Gary Illyes (Google) relie les faux Googlebot à l’IA : vérifiez l’IP avant de bloquer
Un faux Googlebot peut ralentir votre boutique WooCommerce avant le Black Friday. Repérez-le sans bloquer le vrai robot de Google.
Un faux Googlebot se monte en 30 secondes environ, selon Gary Illyes, de l’équipe Google Search Relations. Dans l’Odys Podcast du 28 octobre 2026, il impute la hausse de ces usurpations à la collecte de contenus pour l’IA. À quatre semaines du Black Friday, les boutiques WooCommerce auto-hébergées ont donc intérêt à trier les vrais robots des imposteurs.
Ce que Gary Illyes a constaté sur ses sites-pièges
Face à Aneta Samkoff, animatrice de l’Odys Podcast, Gary Illyes n’annonce aucun nouveau produit. Il livre plutôt un constat de terrain : des robots se déclarent Googlebot depuis des adresses IP sans lien avec Google. Il les a repérés sur ses propres « honeypots », des sites-pièges installés pour observer ces visiteurs.
Sur la cause, sa réponse tient en une phrase : « Je pense que c’est l’IA ». De plus en plus d’entreprises cherchent du contenu pour entraîner leurs modèles, explique-t-il. Se présenter comme Googlebot servait surtout, historiquement, à franchir les filtres, puisque les sites ouvraient plus volontiers leurs portes au robot de Google.
Illyes doute pourtant que l’astuce marche encore aussi bien. Les pare-feu et les CDN (réseaux qui diffusent votre site depuis des serveurs répartis) repèrent mieux les usurpateurs. Ils ne les attrapent pas tous pour autant. Illyes ne chiffre d’ailleurs pas le phénomène. Selon Cloudflare Radar, cité par PPC Land, les robots pesaient 57,4 % du trafic HTML au 5 juin 2026. Nous n’avons toutefois pas pu vérifier ce chiffre dans l’étude d’origine.
Pourquoi un faux Googlebot pèse sur une boutique WooCommerce
Sur Shopify, l’hébergement relève de la plateforme, qui intègre déjà des protections selon Illyes. Une boutique WooCommerce auto-hébergée paie en revanche chaque requête avec ses propres ressources serveur. Pour un WordPress auto-hébergé, le sujet se posera probablement à terme, ajoute-t-il. Or un catalogue multiplie les URL avec ses filtres, ses tris et ses variantes, ce que Google appelle la navigation à facettes.
Un robot mal réglé peut alors réclamer ces pages en boucle et dévorer la bande passante. Pour Illyes, le pire arrive quand les vrais visiteurs ne peuvent plus accéder au site. Il estime d’ailleurs qu’une bonne partie des dégâts vient de robots maladroits plutôt que d’attaques délibérées. Le vendredi 27 novembre 2026, un tel ralentissement toucherait directement vos ventes.
Vos statistiques d’exploration en pâtissent aussi. Une ligne « Googlebot » dans les journaux du serveur ne prouve rien à elle seule. Si un faux Googlebot s’y glisse, vos analyses du budget de crawl (le volume de pages que Google lit chez vous) deviennent trompeuses. Aucune source ne décrit pour l’instant l’effet sur GA4 ou vos autres outils d’audience.
Démasquer un faux Googlebot grâce à l’adresse IP
Le nom affiché par un robot, son « user-agent », se modifie en une ligne de code, ou en quelques clics dans Chrome. Seule l’adresse IP fait donc foi. Google signe bien une partie des requêtes de Google-Agent avec Web Bot Auth, une signature cryptographique. Ce dispositif reste toutefois expérimental, et Googlebot n’en bénéficie pas.
La recherche DNS inverse consiste à demander quel nom de domaine se cache derrière une adresse IP. La méthode manuelle de Google part de l’IP relevée dans vos journaux et tient en quatre étapes :
- lancer une recherche DNS inverse sur cette IP, avec la commande host ;
- vérifier que le nom obtenu se termine par googlebot.com, google.com ou googleusercontent.com ;
- lancer une recherche DNS directe sur ce nom ;
- contrôler que l’IP retournée correspond à l’IP de départ.
Selon la documentation de Google sur la vérification de ses robots, cette méthode « suffit dans la plupart des cas ». Pour automatiser le contrôle, comparez plutôt les IP aux cinq fichiers JSON publiés par Google. Parmi eux figurent common-crawlers.json et special-crawlers.json. Les noms du vrai Googlebot suivent le masque crawl-***-***-***-***.googlebot.com ou geo-crawl-…geo.googlebot.com.
Bloquer le vrai robot de Google coûte cher
Quand le serveur rame, la tentation existe de couper tout ce qui s’annonce comme Googlebot. Ce filtre sur le nom bloquerait pourtant aussi le vrai. Selon Google, réduire son exploration a des effets larges. Le moteur découvre alors moins vos nouvelles pages et met plus de temps à actualiser vos prix et vos stocks.
Côté Google Ads, le risque grimpe encore, car AdsBot appartient aux robots spéciaux de Google. S’il ne passe plus, des campagnes peuvent s’arrêter et vos annonces disparaître en pleine période de promotions. Laisser entrer un robot sur la seule foi de son nom pose le problème inverse : l’imposteur passe sans contrôle.
En urgence, Google accepte un code 500, 503 ou 429 pendant quelques heures, voire un ou deux jours. Sa page sur la réduction de l’exploration prévient qu’au-delà, une URL en erreur plusieurs jours de suite peut sortir de l’index. Le robots.txt ne vous protège pas davantage, puisque Illyes le qualifie de simple suggestion. Pour bloquer vraiment, il faut une protection au niveau du réseau.
Vos priorités avant le Black Friday du 27 novembre
Gardez la mesure : selon Illyes, la plupart des petits sites n’ont aucun problème de robots. « Essayez d’abord de voir si vous avez vraiment un problème », conseille-t-il. Commencez donc par les journaux du serveur. Cherchez-y des IP inconnues qui se disent Googlebot, ou des rafales de requêtes sur vos pages filtrées.
Si un faux Googlebot se manifeste, activez un CDN ou un pare-feu applicatif (WAF) avec gestion des robots. Un CDN gratuit constitue déjà, selon Illyes, un bon point de départ. En cas de surcharge, limitez le débit des seules IP suspectes plutôt que de tout bloquer, puis vérifiez que les IP de Google passent toujours.
Pour refuser l’entraînement des IA sans toucher au référencement, réglez le jeton Google-Extended dans votre robots.txt. Apple propose l’équivalent avec Applebot-Extended. Les récupérateurs lancés à la demande d’un utilisateur, comme Google-Agent, ignorent en revanche ce fichier.
Évitez enfin de retoucher votre pare-feu la veille du 27 novembre, car un réglage hâtif peut bloquer vos clients ou AdsBot. Si votre hébergement WordPress vous échappe, notre équipe sites et e-commerce peut vous aider à faire le point.
Vous voulez savoir si des robots ralentissent votre boutique avant le Black Friday ? L'équipe Snazzy audite gratuitement votre présence en ligne et vous propose une feuille de route claire.
Questions fréquentes
Comment savoir si un faux Googlebot visite mon site ?
Relevez les IP qui se disent Googlebot dans vos journaux, puis lancez une recherche DNS inverse et directe. Le nom doit finir par googlebot.com, google.com ou googleusercontent.com et renvoyer la même IP. Sinon, vous avez affaire à un faux Googlebot.
Le robots.txt suffit-il à bloquer un faux Googlebot ?
Non, car Gary Illyes le décrit comme une simple suggestion que les robots malveillants peuvent ignorer. Pour bloquer réellement, il faut une protection au niveau du réseau, comme un CDN ou un pare-feu applicatif (WAF).
Une boutique Shopify risque-t-elle autant face aux faux Googlebot ?
Illyes cite Shopify parmi les plateformes hébergées qui intègrent déjà des protections. Les sites WordPress et WooCommerce auto-hébergés restent plus exposés, puisqu'ils supportent eux-mêmes la charge serveur. Selon lui, la plupart des petits sites n'ont toutefois aucun problème.
Que risque-t-on à bloquer le vrai Googlebot ?
Google découvre alors moins vos nouvelles pages et met plus de temps à actualiser prix et stocks. Des campagnes Google Ads peuvent aussi s'arrêter si AdsBot, un autre robot de Google, ne passe plus. Des erreurs 500, 503 ou 429 au-delà d'un ou deux jours peuvent enfin faire sortir des pages de l'index.
Sources & références
