 2025 Year in Review |
| Part du Bingbot de Microsoft dans le trafic de bots vérifié | 6% | Cloudflare, Radar 2025 Year in Review |
| Part des bots SEO dans le trafic de bots vérifié | Over 13% | Cloudflare, Radar 2025 Year in Review |
| Directives d’autorisation Google-Extended dans robots.txt | Tripled during 2025 | Cloudflare, Radar 2025 Year in Review |
Les crawlers IA étaient aussi les user agents les plus fréquemment interdits dans robots.txt, en tête desquels GPTBot, ClaudeBot et CCBot (Cloudflare, Radar 2025 Year in Review). Le chevauchement avec la recherche générative est traité dans nos statistiques de recherche IA pour 2026, qui suit séparément l’écart entre crawl et trafic de référencement.
3. Sophistication et Évasion des Bots Malveillants
L’IA bon marché a aplati la courbe de compétence des attaquants. Les bots simples et à haut volume ont bondi à 45% du trafic de bots malveillants en 2024, contre environ 40% un an plus tôt, les outils d’automatisation gratuits permettant à des acteurs peu qualifiés de lancer des attaques à grande échelle (Imperva, 2025 Bad Bot Report). À l’autre extrémité, les bots avancés se cachent de plus en plus dans une infrastructure légitime : environ une attaque sur cinq passe désormais par des proxys résidentiels pour ressembler à un véritable utilisateur domestique, et l’usurpation de Chrome combinée aux navigateurs headless déjoue le filtrage naïf par user-agent.
| Métrique | Valeur | Source |
|---|---|---|
| Part des bots simples dans le trafic de bots malveillants, 2024 | 45% (up from ~40%) | Imperva, 2025 Bad Bot Report |
| Attaques de bots utilisant des proxys résidentiels | 21% | Imperva, 2025 Bad Bot Report |
| Trafic de bots avancés ciblant les API, 2024 | 44% | Imperva, 2025 Bad Bot Report |
| Trafic de bots avancés ciblant les applications, 2024 | 10% | Imperva, 2025 Bad Bot Report |
| Attaques de bots ciblant désormais les API, 2025 | 27% | Imperva, 2026 Bad Bot Report |
| Croissance des attaques de bots pilotées par l’IA, 2025 | 12.5x year over year | Imperva, 2026 Bad Bot Report |
Source : Imperva - 2025 Bad Bot Report: How AI is Supercharging the Bot Threat
La panoplie d’évasion, proxys résidentiels, identités de navigateur falsifiées, scripting assisté par IA et navigateurs anti-détection, explique pourquoi le blocage basé sur les signatures perd sans cesse du terrain (Imperva, 2025 Bad Bot Report). Bon nombre de ces mêmes botnets servent aussi d’infrastructure DDoS, détaillée dans nos statistiques d’attaques DDoS pour 2026.
4. Trafic de Bots par Secteur
Les bots suivent l’argent, et la répartition est déséquilibrée. Les sites de voyage ont vu 48% de tout leur trafic provenir de bots malveillants, la part la plus élevée de tous les secteurs, portée par le scraping de prix et l’automatisation d’accaparement de sièges (Imperva, 2025 Bad Bot Report). Les services financiers sont la cible privilégiée pour la prise de contrôle de compte, tandis que le commerce absorbe des attaques à une échelle mesurée en centaines de milliards. Les agents d’achat IA constituent désormais une troisième catégorie de trafic distincte que les commerçants doivent classer aux côtés des bons et des mauvais bots.
| Métrique | Valeur | Source |
|---|---|---|
| Part des bots malveillants dans le trafic des sites de voyage, 2024 | 48% | Imperva, 2025 Bad Bot Report |
| Part du voyage dans toutes les attaques de bots malveillants, 2024 | 27% | Imperva, 2025 Bad Bot Report |
| Bots malveillants pilotés par l’IA sur le trafic des sites de détail | 33% | Imperva, 2025 Bad Bot Report |
| Part des services financiers dans toutes les attaques de bots, 2025 | 24% | Imperva, 2026 Bad Bot Report |
| Part des services financiers dans les incidents ATO, 2025 | 46% | Imperva, 2026 Bad Bot Report |
| Attaques d’applications et d’API sur le commerce, 2024-2025 | Over 200 billion | Akamai, 2025 |
| Croissance du trafic de bots IA dans le commerce, 2025 | +19% year over year | Akamai, 2025 |
Source : Akamai - Smash and Grab at Scale: Agentic AI Is Reshaping the Threat to Commerce
Akamai a également comptabilisé près de trois trillions d’attaques DDoS de couche 7 contre le commerce en 2025, dont 84% visaient le secteur du détail (Akamai, 2025). La pression des bots sur le commerce de détail s’inscrit aux côtés d’évolutions de dépenses plus larges dans nos statistiques des réseaux sociaux pour 2026.
5. Prise de Contrôle de Compte, Credential Stuffing et Faux Comptes
Les bots sont le mécanisme de livraison des mots de passe volés. Le credential stuffing a représenté 19% de toutes les tentatives d’authentification lors d’une journée médiane à travers les journaux de connexion unique (SSO) d’entreprise (Verizon, 2025 DBIR), et les attaques de prise de contrôle de compte ont grimpé de 40% en 2024 (Imperva, 2025 Bad Bot Report). Le côté offre explique le volume : les logiciels malveillants infostealers ont à eux seuls récolté 1.8 milliard d’identifiants au premier semestre 2025, alimentant des tentatives de connexion automatisées plus vite qu’aucune plateforme ne peut révoquer les mots de passe réutilisés.
| Métrique | Valeur | Source |
|---|---|---|
| Part du credential stuffing dans les tentatives d’authentification (jour médian) | 19% | Verizon, 2025 DBIR |
| Violations débutant par un abus d’identifiants | 22% | Verizon, 2025 DBIR |
| Attaques d’applications web impliquant des identifiants volés | 88% | Verizon, 2025 DBIR |
| Croissance des attaques de prise de contrôle de compte, 2024 | +40% year over year | Imperva, 2025 Bad Bot Report |
| Identifiants récoltés par les infostealers, H1 2025 | 1.8 billion | SpyCloud, 2025 |
| Faux comptes Facebook traités, Q4 2025 | 1.1 billion (up from 698M) | Meta, Transparency Center |
| Hausse des requêtes de bots malveillants, Dec 2025 vs Dec 2024 | +135% | DataDome, 2025 |
Malgré la suppression de plus d’un milliard de faux comptes par trimestre, Meta estime encore qu’environ 3-4% de ses plus de 3 milliards d’utilisateurs actifs mensuels sont faux (Meta, Transparency Center). La réutilisation de mots de passe maintient la viabilité du stuffing : dans le cas médian, seuls 49% des mots de passe d’un utilisateur étaient distincts d’un service à l’autre (Verizon, 2025 DBIR).
6. Fraude Publicitaire et Trafic Invalide
Chaque fausse impression est un bot qui se fait payer. Le trafic invalide a atteint 20.64% sur 105.7 milliards d’impressions publicitaires mesurées en 2025, environ une impression sur cinq présentant des caractéristiques non humaines ou frauduleuses (Fraudlogix, Ad Fraud Statistics 2026). Le taux est extrêmement inégal selon l’environnement : les navigateurs obsolètes et Windows de bureau concentrent le plus de fraude, tandis que la tendance pour 2026 est en forte hausse à mesure que le trafic généré par l’IA imite le défilement humain, les pauses et les clics de façon assez convaincante pour tromper les filtres de base.
| Métrique | Valeur | Source |
|---|---|---|
| Taux mondial de trafic invalide (IVT), 2025 | 20.64% | Fraudlogix, Ad Fraud Statistics 2026 |
| Dépenses publicitaires programmatiques américaines liées à l’IVT | ~$37 billion | Fraudlogix, Ad Fraud Statistics 2026 |
| Taux d’IVT sur ordinateur de bureau | 27.03% | Fraudlogix, Ad Fraud Statistics 2026 |
| Taux d’IVT sur le trafic Internet Explorer | 79.50% | Fraudlogix, Ad Fraud Statistics 2026 |
| Taux d’IVT sur le trafic Windows OS | 30.55% | Fraudlogix, Ad Fraud Statistics 2026 |
| Pays avec l’IVT le plus élevé (100M+ impressions) | Nigeria, 61.37% | Fraudlogix, Ad Fraud Statistics 2026 |
| Progression de l’IVT mondial, Jan to Jun 2026 | 26% -> 40% | eMarketer, 2026 |
La répartition régionale est tout aussi frappante : l’Asie-Pacifique affichait un taux d’IVT de 27.85% contre 7.80% pour l’Europe (Fraudlogix, Ad Fraud Statistics 2026). D’ici juin 2026, eMarketer a rapporté un IVT mondial de 40%, un bond attribué au trafic invalide sophistiqué (SIVT) construit sur l’IA (eMarketer, 2026).
7. Détection, CAPTCHA et l’Écart de Défense
Les outils sur lesquels s’appuient la plupart des sites échouent silencieusement. Les taux de détection de bots des principaux fournisseurs commerciaux allaient de seulement 6% à 42% en tests réels, et seuls 2.8% des 16,900+ sites web étaient entièrement protégés, contre 8.4% un an plus tôt (DataDome, 2025 Global Bot Security Report). Le rempart classique, le CAPTCHA, est désormais pratiquement résolu : une étude de terrain menée sur 13 mois a montré que les solveurs automatisés atteignaient une précision proche de 100% tandis que les humains ne parvenaient qu’à 50-84%, si bien que les défenses basées sur des défis ajoutent désormais de la friction pour les utilisateurs réels sans arrêter les machines.
| Métrique | Valeur | Source |
|---|---|---|
| Sites web entièrement protégés contre les bots, 2025 | 2.8% (down from 8.4% in 2024) | DataDome, 2025 Global Bot Security Report |
| Sites web laissés sans protection, 2025 | 61.2% | DataDome, 2025 Global Bot Security Report |
| Plage des taux de détection de bots des fournisseurs (tests réels) | 6% to 42% | DataDome, 2025 Global Bot Security Report |
| Trafic de bots IA ayant touché des formulaires web | 64% | DataDome, 2025 Global Bot Security Report |
| Taux de réussite IA/bot pour résoudre des tests type reCAPTCHA | Near 100% (vs 50-84% humans) | arXiv, Breaking reCAPTCHAv2, 2024 |
| Trafic de bots IA ayant atteint des pages de connexion | 23% | DataDome, 2025 Global Bot Security Report |
Source : DataDome - Key Findings, 2025 Global Bot Security Report
Le constat dérangeant : 64% du trafic de bots IA a atteint des formulaires web et 23% a touché des pages de connexion, précisément les surfaces où se produisent la fraude et la prise de contrôle de compte (DataDome, 2025 Global Bot Security Report). Le scoring de risque en couches et l’analyse comportementale surpassent désormais n’importe quel défi unique, puisque le CAPTCHA lui-même n’est plus une barrière que les machines ne peuvent franchir (arXiv, Breaking reCAPTCHAv2, 2024).
Résumé : le Trafic de Bots en Chiffres
| Métrique | Valeur | Source |
|---|---|---|
| Part des bots dans tout le trafic web, 2025 | 53% | Imperva, 2026 Bad Bot Report |
| Trafic classé comme malveillant | 40% | Imperva, 2026 Bad Bot Report |
| Croissance des attaques de bots pilotées par l’IA | 12.5x YoY | Imperva, 2026 Bad Bot Report |
| Part humaine des requêtes de pages HTML, Dec 2025 | 47% | Cloudflare, Radar 2025 Year in Review |
| Part des crawlers IA dans le trafic de bots vérifié | 20% | Cloudflare, Radar 2025 Year in Review |
| Part de Googlebot dans le trafic de bots vérifié | Over 28% | Cloudflare, Radar 2025 Year in Review |
| Taux mondial de trafic invalide (IVT), 2025 | 20.64% | Fraudlogix, Ad Fraud Statistics 2026 |
| Dépenses publicitaires américaines liées à l’IVT | ~$37 billion | Fraudlogix, Ad Fraud Statistics 2026 |
| IVT mondial d’ici juin 2026 | 40% | eMarketer, 2026 |
| Sites web entièrement protégés contre les bots | 2.8% | DataDome, 2025 Global Bot Security Report |
| Plage des taux de détection de bots des fournisseurs | 6% to 42% | DataDome, 2025 Global Bot Security Report |
| Part du credential stuffing dans les tentatives d’authentification | 19% | Verizon, 2025 DBIR |
| Violations débutant par un abus d’identifiants | 22% | Verizon, 2025 DBIR |
| Identifiants récoltés par les infostealers, H1 2025 | 1.8 billion | SpyCloud, 2025 |
| Faux comptes Facebook traités, Q4 2025 | 1.1 billion | Meta, Transparency Center |
| Part des bots malveillants dans le trafic des sites de voyage | 48% | Imperva, 2025 Bad Bot Report |
| Part des services financiers dans les incidents ATO | 46% | Imperva, 2026 Bad Bot Report |
| Part des bots simples dans le trafic de bots malveillants | 45% | Imperva, 2025 Bad Bot Report |
| Attaques d’applications/API sur le commerce, 2024-2025 | Over 200 billion | Akamai, 2025 |
| Taux de résolution CAPTCHA pour l’IA vs les humains | ~100% vs 50-84% | arXiv, Breaking reCAPTCHAv2, 2024 |
Méthodologie et Sources
Les données ont été rassemblées en examinant les rapports primaires les plus récents, la télémétrie de menaces des fournisseurs, les divulgations de transparence et les recherches évaluées par des pairs sur le trafic automatisé publiées entre 2024 et 2026, en donnant la priorité aux éditions 2025 et 2026 et en recoupant les chiffres de part de trafic sur au moins deux réseaux indépendants.
Sources citées :
- Imperva (Thales) - 2026 Bad Bot Report (données 2025)
- Imperva (Thales) - 2025 Bad Bot Report (données 2024)
- Cloudflare - Radar 2025 Year in Review
- Fraudlogix - Ad Fraud Statistics 2026
- DataDome - 2025 Global Bot Security Report
- Verizon - 2025 Data Breach Investigations Report (DBIR)
- Akamai - Agentic AI and the Threat to Commerce (2025)
- Meta - Transparency Center, Integrity Reports (Q4 2025)
- Radware - 2025 E-Commerce Bot Threat Report
- SpyCloud - recherche 2025 sur les menaces d’identité
- arXiv - Breaking reCAPTCHAv2 (2024)
- eMarketer - analyse Fraude Publicitaire Alimentée par l’IA (2026)
Data watch : le Bad Bot Report d’Imperva et le Radar Year in Review de Cloudflare sont tous deux annuels, avec les prochaines éditions attendues respectivement au S1 2026 et fin 2026 ; Verizon publie son DBIR chaque printemps ; le Global Bot Security Report de DataDome et le décompte annuel de fraude publicitaire de Fraudlogix se renouvellent chaque année ; le Transparency Center de Meta se met à jour chaque trimestre. Les chiffres datés de 2024 (rapport Imperva 2025, analyse des journaux SSO de Verizon) sont signalés comme les données les plus récentes disponibles pour ces métriques spécifiques.
Dernière mise à jour : 17 juillet 2026. Nous révisons et mettons à jour cette page chaque trimestre à mesure que de nouvelles données sont publiées.