Сколько ботов приходит на сайты: данные 14 сайтов за 30 дней

Больше половины запросов к страницам сайтов делают не люди. Это не пересказ чужого отраслевого отчёта, а журнал 14 сайтов под защитой BotBan за 30 дней, с 22 сентября по 22 октября 2026 года: 20,3 млн запросов к страницам, без картинок, стилей и скриптов. Ниже — что в этих цифрах есть, чего в них нет и почему из «половина подозрительна» не следует «половину надо выгнать».

Откуда цифры и чего они не доказывают

Сначала оговорки, без них цифры читать нельзя.

Выборка небольшая. Четырнадцать сайтов — в основном российские интернет-магазины и сайты услуг, от маленьких до заметных. Это не рынок и не «средний сайт в Рунете». На блоге или сайте поликлиники картина будет другой.

Сайты разные, и крупные весят больше. Общая доля складывается из запросов, поэтому магазин с большим каталогом сдвигает её сильнее, чем сайт услуг с двадцатью страницами.

В период попала атака. В конце сентября на магазин ковровых покрытий шёл рой около 195 тыс. запросов в сутки с зарубежных адресов. Он заметно поднимает и общую долю подозрительного, и долю отдельных стран.

Считаются запросы, а не люди. Человек, открывший пять страниц, — пять запросов. Робот поисковика, обходящий каталог, — тысячи. Поэтому доли ниже нельзя переводить в «сколько посетителей были ботами».

Главная цифра: 52,4 %

Движок счёл подозрительными 52,4 % запросов. Из них 20,9 % получили бы блокировку, 31,5 % — проверку браузера.

Отдельно стоят подтверждённые поисковые и сервисные роботы: 30,2 % всех запросов. Это Яндекс, Google, робот Директа, мониторинги, соцсети. Их не трогают ни при каком балле, а подтверждают не по имени в строке браузера, а по адресу: опубликованным спискам и обратному DNS. Треть трафика, которую ни в коем случае нельзя блокировать, — хорошая причина не писать правила «на глаз».

Остальное — люди и те, к кому у движка не нашлось вопросов.

Почему «подозрительный» не значит «заблокированный»

Больше половины подозрительных запросов отправлено не на блокировку, а на проверку браузера. Это автоматическая задача: браузер подбирает число для хеша и решает её сам, на компьютере за сотые доли секунды, на слабом телефоне до секунды. Человек видит короткую заставку и идёт дальше. Программа без JavaScript дальше не проходит, а программа с браузерным движком платит процессорным временем за каждую попытку. Как это выглядит со стороны посетителя, разобрано в статье «Проверяем ваш браузер».

Вторая причина расхождения — режим наблюдения. Каждый новый сайт стартует в нём: решение считается и пишется в журнал, но посетитель проходит в любом случае. Часть сайтов в выборке весь период или часть его работала именно так. Поэтому реально применённые действия выглядят мягче: пропущено 53,1 % запросов, проверка — 29,1 %, блокировка — 17,8 %.

И третья — правила самого движка. Один признак весит не больше 45 из 100, а порог блокировки по умолчанию 70: для блока нужны минимум две независимые улики. Общие адреса — мобильные сети, операторский NAT, CDN — по одному адресу не блокируются: за таким адресом могут быть сотни людей, и вместо блока они получают проверку. Если под блокировку внезапно попадает большая доля сетей, автооткат переводит сайт в наблюдение и сообщает владельцу. Ложная блокировка человека для нас хуже пропущенного бота, и цифры выше это отражают: жёстких действий заметно меньше, чем подозрений.

Что происходит по часам

Можно было бы ожидать, что ночью, когда люди спят, доля ботов растёт. В журнале наоборот. Ночью по Москве подозрительных 49–51 %, а пик приходится на 11:00–12:00 — 57–59 %.

Точной причины мы не знаем, но объяснения напрашиваются. Значительную часть автоматики запускают люди в рабочее время: мониторинг цен конкурентов, проверки позиций, выгрузки каталогов. Рекламные кампании тоже крутятся днём, а вместе с ними активнее и те, кто кормится рекламой. Наконец, атакующий рой не обязан подстраиваться под часовой пояс жертвы. Вывод практический: «бот приходит ночью» — плохое правило для защиты. Днём их больше.

Страны: США в топе, и это не хакеры

Распределение запросов по странам и доля подозрительных внутри каждой:

• США — 34,9 % запросов, подозрительных 45 %;
• Россия — 14,8 %, подозрительных 20 %;
• Китай — 11,3 %, подозрительных 72 %;
• Бразилия — 3,9 %, подозрительных 54 %;
• Великобритания — 2,8 %, подозрительных 64 %;
• Литва — 2,6 %, подозрительных 40 %;
• Сейшелы — 2,5 %, подозрительных 71 %;
• Сингапур — 1,8 %, подозрительных 51 %;
• Франция — 1,6 %, подозрительных 78 %;
• Ирландия — 1,6 %, подозрительных 64 %.

США на первом месте не потому, что российские магазины атакуют из Америки. Страна в геобазе — это страна, где зарегистрирована сеть, а в США зарегистрированы крупнейшие облака и сети поисковых роботов. Робот Google, краулеры ИИ-компаний, мониторинги, чужие серверы в облаках — всё это «США». Поэтому и доля подозрительных там ниже, чем у Китая или Франции: заметная часть американского трафика — подтверждённые роботы.

Сейшелы — не остров ботов. Там зарегистрированы многие хостинги и прокси-сервисы, и геобаза честно пишет страну регистрации сети, а не место, где стоит сервер. Ирландия и Сингапур — во многом дата-центры крупных компаний.

Самое показательное — Россия. Подозрительных там меньше всего, 20 %, но это не ноль: боты ходят и с российских адресов, в том числе через домашние прокси. Поэтому закрыть всё, кроме России, — значит отрезать покупателей в поездках и почти не помешать ботам. Подробно об этом — в статье о блокировке по странам.

Реклама: ботов меньше, чем принято пугать

За период на сайты пришло 160,5 тыс. переходов с меткой клика Яндекса yclid. Заблокировано из них 0,1 %, на проверку отправлено 0,6 %. Переходов с меткой Google Ads gclid — единицы: эти сайты рекламируются в Директе.

Почему так мало. Переход с рекламы — это клик в выдаче или на площадке рекламной сети, и массовому дешёвому боту, который перебирает страницы сайта напрямую, там делать нечего. Правила для рекламных посетителей у нас не строже обычных, потому что ошибка на оплаченном клике живого человека стоит дороже всего. И в счёт идут только те, кто дошёл до сайта.

Значит ли это, что скликивания нет? Нет. Это значит, что на этих сайтах боты в рекламе встречаются точечно: отдельная кампания, отдельная площадка рекламной сети, отдельный день. Средняя доля по 14 сайтам ничего не скажет о вашей кампании, свою нужно считать по своему журналу.

Формы: каждая третья отправка — автоматика

Совсем другая картина в формах. За период было 21,9 тыс. отправок заявок, обратных звонков, комментариев и регистраций, и 31,1 % из них остановлено как автоматические.

Разница с рекламой объяснима. Чтобы кликнуть по объявлению, боту нужно пройти через рекламную систему. Чтобы отправить форму, достаточно одного запроса на адрес обработчика, страницу можно даже не открывать. Это самая дешёвая атака из всех, и ею пользуются все: спамеры, сервисы накрутки заявок, рассыльщики. Останавливает их в основном то же, что и остальных ботов: по самому запросу видно, что отправитель — программа. Невидимая ловушка и серии отправок с одного адреса добавляют к этому немного — за месяц ловушка сработала один раз, серия — 34 раза. Человек при этом не видит ни капчи, ни лишнего шага.

Что взять для своего сайта

Средние цифры полезны как ориентир, но решение по ним принимать нельзя.

1. Посчитайте свою долю. Способы — в статье о подсчёте доли ботов, от сверки Метрики с логом до недели наблюдения.
2. Отделите роботов поисковиков до любых выводов. У нас это треть запросов, и все они нужны сайту.
3. Если крутится реклама, смотрите долю ботов по кампаниям и площадкам, а не в целом.
4. Если есть формы, проверьте, сколько заявок приходит без открытия страницы. Треть мусора — обычная картина, а не катастрофа.
5. Не включайте блокировку сразу. Сначала неделя наблюдения: так видно, что попадает под подозрение, и не задеты ли покупатели.

На дашборде кабинета BotBan та же разбивка видна по каждому сайту: люди, роботы, проверка, блокировка, реклама и формы, по часам и странам. Неделю наблюдения можно получить бесплатно через аудит трафика.