Les bots qui copient vos prix et votre catalogue : comment les reconnaître et les freiner

La boutique est lente à certaines heures, les statistiques montrent des visites qui n'achètent rien et un jour vous retrouvez vos photos et vos descriptions sur un autre site, avec vos prix légèrement cassés. Ce n'est pas un hasard : une partie du trafic de toute boutique en ligne est constituée de bots qui parcourent le catalogue et emportent ce qu'ils trouvent.

Quels types de bots visitent une boutique

Ils ne sont pas tous mauvais, et les bloquer tous est une erreur coûteuse. Il faut les distinguer :

• Moteurs de recherche : Google, Bing et d'autres. Vous les voulez, car sans eux vous n'êtes pas référencé.
• Services que vous utilisez : comparateurs où vous publiez, outils SEO, moniteurs de disponibilité, le robot de votre plateforme marketing.
• Robots d'intelligence artificielle, qui collectent du contenu pour entraîner des modèles ou répondre à des questions. À chacun sa décision, mais elle doit être la vôtre.
• Bots de veille tarifaire, engagés par des concurrents ou par des services qui revendent cette information. Ils visitent vos fiches chaque jour pour savoir combien vous facturez et si vous avez du stock.
• Copieurs de catalogue, qui téléchargent fiches, descriptions et images pour monter une autre boutique ou alimenter une marketplace.
• Bots d'abus : ils testent des cartes au checkout, créent de faux comptes, essaient des mots de passe sur la connexion client ou cherchent des modules vulnérables.

Les dégâts qu'ils causent

Charge du serveur

Un bot de copie ne navigue pas comme une personne : il demande des centaines de pages d'affilée, combine tous les filtres de la navigation à facettes et demande des pages que personne ne visite et qui ne sont pas en cache. Chacune oblige PrestaShop à calculer prix, stock et déclinaisons. Sur un hébergement juste, cela se ressent dans la vitesse perçue par vos vrais clients.

Un avantage pour la concurrence

Si un concurrent connaît vos prix et votre stock en temps réel, il peut ajuster les siens pour rester toujours un peu en dessous. Les prix publics sont publics, on ne peut pas l'éviter totalement, mais vous pouvez lui compliquer la tâche.

Contenu dupliqué

Si vos descriptions apparaissent sur d'autres sites, les moteurs de recherche doivent décider lequel est l'original. Ils ont généralement raison, mais pas toujours.

Statistiques faussées

Les visites de bots gonflent le trafic et font chuter le taux de conversion apparent, et vous poussent à décider avec des données faussées.

Comment les repérer dans les journaux

L'outil principal, ce sont les journaux d'accès du serveur (ceux de l'hébergement, pas les statistiques de la boutique, qui ne voient pas la plupart des bots car ils n'exécutent pas JavaScript). Ce qui trahit un bot :

1. Volume et rythme. Beaucoup de requêtes par minute depuis la même IP ou la même plage, à un rythme régulier, à toute heure.
2. Parcours. Uniquement des fiches produit, dans l'ordre des identifiants, ou toutes les combinaisons de filtres d'une catégorie. Jamais le panier, jamais la page d'accueil.
3. L'agent utilisateur. Les bots légitimes s'identifient. Beaucoup de copieurs se présentent comme un navigateur normal, mais parfois un ancien, ou le même pour des milliers de requêtes.
4. L'origine. Du trafic provenant de centres de données et de fournisseurs cloud plutôt que de connexions domestiques ou mobiles. Une personne navigue rarement depuis un serveur.
5. Pas de ressources. Ils demandent le HTML mais pas les feuilles de style, les petites images ni les scripts.

Les mesures qui fonctionnent

Sur le serveur

• Limiter les requêtes par IP : aucune adresse ne doit pouvoir demander plus d'un certain nombre de pages par minute. Une personne n'est pas gênée ; un copieur, beaucoup.
• Un pare-feu applicatif avec des règles anti-bots, chez l'hébergeur ou dans un service placé devant la boutique. Beaucoup distinguent les moteurs de recherche vérifiés du reste.
• Bloquer les plages de centres de données qui ne vous apportent rien, avec prudence : vos propres services peuvent aussi en provenir.

Dans la boutique

• Un cache de page complète là où c'est possible : si les pages sont servies depuis le cache, le bot pèse beaucoup moins.
• Ne pas indexer les combinaisons de filtres inutiles : contrôler quelles URL de la navigation à facettes peuvent être explorées réduit le terrain où les bots se perdent, les bons aussi.
• robots.txt pour les bots qui le respectent : les moteurs de recherche et la plupart des robots d'IA connus. Les copieurs l'ignorent, ce n'est donc pas une protection, mais un moyen d'organiser le trafic légitime.
• Protéger les formulaires de connexion et d'inscription contre les tentatives massives.

Dans le contenu

• Des images avec votre filigrane si la copie de vos photos vous porte préjudice.
• Des descriptions propres, pas celles du fournisseur : ce qui est à vous et apporte quelque chose se défend mieux.

Ce qu'il vaut mieux éviter

• Bloquer tout ce qui n'est pas un navigateur connu sans vérifier : vous finirez par bloquer un moteur de recherche ou votre propre comparateur.
• Imposer un captcha à tous les visiteurs : vous punissez vos clients à cause des bots.
• Masquer les prix, sauf si votre modèle est B2B et le justifie.
• Réagir à une seule IP : les copieurs sérieux font tourner leurs adresses. Cherchez des schémas, pas des adresses.

Les bots qui cherchent des vulnérabilités

Parmi tout ce trafic, certains bots ne cherchent pas des prix mais des modules aux failles connues, des dossiers d'installation oubliés ou des panneaux d'administration au nom par défaut. Contre ceux-là, la mesure principale n'est pas de les bloquer : c'est de ne rien leur laisser à trouver. PrestaShop, PHP et les modules à jour, aucun module orphelin sur le disque et le dossier du back-office renommé.

Comment le résoudre dans PrestaShop

RKR Security Alert n'est pas un pare-feu et ne bloque pas les bots : il détecte et alerte. Ce qu'il fait, c'est couvrir ce que ces bots cherchent. Son audit signale la présence du dossier install/, un dossier du back-office au nom par défaut, un robots.txt qui révèle le chemin du back-office, des sauvegardes accessibles à la racine et des dossiers d'upload où du PHP pourrait s'exécuter, et il vous alerte par Telegram des modifications d'employés, de modules et de configuration ainsi que des connexions au back-office depuis de nouvelles IP. Pour le trafic des bots lui-même, avec un forfait d'heures de support Rekire, nous analysons les journaux de votre serveur, identifions les bots qui le chargent et mettons en place les limites et règles qui ont du sens sur votre hébergement.