Policzyliśmy: 85% ruchu na stronach firmowych to automaty

Na 100 żądań, które trafiają do stron firmowych na naszej platformie, tylko 15 pochodzi od czegoś, co w ogóle przypomina człowieka z przeglądarką. Pozostałe 85 wysyłają automaty: skanery szukające luk, roboty wyszukiwarek, crawlery firm AI i narzędzia monitorujące. To nie szacunek z raportu branżowego, tylko wynik pomiaru na własnej infrastrukturze.

Jeśli patrzysz na „licznik odwiedzin" swojej strony i widzisz setki wejść miesięcznie, a zapytań brak, ten artykuł wyjaśnia, dlaczego jedno z drugim może nie mieć nic wspólnego, jak sprawdzić, co naprawdę jest w Twoich statystykach, i co z tym zrobić.

Żądanie, wizyta, odwiedzający: trzy słowa, które statystyki mieszają

Zanim liczby, jedno rozróżnienie, bo od niego zależy wszystko dalej. Żądanie to pojedyncze pobranie czegoś ze strony: jednej podstrony, jednego obrazka, jednego pliku. Wejście człowieka na stronę główną to kilkanaście żądań. Wizyta to jedna osoba z przeglądarką, która przegląda stronę przez jakiś czas. Odwiedzający to osoba liczona raz, nawet jeśli wróciła. Proste statystyki hostingowe pokazują zwykle żądania i nazywają je „odwiedzinami"; narzędzia w przeglądarce pokazują wizyty, ale tylko tych ludzi, którzy zgodzili się na pomiar. Żadne z nich nie mówi wprost, ile w tym ruchu jest automatów.

Skąd mamy te liczby

KOMPASFIRM prowadzi własny moduł analityki, który po stronie serwera zapisuje każde żądanie do stron klientów: adres podstrony, kod odpowiedzi, kategorię automatu. Bez cookies, bez adresów IP, bez pełnego identyfikatora przeglądarki. W ciągu pierwszych trzydziestu godzin pomiaru zebraliśmy 8557 żądań do witryn działających na platformie i każde z nich zostało zaklasyfikowane.

Wynik wygląda tak:

• 77% żądań to skanery bezpieczeństwa: automaty odpytujące masowo cały internet w poszukiwaniu znanych luk,
• 15% to ruch wyglądający na zwykłe przeglądarki, czyli pula, w której dopiero mieszczą się prawdziwi klienci,
• 5% to zweryfikowane roboty wyszukiwarek (Google, Bing, Seznam i inne),
• resztę stanowią crawlery AI, narzędzia SEO, podglądy linków z komunikatorów i inne automaty.

Do tego jedna liczba, która mówi najwięcej: 72% wszystkich żądań skończyło się kodem 404, czyli „nie ma takiej strony". To nie klienci błądzący po serwisie. To skanery odpytujące adresy, które w ogóle nie istnieją.

Jedno zastrzeżenie: to pomiar z pierwszych trzydziestu godzin na platformie, na której stron było wtedy kilkanaście, w większości z małym ruchem ludzkim. Na stronie z tysiącem prawdziwych wizyt miesięcznie proporcja będzie inna, bo automaty nie skalują się z popularnością strony, a ludzie tak. Zasada jednak zostaje: im mniejsza strona, tym większy udział automatów w jej „ruchu".

Czego szukają automaty na stronie zakładu usługowego

Lista najczęściej odpytywanych adresów z naszego pomiaru jest bardzo wymowna: /.env, /wp-login.php, /wp-content/plugins/..., /.git/config, /.env.backup. Skanery szukają plików konfiguracyjnych z hasłami, paneli logowania WordPressa i pozostałości po repozytoriach kodu.

Nie robią tego, bo Twoja firma kogoś zainteresowała. Robią to, bo odpytanie każdej domeny w internecie kosztuje ułamek grosza, a od czasu upowszechnienia narzędzi AI napisanie takiego skanera jest jeszcze tańsze. Według raportu Imperva Bad Bot 2025 automaty po raz pierwszy w historii wygenerowały ponad połowę światowego ruchu w sieci: 51%, z czego 37 punktów to boty szkodliwe. Nasz wynik jest wyższy, bo mierzymy strony małych firm, na których prawdziwego ruchu ludzkiego jest po prostu mniej, więc proporcja przechyla się w stronę automatów.

Czy to groźne? Dla stron na naszej platformie nie: nie ma tu WordPressa, plików .env w miejscu publicznym ani panelu pod /wp-login.php, więc skanery odbijają się od 404. Te same żądania trafiające w samodzielnie utrzymywaną, nieaktualizowaną instalację WordPressa to inna historia. Jeśli prowadzisz stronę na własnym hostingu, potraktuj tę listę adresów jako darmowy audyt: sprawdź, co odpowiada na te ścieżki u Ciebie.

Dlaczego licznik odwiedzin kłamie

Większość prostych statystyk hostingowych liczy żądania albo „unikalne wejścia" bez rozdziału na ludzi i automaty. Przy proporcjach z naszego pomiaru oznacza to, że licznik pokazujący 1000 odwiedzin może opisywać 150 ludzi. Właściciel patrzy na wykres, widzi ruch, nie widzi zapytań i wyciąga wniosek, że „strona nie sprzedaje". A strona być może widziała w tym czasie trzydziestu prawdziwych ludzi, z których dwóch zadzwoniło.

Działa to też w drugą stronę: nagły „wzrost ruchu" na wykresie bywa po prostu falą skanera, który przez godzinę odpytał tysiąc adresów. Bez klasyfikacji botów nie sposób odróżnić jednego od drugiego.

Narzędzia w przeglądarce (Google Analytics i podobne) mają odwrotny problem: skanery nie wykonują skryptów, więc w GA prawie ich nie widać, ale nie widać też ludzi, którzy odrzucili zgodę na pomiar, czyli często większości. Wynik: hosting zawyża, GA zaniża, a prawda jest gdzieś pomiędzy i bez pomiaru po stronie serwera nie da się jej ustalić.

Dlatego w analityce KOMPASFIRM ludzie i automaty nigdy nie siedzą na jednym wykresie. Wizyty liczone są osobno, po stronie przeglądarki i dopiero za zgodą użytkownika, a cały ruch automatów trafia do osobnego widoku „Google i AI", gdzie widać, które roboty przychodzą, po co i z jakim skutkiem. Więcej o tym rozdziale piszemy we wpisie o tym, co widzi analityka bez cookies.

Boty botom nierówne

Wrzucenie wszystkich automatów do jednego worka byłoby tym samym błędem co liczenie ich razem z ludźmi. Nasz klasyfikator rozróżnia dwanaście kategorii, a trzy z nich są dla właściciela firmy naprawdę istotne:

Roboty wyszukiwarek (Googlebot, Bingbot i inne) to goście, na których Ci zależy. Bez ich wizyt strona nie istnieje w wynikach wyszukiwania. W naszym pomiarze niemal wszystkie żądania tej kategorii przeszły weryfikację wsteczną DNS, czyli potwierdzenie, że robot podpisujący się jako Googlebot faktycznie przyszedł z serwerów Google.

Crawlery AI (OpenAI, Anthropic, Apple i inne) zbierają treść do trenowania modeli i do odpowiedzi asystentów. W ciągu trzydziestu godzin odwiedziły strony na platformie 148 razy. To nowy kanał dotarcia do klientów: asystent, który przeczytał Twoją stronę, może ją zacytować w odpowiedzi. Jak pisać, żeby cytował właśnie Ciebie, opisaliśmy we wpisie o stronie firmowej w wyszukiwarkach AI.

Skanery i nieznane automaty to szum, który trzeba umieć odfiltrować, ale nie ma sensu z nim walczyć. Blokowanie ich na ślepo potrafi przy okazji zablokować robota wyszukiwarki podpisującego się nietypowo i zaszkodzić widoczności strony. Świadomie tego nie robimy: skanery dostają swoje 404 i tyle.

Pozostałe kategorie to między innymi narzędzia SEO (sprawdzają linki i pozycje, także dla konkurencji), podglądy linków z komunikatorów (gdy ktoś wkleja adres strony na Messengerze albo w Slacku, komunikator pobiera stronę, żeby pokazać miniaturkę), monitoring dostępności i archiwa internetu. Żadna nie jest klientem, ale każda mówi coś innego: podglądy linków to zwykle ślad po ludziach, którzy polecają Twoją stronę dalej.

Co z tego wynika dla właściciela firmy

Trzy rzeczy do zapamiętania.

Po pierwsze: surowa liczba odwiedzin bez rozdziału na ludzi i automaty nie mówi nic. Zanim wyciągniesz wniosek o skuteczności strony, upewnij się, czym naprawdę jest „ruch" w Twoich statystykach.

Po drugie: mierz to, co przekłada się na pieniądze, czyli zapytania i próby kontaktu, a nie odsłony. Sto wizyt ludzi i dwa telefony to lepszy wynik niż tysiąc żądań i cisza.

Po trzecie: obecność skanerów jest normą, nie atakiem. Odpowiedzią nie jest panika ani blokowanie, tylko infrastruktura, na której skanery nie mają czego szukać.

Jak to sprawdzić na własnej stronie

Jeśli strona jest na KOMPASFIRM: w panelu, w zakładce Analityka, sekcja „Google i AI" pokazuje roboty według kategorii, a sekcja „Wyniki" ludzi, próby kontaktu i zapytania. Jeśli te dwie liczby wyglądają zupełnie inaczej niż „odwiedziny" w starym liczniku, to nie błąd, tylko pierwszy raz, gdy widzisz prawdziwy obraz.

Jeśli strona jest gdzie indziej: poproś hosting o statystyki z podziałem na kody odpowiedzi. Wysoki udział 404 przy „dużym ruchu" to skanery. Zestaw liczbę „odwiedzin" z hostingu z liczbą wizyt w Google Analytics: różnica to w przybliżeniu automaty plus ludzie bez zgody.

Każda strona na KOMPASFIRM, od planu darmowego wzwyż, ma wbudowany pomiar zapytań i prób kontaktu, a płatne plany dokładają pełny rozdział ruchu na ludzi, wyszukiwarki i AI. Bez instalowania czegokolwiek i bez wysyłania danych Twoich klientów do zewnętrznych systemów.