Boty na stronie: jak sprawdzić, ile ich jest, i zablokować szkodliwe

Według raportu Imperva Bad Bot Report 2025 w 2024 roku ruch automatyczny po raz pierwszy przekroczył ruch ludzi: 51% całego ruchu w internecie generowały programy, a 37% złe boty (rok wcześniej 32%). Mała firmowa strona nie jest tu wyjątkiem, bo boty nie wybierają ofiar po wielkości, tylko po tym, czy da się coś z nich wyciągnąć.

Dobra wiadomość: żeby to sprawdzić, nie trzeba być administratorem. Gorsza: najprostsze sposoby blokowania (plik robots.txt czy wtyczka) zatrzymują tylko część botów, a źle ustawione potrafią odciąć Google.

Dobre boty i złe boty: kogo wpuszczać na stronę

Nie każdy bot jest szkodnikiem. Część z nich jest Ci potrzebna, bo bez nich strona nie pojawi się w Google ani w odpowiedziach czatów AI. Celem nie jest zablokowanie wszystkich botów, tylko tych, które nic Ci nie dają, a kosztują.

Boty, które warto wpuszczać

Na pewno chcesz wpuszczać roboty wyszukiwarek, czyli Googlebota i Bingbota, bo bez nich nie ma pozycjonowania. Coraz ważniejsze są też boty wyszukiwarek AI, np. OAI-SearchBot od OpenAI: to dzięki nim strona może się pojawić w wynikach wyszukiwania ChatGPT. Trzecia grupa to usługi, które sam podłączyłeś: monitoring dostępności, bramka płatności, porównywarka cen czy narzędzie SEO.

Boty, które należy zatrzymać

• scrapery kopiują opisy, artykuły i ceny, często dla konkurencji,
• boty łamiące hasła tysiące razy próbują się zalogować do panelu WordPressa lub kont klientów sklepu,
• spamboty zapychają formularze kontaktowe i zakładają fałszywe konta,
• skanery podatności szukają starych wtyczek i znanych luk, żeby przejąć stronę,
• boty DDoS zalewają stronę żądaniami, aż przestaje odpowiadać prawdziwym klientom.

Szara strefa: crawlery AI i agresywne narzędzia SEO

Boty zbierające treści do trenowania modeli AI (np. GPTBot) i crawlery zewnętrznych narzędzi SEO działają legalnie, ale potrafią mocno obciążyć serwer i nic nie dają Twojej firmie wprost. Tu decyzja należy do Ciebie. Ważne, żeby była świadoma, a nie przypadkowa.

6 objawów, że boty obciążają Twoją stronę

1. strona zwalnia o dziwnych porach, np. w nocy, choć w Google Analytics nie ma wtedy użytkowników,
2. hosting ostrzega o przekroczeniu limitu procesora lub transferu albo proponuje droższy pakiet,
3. w formularzu kontaktowym jest spam mimo reCAPTCHA,
4. w logach serwera widać setki prób logowania do /wp-login.php lub xmlrpc.php,
5. w sklepie przybywa kont z dziwnymi adresami e-mail i porzuconych koszyków,
6. Twoje opisy produktów lub ceny pojawiają się na innych stronach.

Uwaga na Google Analytics: GA4 automatycznie odfiltrowuje znane boty, a wiele złych botów w ogóle nie uruchamia JavaScriptu, więc do statystyk nie trafia. To, że w Analytics wszystko wygląda normalnie, nie znaczy, że serwer nie obsługuje tysięcy żądań od botów.

Jak sprawdzić, ile ruchu na stronie to boty

Najwięcej mówią logi serwera, a nie Google Analytics. Oto, od czego zacząć:

• Logi dostępu w panelu hostingu. W cPanelu lub Plesku znajdziesz surowe logi (access log). Szukaj adresów IP i nazw (User-Agent), które wysyłają setki żądań na minutę albo w kółko odpytują stronę logowania, wyszukiwarkę i koszyk.
• Porównanie z GA4. Jeśli logi pokazują kilkadziesiąt tysięcy żądań dziennie, a Analytics kilkaset sesji, różnicę robią w dużej mierze boty.
• Search Console → Ustawienia → Statystyki indeksowania. Tu widać, ile żądań wysyła prawdziwy Googlebot. To ruch, którego nie wolno zablokować.
• Weryfikacja „Googlebotów”. Nazwę bota łatwo podrobić i wiele złych botów udaje Google. Google wprost pisze, że nagłówek User-Agent można sfałszować, a prawdziwego Googlebota poznaje się po odwrotnym DNS w domenie googlebot.com.

Ręczne przeglądanie logów jest pracochłonne i pokazuje stan z jednego dnia. Dlatego przy wdrożeniu Blackwall zaczynamy od trybu obserwacji: przez pierwsze dni panel tylko zbiera dane i pokazuje, jaka część ruchu to ludzie, dobre boty i złe boty, niczego jeszcze nie blokując.

Co możesz zrobić sam i gdzie są granice

robots.txt to prośba, nie zamek

W pliku robots.txt możesz poprosić konkretne boty, żeby nie odwiedzały strony. Przykład: blokujesz crawler OpenAI zbierający dane do trenowania modeli, ale zostawiasz bota wyszukiwarki ChatGPT, żeby firma dalej mogła pojawiać się w odpowiedziach:

User-agent: GPTBot
Disallow: /

User-agent: OAI-SearchBot
Allow: /

Według dokumentacji OpenAI te ustawienia są od siebie niezależne. Podobnie działa token Google-Extended: Google zaznacza, że nie wpływa on na obecność strony w wyszukiwarce ani na pozycje. Problem w tym, że robots.txt respektują tylko „grzeczne” boty. Scrapery, spamboty i boty łamiące hasła po prostu go ignorują.

Wtyczki bezpieczeństwa WordPress

Wtyczki typu Wordfence czy Shield ograniczają liczbę prób logowania, dodają logowanie dwuskładnikowe i blokują znane złośliwe adresy. Warto je mieć. Ich granica: działają wewnątrz WordPressa, więc żeby odrzucić bota, serwer i tak musi uruchomić PHP i bazę danych. Przy dużym ruchu botów strona zwalnia mimo wtyczki.

CAPTCHA w formularzach

reCAPTCHA lub Cloudflare Turnstile zmniejszają spam w formularzach, ale nie chronią przed kopiowaniem treści, łamaniem haseł do kont ani obciążeniem serwera. To zabezpieczenie jednego miejsca, a nie całej strony.

Blokowanie adresów IP i krajów

Ręczna blokada pomaga na chwilę. Współczesne boty zmieniają adresy i korzystają z sieci serwerów pośredniczących, także z adresów domowych, więc lista blokad szybko się dezaktualizuje, a łatwo przy okazji odciąć prawdziwych klientów.

Zewnętrzny serwer pośredniczący (CDN)

Usługi typu reverse proxy są skuteczne, ale wymagają zmiany DNS domeny i przepuszczenia całego ruchu przez zewnętrzną firmę. Nie zawsze jest to możliwe albo wygodne, np. gdy domeną zarządza ktoś inny lub firma nie chce ruszać konfiguracji poczty.

Jak działa ochrona przed botami Blackwall

Ochrona przed botami Blackwall (dawniej BotGuard) to usługa, którą instalujemy jako moduł na serwerze dla Apache, Nginx, WordPressa, cPanelu lub Pleska. Nie trzeba zmieniać DNS ani przekierowywać ruchu przez zewnętrzny serwer. Według producenta Blackwall chroni już ponad 2,3 mln stron.

• przepuszcza ludzi i zweryfikowane dobre boty: Google, Bing i usługi, których potrzebujesz, np. płatności czy porównywarki,
• zatrzymuje złe boty: scrapery, spamboty, fałszywe rejestracje i boty łamiące hasła,
• odpiera ataki DDoS warstwy aplikacji (L7), które zalewają stronę żądaniami,
• blokuje typowe ataki z listy OWASP Top 10, m.in. SQL injection i XSS,
• pokazuje w panelu, jaka część ruchu to ludzie, a jaka boty, także po wdrożeniu.

Złe boty dostają odmowę zamiast pełnej strony, więc serwer nie musi generować dla nich podstron, wyników wyszukiwania czy koszyka. Efekt, który klienci zauważają najszybciej: mniej spamu w formularzach, mniej prób logowania i spokojniejszy serwer w godzinach szczytu.

Blackwall nie zastępuje firewalla serwera, aktualizacji WordPressa ani kopii zapasowych. To dodatkowa warstwa, która chroni samą stronę. Resztę zabezpieczeń nadal trzeba utrzymywać. Więcej o atakach na sklepy piszemy w artykule o atakach DDoS na e-commerce.

Jak wygląda wdrożenie Blackwall krok po kroku

1. Analiza. Sprawdzamy serwer, panel hostingowy, rodzaj strony i obecne zabezpieczenia.
2. Instalacja. Uruchamiamy moduł na serwerze, zdalnie i bez przerwy w działaniu strony.
3. Tryb obserwacji. Panel zbiera dane o ruchu, nikt z klientów nie jest blokowany.
4. Włączenie ochrony. Blokujemy złe boty i dodajemy wyjątki dla usług, które muszą mieć dostęp.
5. Opieka. Monitorujemy panel, dostrajamy reguły i reagujemy na ataki.

Blackwall gratis w pakietach opieki nad stroną

Jeśli Twoja strona jest u nas w opiece technicznej, nie musisz kupować ochrony osobno. W pakietach Wsparcie Pro i Wsparcie Max Blackwall jest w cenie, razem z kopiami zapasowymi, pełną obsługą techniczną oraz hostingiem i domeną. W pakietach Wsparcie Start i Plus ochronę można dokupić jako tani dodatek. Szczegóły znajdziesz w cenniku pakietów wsparcia.

Nie masz strony u nas? Blackwall wdrożymy też osobno, na Twoim obecnym hostingu, z fakturą VAT i opieką po wdrożeniu. Szerzej o zabezpieczeniach firm piszemy na stronie cyberbezpieczeństwo dla firm.

Bezpłatna analiza ruchu botów na Twojej stronie

Napisz, jaki adres ma Twoja strona lub sklep i na jakim hostingu działa. Sprawdzimy, czy problemem są boty, i powiemy, czy ochrona ma sens w Twoim przypadku. Bez zobowiązań.

Boty, Google i WordPress w krótkich odpowiedziach

Autor artykułu

Michał Szapiel

W zalewie informacji czuję się jak ryba w wodzie. Uwielbiam wyszukiwać technologiczne perełki i nietuzinkowe rozwiązania, które realnie usprawniają biznes. Praca w Agile i SCRUM to dla mnie standard, ale to pasja do pisania o technologii, grafice i programowaniu napędza mnie do działania. Codziennie czytam, testuję i wdrażam nowinki, którymi dzielę się tutaj z Tobą.

Opublikowano: 4 listopada 2026

Zobacz także

CyberbezpieczeństwoDeepfake prezesa dzwoni do księgowej. Jak firma ma się obronić przed oszustwem na głos i wideo24.10.2026

CyberbezpieczeństwoMSP GLOBAL 2026: mIT group i Blackwall o ochronie stron przed botami22.10.2026

CyberbezpieczeństwoBezpieczeństwo IT w software house: jak przejść ankietę bezpieczeństwa klienta19.10.2026