Guide

Comment classer vraiment le trafic d'un site : humains, SEO, agents IA et sondes malveillantes

Sur un site professionnel, le journal d'accès mélange cinq populations très différentes : moi-même et mes outils techniques, de vrais visiteurs humains, les robots des moteurs de recherche, les agents des IA génératives, et des sondes malveillantes qui cherchent des fichiers de configuration ou des identifiants oubliés. Les confondre fausse toutes les statistiques qui en découlent.

La première règle, contre-intuitive, c'est que le chemin demandé doit être vérifié avant le user-agent. Un scanner qui réclame un fichier AWS ou un /.env tout en s'annonçant comme « GPTBot » reste un attaquant qui usurpe une identité crédible — pas un agent IA légitime. Si on classe par user-agent en premier, ce trafic malveillant pollue silencieusement les statistiques « agents IA », faussant toute analyse de visibilité GEO.

Une fois les sondes écartées par le chemin, le user-agent redevient fiable pour distinguer trois catégories utiles : les robots d'indexation classiques (moteurs de recherche), les agents des assistants IA (qui entraînent leurs modèles ou répondent à une requête), et les vrais navigateurs humains. Cette dernière catégorie se sous-classe encore par provenance — accès direct, recherche organique, réseaux sociaux, site partenaire — pour savoir d'où vient réellement l'audience.

Le signal le plus précieux, et le plus souvent ignoré, c'est la différence entre un agent IA qui entraîne un modèle et un agent IA qui répond à une question posée par un humain, là, maintenant. Ce deuxième cas — un assistant conversationnel qui va chercher une page précise parce qu'un utilisateur l'a interrogé sur ce sujet — est le vrai signal GEO : la preuve qu'une IA a jugé une page assez fiable pour aller la consulter en direct avant de répondre.