Bots et scraping de prix dans une boutique en ligne

Les bots sont des programmes qui visitent un site automatiquement. Certains sont utiles (robots d'indexation des moteurs de recherche), d'autres nuisibles : le scraping copie les prix et le catalogue, le credential stuffing essaie des identifiants volés, les bots de revente rachètent les produits rares, et les bots de test de cartes vérifient des numéros de carte sur la page de paiement.

En clair

Une boutique est ouverte à tous, donc les robots y entrent aussi librement. Les mauvais ne se distinguent pas par le simple fait d'être automatisés, mais par leur but et leur charge. Un concurrent peut collecter vos prix tous les jours, très vite ; un autre bot devine les mots de passe des comptes clients ; un troisième remplit des paniers de produits. Vous en voyez les conséquences : un site plus lent, des statistiques étranges, des factures d'hébergement, des comptes utilisés par d'autres que leurs propriétaires.

Quelle ampleur

D'après le Bad Bot Report 2026 d'Imperva (Thales), le trafic automatisé dépasse la moitié du trafic web, et environ 40 % de celui-ci est classé comme malveillant ; les attaques contre les API et les systèmes d'identité représentent 27 % des attaques ; les attaques pilotées par l'IA ont été multipliées par 12,5 (Thales/Imperva, 2026). Le rapport précédent (2025) donnait 51 % de trafic automatisé, sur la base des données de 2024 (Imperva, 2025).

Une réserve : ces données viennent d'une entreprise qui vend de la protection contre les bots, et elle mesure ses propres clients, pas l'ensemble d'internet. Les journaux de votre serveur montrent la situation réelle.

D'après le rapport Verizon DBIR 2026, l'IA amplifie environ 15 % des techniques d'attaque (Verizon).

Types de bots à surveiller

Les noms des classes de menaces viennent du projet Automated Threats to Web Applications de l'OWASP (OWASP) ; la page renvoie à un guide distinct avec les définitions.

Les bots utiles : moteurs de recherche et robots d'IA

On ne peut pas bloquer « tout ce qui est automatisé » : Googlebot, Bing et d'autres amènent des acheteurs. Google indique que ses robots sont identifiés par l'en-tête user-agent, l'adresse IP et le nom DNS inverse ; il ne faut pas se fier à l'en-tête seul, car il peut être falsifié (Google). Pour les robots des services d'IA et les règles d'accès qui les concernent, voir robots d'IA.

Ce que vous pouvez faire

1. robots.txt n'est pas une protection. Il demande aux robots polis de ne pas entrer, mais il « ne peut pas imposer un comportement aux robots » ; le contenu sensible nécessite des mots de passe et d'autres mesures (Google).
2. Limitation du débit des requêtes par adresse sur la recherche, la connexion et le paiement.
3. Contrôles anti-bot sur les actions « coûteuses » : connexion, inscription, paiement, code promo. Pas sur chaque page du catalogue.
4. Protection au niveau du CDN ou du pare-feu (WAF). Elle filtre une partie du trafic avant qu'il n'atteigne le site.
5. Connexion en deux étapes et notifications de connexion contre le credential stuffing.
6. Analyse des journaux : pics brusques de requêtes, une même adresse ou un même sous-réseau, user-agents inhabituels.
7. Prix. On ne peut pas cacher entièrement des prix publics au scraping ; la vraie réponse est la politique tarifaire, pas le masquage : un bot voit la même chose qu'un acheteur. En B2B, on peut afficher les prix après connexion, voir vente en ligne B2B.

Erreurs courantes

• Bloquer par pays ou par user-agent et couper par accident des acheteurs ou Googlebot.
• Traiter les sessions des statistiques comme des personnes : une partie du trafic est constituée de bots, et la conversion paraît plus faible. Voir conversion.
• Un captcha difficile à chaque étape. Il fait aussi fuir les acheteurs.
• Ne pas séparer le scraping de la charge : parfois le problème vient d'un hébergement trop faible, pas d'une attaque.

FAQ

Qu'est-ce que le scraping de prix ? La collecte automatique de prix et de caractéristiques sur des sites web, généralement par des concurrents ou des comparateurs de prix.

Peut-on interdire complètement le scraping ? Non. Ce qu'un visiteur peut voir, un programme peut le voir aussi. On peut rendre la collecte de masse plus difficile et limiter la vitesse des requêtes.

Comment distinguer un bot d'un humain ? Par le comportement : vitesse, enchaînement des actions, une seule adresse avec des milliers de requêtes, absence des traits typiques d'un navigateur. Un seul en-tête ne suffit pas (Google).

robots.txt aide-t-il contre les bots malveillants ? Non, seuls les robots polis le respectent (Google).

Termes associés

• Robots d'IA sur votre site : GPTBot, robots.txt et llms.txt
• Sécurité d'une boutique en ligne : le minimum
• Fraude au paiement et 3-D Secure
• Hébergement, CDN et pics de trafic
• Audit technique d'un site

Sources

• Thales/Imperva, The 2026 Bad Bot Report is here — community-cybersec.thalesgroup.com/blogs/tim-chang/2026/05/05/the-2026-bad-bot-report-is-here
• Imperva, 2025 Bad Bot Report — imperva.com/resources/resource-library/reports/2025-bad-bot-report
• Verizon, 2026 DBIR — verizon.com/business/resources/reports/dbir
• Google Search Central, Overview of Google crawlers and fetchers — developers.google.com/search/docs/crawling-indexing/overview-google-crawlers
• Google Search Central, Introduction to robots.txt — developers.google.com/search/docs/crawling-indexing/robots/intro
• OWASP, Automated Threats to Web Applications — owasp.org/www-project-automated-threats-to-web-applications