AI boti in spletni napadi, kaj in zakaj so, ter kako se zaščititi?

Vaša spletna stran ima obiskovalce, ki jih v Google Analytics ne vidite. Velik del prometa danes ne prihaja od ljudi, temveč od avtomatiziranih programov – botov. Med njimi hitro raste nova vrsta: AI boti, ki stran pregledujejo, kopirajo in obremenjujejo, pogosto brez vašega dovoljenja in brez kakršnekoli koristi za vaše podjetje.

Posledice so zelo konkretne: počasnejša stran, višji stroški gostovanja, ukradena vsebina in večja izpostavljenost hekerskim napadom. Dobra novica je, da imamo za to preverjeno rešitev. V nadaljevanju pojasnjujemo, kaj se dogaja v ozadju, katerim botom je vredno odpreti vrata in kako s Cloudflare vašo stran hkrati zaščitimo in pospešimo.

Kako AI boti napadajo strežnike in kaj želijo

AI boti večinoma ne vdirajo v sistem, temveč stran preplavijo z zahtevami in iz nje odnesejo vsebino. Za strežnik je učinek pogosto enak manjšemu napadu DDoS: več obremenitve, počasnejši odzivi in v najslabšem primeru izpad.

Kaj AI boti iščejo

• Podatke za učenje modelov. Učni pajki (training crawlers) sistematično pobirajo besedila, slike in opise izdelkov, da z njimi trenirajo jezikovne modele. Vaša vsebina tako postane del tujega produkta, vi pa za to ne dobite ničesar.
• Poslovne informacije. Specializirani boti z umetno inteligenco spremljajo cene, zaloge in akcije, da lahko konkurenca hitro reagira.
• Napadalci z AI orodji hitreje in ceneje pregledujejo strani za zastarele vtičnike, odprte obrazce in šibke prijave.
• Dostop do računov. Avtomatizirani poskusi prijave z ukradenimi gesli, lažne registracije in spam prek kontaktnih obrazcev.

Zakaj so tako obremenjujoči

• Gredo tja, kamor ljudje ne gredo. Brskajo po arhivih, filtrih, iskalnikih in starih straneh, ki niso v predpomnilniku. Vsaka takšna zahteva neposredno obremeni strežnik in bazo podatkov.
• Ne upoštevajo pravil. Del botov ignorira datoteko robots.txt, v kateri ste jim prepovedali dostop.
• Se skrivajo. Lažno se predstavljajo kot navaden brskalnik ali Googlebot in menjajo IP-naslove, zato jih preprosto blokiranje po IP-ju ne ustavi.
• Malo vrnejo. Cloudflare spremlja razmerje med številom pregledanih strani in številom obiskovalcev, ki jih AI platforma pošlje nazaj. Pri učnih pajkih je to razmerje izrazito neugodno, saj ti po definiciji ne pošiljajo obiskov.

Rezultat za vaše podjetje: počasnejša stran za prave stranke, slabši položaj v iskalnikih, višji računi za gostovanje in pasovno širino ter vsebina, ki jo drugi uporabljajo brez vašega soglasja.

Niso vsi boti sovražniki: koristi AI botov

Vse več ljudi informacije išče prek ChatGPT, Claude, Perplexity, Gemini in Googlovih AI povzetkov. Če vaše strani ti sistemi ne poznajo, vas v njihovih odgovorih preprosto ni. Nekateri AI boti so zato za vaše podjetje dobrodošli, saj vam prinašajo vidnost in nove obiske.

Cloudflare AI promet deli v tri skupine glede na to, kaj bot na vaši strani dejansko počne:

Poleg tega obstajajo klasični koristni boti, ki jih nikakor ne želite izgubiti: Googlebot in Bingbot za SEO, boti za predogled povezav na družbenih omrežjih, orodja za spremljanje delovanja strani ter boti plačilnih in poštnih storitev.

Zakaj ni pametno blokirati vsega

Popolna blokada botov je kot zaklepanje trgovine pred vsemi, ker je nekdo enkrat kradel. Problem rešite, a izgubite tudi kupce. Pri zaščiti ne gre za vprašanje »bot ali človek«, temveč »koristen ali škodljiv obiskovalec«.

Če blokirate vse avtomatiziran promet, tvegate:

• Padec v iskalnikih. Če Googlebot ne more do strani, vas Google počasi pozabi.
• Nevidnost v AI odgovorih. Konkurenca, ki jo AI asistenti poznajo, dobi stranke, ki bi lahko bile vaše.
• Okvarjene integracije. Plačilni sistemi, predogledi povezav, spremljanje delovanja in partnerski sistemi nehajo delovati.
• Lažni občutek varnosti. Najbolj škodljivi boti se predstavljajo kot ljudje, zato jih grobo blokiranje po imenu ali IP-ju pogosto zgreši, ljudi pa po nepotrebnem ustavi.

Prava rešitev je selektivna: dobre bote spustimo, učne pajke omejimo ali blokiramo po vaši presoji, škodljive bote pa ustavimo, preden pridejo do strežnika.

Kako težavo z AI boti rešimo s Cloudflare

Cloudflare se postavi med obiskovalce in vaš strežnik, zato vsak obisk najprej preveri, šele nato ga spusti naprej. Škodljiv promet se ustavi v Cloudflarovem globalnem omrežju in vašega strežnika sploh ne doseže.

pot prometa skozi Cloudflare · 5 vrst obiskovalcev, 3 izidi

Google, AI iskalniki in ljudje pridejo do strani nemoteno, o učnih pajkih odločite vi, škodljivi boti pa se ustavijo že v Cloudflarovem omrežju.

Orodja, ki jih nastavimo

• Nadzor AI prometa po namenu. Od julija 2026 lahko vsi Cloudflare uporabniki, tudi na brezplačnem paketu, ločeno upravljajo tri skupine AI botov: iskalne, agentne in učne. Za vsako določimo, ali je dovoljena, blokirana povsod ali blokirana le na straneh z oglasi.
• Upravljan robots.txt. Cloudflare samodejno vzdržuje seznam znanih AI pajkov in jim sporoči vaša pravila. Če robots.txt že imate, se Cloudflarova pravila dodajo pred vaša, brez izgube obstoječih nastavitev.
• Bot Fight Mode in Super Bot Fight Mode. Prepoznata avtomatiziran promet in ga izzoveta ali ustavita, preverjene koristne bote, kot sta Googlebot in Bingbot, pa spustita naprej.
• Bot Management z ocenami botov. Na višjih paketih vsak obisk dobi oceno verjetnosti, da gre za bota, na podlagi vedenja, strojnega učenja in prstnih odtisov. Tako ujamemo tudi bote, ki se pretvarjajo, da so ljudje.
• Prijazna alternativa CAPTCHA za obrazce in prijave: ljudje večinoma ne opazijo ničesar, boti pa ne pridejo skozi.
• Omejevanje zahtev (Rate Limiting). Kdor pošlje preveč zahtev v kratkem času, se samodejno upočasni ali ustavi.
• Analitika AI prometa. Vidite, kateri boti obiskujejo vašo stran, koliko strani preberejo in koliko obiskov vam vrnejo. Na podlagi teh podatkov skupaj sprejmemo odločitve, ne na pamet.

Kaj to pomeni za vas

Google in AI iskalniki vas še naprej najdejo, učni pajki pa vašo vsebino uporabljajo le, če se za to odločite. Škodljivi boti ostanejo zunaj, strežnik pa ima več zmogljivosti za prave stranke.

Druge grožnje, ki jih Cloudflare ustavi

AI boti so le del slike. Ista nastavitev Cloudflare vašo stran zaščiti tudi pred klasičnimi hekerskimi napadi, ki vsak dan ciljajo tudi na manjša slovenska podjetja.

Ko je napad v teku, lahko z enim klikom vklopimo tudi način »I’m Under Attack«, ki vsak obisk dodatno preveri, dokler nevarnost ne mine.

Hitrejša stran s Cloudflare

Cloudflare ni le varnostni ščit, temveč tudi pospeševalnik. Vaša stran se obiskovalcem streže iz najbližjega Cloudflarovega podatkovnega centra, strežnik pa opravi manj dela. Hitrejša stran pomeni boljšo uporabniško izkušnjo, boljše ocene Core Web Vitals in s tem boljši položaj v Googlu ter več konverzij.

Orodja za pospeševanje, ki jih nastavimo

• Globalni CDN in predpomnjenje. Slike, CSS, JavaScript in po potrebi celotne strani se shranijo blizu obiskovalca. Pravila predpomnjenja (Cache Rules) in Tiered Cache prilagodimo vaši strani.
• Automatic Platform Optimization (APO) za WordPress. Celotne WordPress strani se strežejo iz Cloudflarovega omrežja, kar občutno skrajša čas do prvega odziva.
• Optimizacija slik. Polish samodejno zmanjša slike in jih po potrebi pretvori v sodobne formate, kot sta WebP in AVIF, brez vidne izgube kakovosti.
• Stiskanje vsebine. Sodobno stiskanje (Brotli, Zstandard) zmanjša količino prenesenih podatkov.
• Sodobni protokoli. HTTP/2, HTTP/3 (QUIC) in 0-RTT pospešijo povezavo, še posebej na mobilnih omrežjih.
• Pametno predhodno nalaganje. Early Hints in Speed Brain brskalniku vnaprej pripravita vire in naslednjo stran, ki jo bo obiskovalec verjetno odprl.
• Argo Smart Routing. Promet do strežnika potuje po najhitrejših poteh v Cloudflarovem omrežju, mimo zastojev na internetu.
• Merjenje rezultatov. Z orodjem Observatory izmerimo hitrost pred in po nastavitvi, da so izboljšave vidne v številkah.

Zakaj nastavitev prepustiti strokovnjakom

Ne deluje vsaka nastavitev na vsaki strani. Rocket Loader na primer lahko pri nekaterih straneh pokvari JavaScript, napačna pravila predpomnjenja pa lahko pokažejo zastarelo vsebino ali celo vsebino košarice drugega uporabnika. Mi nastavitve preizkusimo na vaši strani in vklopimo le tisto, kar dejansko pomaga.

Naša ponudba: Cloudflare nastavimo namesto vas

Cloudflare je zmogljivo orodje, a z več sto nastavitvami. Napačna konfiguracija lahko zaklene Google, pokvari stran ali pusti vrata odprta napadalcem. Zato poskrbimo za celoten postopek, vi pa se posvetite svojemu poslu.

Kaj vključuje storitev

1. Brezplačen pregled stanja. Preverimo varnost, hitrost in promet botov na vaši strani ter vam pokažemo, kje izgubljate.
2. Prenos na Cloudflare brez izpada. Varno prenesemo DNS in nastavimo SSL, stran ves čas deluje.
3. Varnostna nastavitev. WAF, zaščita pred DDoS, zaščita prijav in obrazcev, skrivanje IP-naslova strežnika.
4. Politika za AI bote po vaši meri. Skupaj določimo, katere AI bote spustimo, katere omejimo in katere blokiramo.
5. Optimizacija hitrosti. Predpomnjenje, slike, protokoli in, kjer je smiselno, APO za WordPress.
6. Meritve pred in po. Prejmete poročilo z merljivimi rezultati hitrosti in varnosti.
7. Spremljanje in vzdrževanje (po želji). Redno pregledujemo promet, prilagajamo pravila novim grožnjam in hitro ukrepamo ob napadu.

Kaj pridobite

• Hitrejšo stran in boljše uvrstitve v iskalnikih
• Zaščito pred AI strgalniki, boti in hekerskimi napadi
• Nadzor nad tem, kdo uporablja vašo vsebino
• Nižjo obremenitev strežnika in manj nepričakovanih stroškov
• Strokovnjaka, ki ga pokličete, ko gre kaj narobe

Ne čakajte, da napad opazite šele, ko stran ne deluje. Pišite nam na info@webtim.si ali pokličite 040 211 712 in dogovorimo se za brezplačen pregled vaše strani.

Primer iz prakse

Pri eni od naših strank (spletna trgovina) je prihajalo do rednih zastojev strežnika in napak pri urejanju vsebine. Analiza je pokazala, da je do 65 % vsega prometa na strani prihajalo iz avtomatiziranih virov — predvsem agresivnih AI crawlerjev in podatkovnih centrov, ki so zaradi „verificiranega“ statusa obšli osnovno zaščito.

Z implementacijo prilagojenih Cloudflare pravil smo v enem tednu dosegli naslednje rezultate:

Delež prometa, ki neposredno obremenjuje strežnik, se je torej zmanjšal za skoraj dve tretjini — kljub temu da se je skupni promet na strani v tem času povečal.