Mer än hälften av all trafik på internet är inte människor. Det är bottar. En del av dem hjälper dig att synas i sökresultat. Resten äter dina serverresurser utan att bidra med något alls, eller värre, de letar aktivt efter säkerhetsluckor i din sajt.
Vi mätte trafiken på en av våra kundsajter. 18,5 procent var klassade som hot. Hundratals automatiserade scanners testade sökvägar som .env.openai, /stripe/.env och .aws/credentials. En annan blivande kunds sajt var nere i sju timmar för att Amazons AI-crawler och Facebooks meta-externalagent genererade 15 000 requests per dag mot en server utan skydd eller cache.
Mer än hälften av all webbtrafik är inte människor
Enligt Impervas Bad Bot Report 2026 stod automatiserad trafik för 53 procent av all webbtrafik under 2025, upp från 51 procent året innan. 40 procent var skadliga bottar, en ökning från 37 procent. AI-drivna bot-attacker ökade 12,5 gånger på ett enda år. Siffrorna pekar bara åt ett håll.
Cloudflare, som hanterar ungefär 20 procent av all internettrafik globalt, rapporterar att 80 procent av AI-crawling sker för modellträning. Inte för att skicka besökare till din sajt. Inte för att indexera dina produkter åt potentiella kunder. Utan för att mata stora språkmodeller med din data.
Fastly dokumenterade ett fall där en enda AI-bot gjorde 39 000 requests per minut mot en webbplats. Det är inte en besökare. Det är en DDoS-attack, fast utan uppsåt.
Wikipedia rapporterade 50 procent ökning i bandbreddsanvändning. Read the Docs blockade AI-crawlers och deras dagliga trafik sjönk från 800 GB till 200 GB. GNOME-projektet införde ett proof-of-work-system och upptäckte att bara 3,2 procent av alla requests faktiskt kom från människor.
Alla bottar är inte fienden
Det här är den viktiga distinktionen som de flesta missar.
En verifierad Googlebot som indexerar dina produktsidor hjälper dig att synas i sökresultat. En verifierad GPTBot som läser din produktbeskrivning kan citera den för en potentiell kund i ChatGPT. En verifierad Bingbot bygger din synlighet i Copilot.
Det är gratis marknadsföring. Du vill att de besöker dig.
Problemet är alla andra. Bottar som kallar sig "Googlebot" men kommer från en random IP-adress i ett datacenter. Bottar som ignorerar robots.txt. Bottar som spoofar sina user agents för att se ut som vanliga webbläsare. Bottar som testar hundratals sökvägar mot din sajt i jakt på .env-filer, AWS-nycklar och Stripe-konfigurationer.
De bidrar med noll värde. De äter dina serverresurser. Och din riktiga kund, den som faktiskt vill köpa något, får en långsammare upplevelse för att servern är upptagen med att svara bedragare.
Under en veckas analys av en av våra kundsajter var 18,5 procent av all trafik klassad som threats. Vi hittade hundratals unika sökvägar som testades av automatiserade scanners: .env.openai, .env.anthropic, /stripe/.env, .aws/credentials, .ssh/id_rsa. Ingen av dem lyckades, men varje request äter kapacitet som kunde gått till riktiga besökare.
Vill du veta hur din sajt mår?
Vi gör en initial analys av din Cloudflare-setup och bot-trafik. Kontakta oss så tittar vi på det.
Vad det betyder för din WooCommerce-butik
WooCommerce-sajter är extra sårbara av flera anledningar.
Varje sidladdning är tung. En WooCommerce-produktsida innebär databasanrop, plugin-laddningar och dynamiskt renderad HTML. När en bot laddar den sidan kostar det lika mycket serverkapacitet som när en riktig kund gör det. Men botten köper aldrig något.
Din cache fungerar sannolikt inte som den ska. De flesta WordPress-sajter utan aktiv cache-konfiguration ligger på en cache hit rate runt 15-20 procent enligt tillgängliga tester. Det betyder att 80-85 procent av alla requests slår igenom till din server. En välkonfigurerad WooCommerce-sajt bör ligga på 50 procent eller högre. Varje procentenhet som går till att servera bot-trafik istället för riktiga kunder är bortkastad kapacitet.
Dina betalningsflöden kan brytas. Stripe och PayPal skickar webhook-callbacks till din sajt via specifika URL-mönster. WooCommerce Subscriptions kör förnyelser via wp-cron.php. Om en övernitisk brandvägg blockerar dessa slutar betalningar att bekräftas och prenumerationer att förnyas. Vi har sett det hända.
Din analysdata blir oanvändbar. Om 30, 40 eller 50 procent av din trafik är bottar, då är dina siffror för sidvisningar, bounce rate och konverteringsgrad meningslösa. Du fattar beslut baserat på felaktig data.
Vad du kan göra själv (tre steg som gör skillnad direkt)
Det finns åtgärder du kan ta idag, utan att anlita någon.
1. Uppdatera din robots.txt
I robots.txt kan du styra vilka bottar som får crawla din sajt. Det viktigaste beslutet är att skilja mellan bottar som crawlar för att träna AI-modeller och bottar som crawlar för att visa dina produkter i sökresultat eller AI-assistenter.
Flera AI-bolag har separata bottar för träning och sök. OpenAI använder GPTBot för träning men ChatGPT-User för att svara på användarfrågor. Google använder Google-Extended för AI-träning men Googlebot för sökindexering. Du kan blockera träningsbotten och behålla sökbotten.
# Blockera AI-träning men behåll söksynlighet User-agent: Google-Extended Disallow: / User-agent: GPTBot Disallow: /
Notera: robots.txt är en rekommendation, inte ett lås. Väluppfostrade bottar följer den. De som spoofar sina namn och ignorerar regler gör det oavsett. För dem behövs hårdare verktyg.
2. Sätt Cloudflare framför din sajt
Cloudflares gratisplan ger dig DDoS-skydd, grundläggande bot-blockering och en CDN-cache. Bara att flytta din DNS dit och aktivera proxy-läge minskar lasten på din server omedelbart. Du behöver inte en betalplan för att komma igång.
3. Blockera de vanligaste exploit-vägarna
Oavsett om du använder Cloudflare eller en annan brandvägg, blockera dessa sökvägar som scanners testar konstant:
- /xmlrpc.php (används aldrig av moderna WordPress-sajter men är ett av de vanligaste attackmålen)
- /.env och varianter
- /wp-config.php
- /wp-trackback.php
På en av våra kundsajter stod dessa fyra sökvägar för merparten av alla blockerade requests.
Vad som krävs för att göra det ordentligt
Stegen ovan räddar dig från det värsta. Men de räcker inte för att optimera din sajt.
Vi har gjort djupgående Cloudflare-audits på flera WooCommerce-sajter det senaste halvåret. Processen ser ut så här:
Fas 1: Datainsamling (2+ veckor). Vi aktiverar Cloudflares regelset i log-läge. Det betyder att varje misstänkt request flaggas men inget blockeras. Vi samlar data och analyserar mönster.
Fas 2: False positive-analys. WooCommerce genererar massor av trafik som ser misstänkt ut för generiska brandväggsregler. Standard-cookies som wp_woocommerce_session triggar SQL injection-regler. Vi har sett att 47 procent av alla OWASP-flaggningar på en WooCommerce-sajt var false positives på helt vanlig kundtrafik. Om du slår på skyddet utan att hantera det blockerar du dina egna kunder.
Fas 3: Skräddarsydda regler. Vi bygger skip-regler som skyddar kritiska flöden: checkout, betalnings-webhooks, REST API, wp-cron. Utan dessa regler riskerar du att Stripe-callbacks blockeras, att prenumerationsförnyelser misslyckas, eller att din GDPR-cookie-banner slutar fungera.
Fas 4: Kontrollerad go-live. Brandväggen aktiveras stegvis. Managed Ruleset först, OWASP Core Ruleset minst en vecka senare. Med daglig övervakning och en färdig rollback-plan om något bryts.
Fas 5: Verified bot-hantering. Vi bygger dashboards som separerar verifierade bottar (Google, Bing, GPTBot med bekräftade IP-adresser) från overifierade. Målet: servern prioriterar de bottar som faktiskt kan skicka kunder till dig.
Resultat vi har sett
Kund 1 (liten e-handlare, delad hosting): Sajten gick från 7 timmars nedtid till noll avbrott. Grundskydd på Cloudflares gratisplan. 905 hot blockeras automatiskt per dag. Kostnadsökning: noll (Free plan).
Kund 2 (medelstor WooCommerce, prenumerationsmodell): 5,5 miljoner WAF-events per dag analyserade. 6 skräddarsydda skip-regler implementerade för att skydda checkout, betalningar och prenumerationsförnyelser. Noll legitim trafik blockerad.
Löpande övervakning, inte en engångsfix. Botlandskapet förändras konstant. Under bara ett år föll Bytespider från 42 procent till 7 procent av AI-crawlertrafiken, samtidigt som GPTBot ökade med 305 procent och Meta-ExternalAgent gick från marginell till 19 procent av all AI-crawlertrafik. Cloudflares katalog över kända bottar har vuxit till över 500, och inlämningar av nya bottar har ökat sju gånger sedan 2023. Det betyder att regler som fungerade i januari kan vara verkningslösa i juni. Vi övervakar löpande, justerar regler, och ser till att nya hot fångas innan de belastar servern.
Gör en audit på din butik?
Vi gör en initial analys av din Cloudflare-setup och bot-trafik. Kontakta oss så tittar vi på det.
Slutsats
Bottar är inte ett problem du kan ignorera. Mer än hälften av trafiken på nätet är automatiserad, 53 procent enligt den senaste mätningen, och den andelen ökar för varje år. Varje bot-request som din server svarar på är kapacitet som inte går till en riktig kund.
Men lösningen är inte att blockera allt. Lösningen är att sortera trafiken. Släpp igenom de verifierade bottarna som bygger din synlighet. Blockera bedragarna. Och se till att dina betalningsflöden aldrig bryts i processen.
Det kräver att någon förstår både Cloudflare och WooCommerce. Det är det vi gör.
Källor
De viktigaste referenserna för siffrorna i texten:
- Imperva / Thales: 2026 Bad Bot Report(opens in new tab) (53% bot-trafik 2025, 40% bad bots, 12.5x ökning AI-attacker)
- Cloudflare: The crawl-to-click gap(opens in new tab) (80% AI-crawling för träning)
- Fastly via Computerworld: Rise of AI crawlers(opens in new tab) (39 000 req/min)
- Botify: AI bots and Wikimedia(opens in new tab) (35% av trafiken, 65% av lasten)
- Cloudflare: From Googlebot to GPTBot(opens in new tab) (GPTBot +305%, Bytespider -85%)
- Cloudflare: BotBase for Operators(opens in new tab) (500+ kända bottar, 7x inlämningsökning sedan 2023)
- Benson SEO: Google vs AI Crawlers(opens in new tab) (2.5x mer data per request)
- Ars Technica: Open source devs forcing blocks(opens in new tab) (Read the Docs, GNOME)