Ruch botowy w GA4: jak go rozpoznać i jak sobie z nim radzić także poza GA4

GA4 filtruje ruch botowy domyślnie, więc łatwo założyć, że temat jest już załatwiony. W praktyce wbudowany filtr łapie tylko boty, które sam rozpoznaje — a to coraz mniejsza część całego ruchu zautomatyzowanego trafiającego dziś na strony internetowe.

Ten artykuł pokazuje, jak rozpoznać to, co przeszło przez filtr, i jakie rozwiązania ograniczają boty jeszcze zanim w ogóle dotrą do strony — nie tylko w samym GA4.

Jak GA4 filtruje ruch botowy domyślnie

GA4 ma włączone domyślnie i bez możliwości wyłączenia filtrowanie ruchu znanych botów i pająków, oparte na liście IAB/ABC (International Spiders and Bots List). Mechanizm porównuje user-agent żądania z tą listą i odrzuca dopasowania, zanim trafią do raportów.

To filtr sygnaturowy, nie behawioralny: rozpoznaje konkretne, znane identyfikatory botów, ale nie analizuje tego, jak dana sesja się zachowuje. Bot podszywający się pod zwykłą przeglądarkę — a większość dzisiejszego ruchu zautomatyzowanego tak właśnie robi — nie trafia na tę listę i przechodzi przez filtr bez przeszkód.

To ważna różnica względem oczekiwań: wiele osób zakłada, że skoro GA4 ma „filtr botów”, temat jest zamknięty raz na zawsze.

W rzeczywistości lista IAB/ABC jest aktualizowana przez zewnętrzną organizację i obejmuje głównie duże, znane boty — wyszukiwarkowe crawlery, narzędzia monitorujące, publicznie znane skanery. Celowo zbudowany bot, który ma ominąć akurat Twoją stronę, praktycznie nigdy się na niej nie znajdzie.

Jak rozpoznać ruch botowy, który przeszedł przez filtr

• Nietypowa koncentracja sesji w nocnych godzinach. Skok ruchu w porach, w których Twoja realna publiczność zwykle śpi, to jeden z najbardziej wiarygodnych sygnałów.
• Skrajne wartości czasu trwania sesji albo zaangażowania. Sesje trwające ułamek sekundy albo odwrotnie, nienaturalnie długie i identyczne dla wielu użytkowników, rzadko są realnym zachowaniem człowieka.
• Ruch z sieci hostingowych i centrów danych zamiast od dostawców internetu. Prawdziwi użytkownicy łączą się z sieci domowych i mobilnych; skupienie ruchu wokół znanych zakresów adresów IP dostawców chmurowych to typowy ślad zautomatyzowanych skryptów.
• Jedna strona wejścia bez dalszej nawigacji, powtórzona w dużej skali. Sesje, które zawsze lądują na tej samej stronie i kończą się bez żadnej dalszej interakcji, zwłaszcza w dużej liczbie z podobnego okna czasowego.
• Nagły wzrost sesji bez odpowiadającego wzrostu konwersji. Realny ruch zwykle przekłada się choć trochę na dalsze działania; ruch, który rośnie, podczas gdy liczba leadów czy zakupów stoi w miejscu, zasługuje na sprawdzenie.

Jak to sprawdzić w GA4

1. Zbuduj raport swobodny (Explore) z wymiarem godziny i metryką liczby sesji, żeby zobaczyć realny rozkład ruchu w ciągu doby.
2. Porównaj ten rozkład z tym, czego się spodziewasz, znając swoją publiczność — sklep z klientami w Polsce nie powinien mieć regularnego szczytu ruchu o trzeciej w nocy czasu polskiego.
3. Sprawdź raport technologii (przeglądarka, system operacyjny) pod kątem nietypowej koncentracji na jednej, rzadkiej kombinacji.
4. Sprawdź raport geograficzny pod kątem ruchu skupionego wokół lokalizacji typowych dla centrów danych, a nie realnych rynków, na których działasz.

Jak ograniczyć ruch botowy poza GA4

GA4 strukturalnie widzi tylko boty, które wykonują kod JavaScript na stronie tak jak przeglądarka — każdy bot odpytujący serwer bezpośrednio, bez renderowania strony, nigdy nie trafi do raportów GA4 w żadnej formie, ani jako „dobry”, ani jako „zły” ruch. To dobry powód, żeby nie traktować GA4 jako jedynej linii obrony.

• Bot management na poziomie CDN albo WAF. Rozwiązania takie jak Cloudflare Bot Management, AWS WAF Bot Control czy podobne usługi innych dostawców CDN blokują albo wyzywają podejrzany ruch, zanim w ogóle dotrze do serwera, a nie dopiero po fakcie w raportach analitycznych.
• Rate limiting na poziomie adresu IP i konkretnych ścieżek. Ograniczenie liczby żądań na minutę do logowania, wyszukiwarki czy checkoutu skutecznie tępi boty skryptowe bez wpływu na normalne korzystanie ze strony.
• Wyzwanie CAPTCHA albo JS challenge na wybranych, newralgicznych formularzach. Warto stosować punktowo — na rejestracji, logowaniu, formularzu kontaktowym — a nie na każdej stronie, żeby nie pogarszać doświadczenia realnych użytkowników.
• Analiza logów serwera albo CDN, niezależna od GA4. Logi dostępu łapią też boty, które nigdy nie wykonują JavaScriptu i strukturalnie nie mogą pojawić się w żadnym raporcie GA4 — to jedyny sposób, żeby w ogóle zobaczyć tę część ruchu.
• Honeypoty — niewidoczne dla człowieka linki albo pola formularza. Realny użytkownik nigdy ich nie kliknie ani nie wypełni; bot indeksujący stronę automatycznie często tak — co pozwala identyfikować i blokować źródłowe adresy IP.
• Lista blokowanych adresów IP i zakresów ASN, budowana na podstawie powtarzających się wzorców z logów i z samego GA4 razem, a nie tylko jednego źródła danych.
• Robots.txt — rola ograniczona do uczciwych robotów. Plik robots.txt działa jak prośba, nie zabezpieczenie: respektują go wyszukiwarki i inne uczciwe crawlery, ale nie powstrzyma niczego, co celowo chce zeskrobać albo zaspamować Twoją stronę.

Jak AlertGA4 pomaga z ruchem botowym

AlertGA4 codziennie porównuje udział sesji w nocnych godzinach z typowym poziomem dla danej usługi GA4 z poprzednich dni i wysyła alert, gdy ten udział nagle wzrośnie.

To nie jest zabezpieczenie blokujące ruch — pełni rolę wczesnego ostrzeżenia, że coś się zmieniło i warto zajrzeć do logów serwera albo panelu bot managementu, zanim zawyżony ruch wpłynie na ocenę skuteczności kampanii czy raport dla klienta.

Dla kogo ma to znaczenie

• Sklepy internetowe, dla których zawyżony ruch psuje współczynnik konwersji i utrudnia ocenę realnej skuteczności kampanii.
• Produkty SaaS z rejestracją w modelu self-service, gdzie boty rejestrujące konta testowe zawyżają liczbę leadów albo trialów bez żadnej realnej wartości biznesowej.
• Agencje raportujące wzrost ruchu klientowi, które ryzykują przedstawienie wzrostu napędzanego botami jako realnego sukcesu kampanii.

Żadne pojedyncze rozwiązanie z tej listy nie jest kompletną odpowiedzią samo w sobie. Skuteczna ochrona przed ruchem botowym to zawsze kilka warstw naraz: coś, co blokuje ruch na poziomie infrastruktury, coś, co ogranicza nadużycia na newralgicznych formularzach, i coś, co codziennie pilnuje, czy dane w analityce w ogóle wyglądają normalnie.