Il rapporto Cloudflare di luglio 2026 mostra che oltre la metà delle richieste globali non proviene da esseri umani

Per la prima volta nella storia, il traffico automatizzato ha superato quello umano. Non è una proiezione: è il dato di luglio 2026 emerso dal rapporto di Cloudflare, che la scorsa settimana ha annunciato una nuova iniziativa con Mozilla Firefox, Google Chrome e Microsoft Edge per sviluppare un protocollo di verifica che preservi la privacy. Per chi fa SEO, questo non è solo un numero da far girare su LinkedIn: significa che ogni metrica di traffico va riconsiderata da capo.

Il sorpasso silenzioso: bot al 50% e oltre

A giugno 2026, il 52% delle richieste dei crawler è destinato all’addestramento dell’intelligenza artificiale, in netto aumento rispetto al 22% della primavera 2025. I crawler non sono più solo quelli di Googlebot o Bingbot, insomma: la fetta dominante appartiene a modelli linguistici e sistemi di training che setacciano il web a ritmi insostenibili per chi gestisce un server. Il rapporto di Cloudflare di luglio 2026 fornisce lo sfondo quantitativo: per la prima volta il traffico automatizzato e quello degli agenti superano il traffico umano, con più del 50% delle richieste totali che oggi non ha un essere umano dietro lo schermo.

Il dato non è una curiosità da addetti ai lavori. È la variabile che manda in tilt Google Analytics, altera i log server e distorce qualsiasi confronto anno su anno. Se metà delle visite che registrate non sono persone che leggono, cliccano o comprano, i report su cui basate le decisioni editoriali e tecniche vanno smontati e riletti con un filtro nuovo. Ma non è solo una questione di volume: la vera sfida è capire chi c’è dietro a quel traffico, e con quale intento.

PACT: il passaporto anonimo per l’utente reale

Ecco dove entra in gioco PACT. La tecnologia Private Access Control Tokens, sviluppata insieme a Mozilla, Google, Microsoft e Shopify, è progettata per consentire ai siti con una forte conoscenza della “personhood” — l’effettiva umanità di chi sta interagendo — di emettere token anonimi. In pratica, chi ha già verificato che un utente è una persona reale (per esempio una banca durante l’onboarding, o un e-commerce dopo un acquisto verificato) può rilasciare un token che quell’utente potrà usare altrove per dimostrare di non essere un bot, senza rivelare la propria identità.

L’architettura affonda le radici in Privacy Pass, lo standard che Cloudflare iniziò a supportare già nel 2017, con il rilascio delle estensioni per Chrome e Firefox che permettevano di bypassare i CAPTCHA senza tracciare l’utente. PACT porta quella logica un passo avanti: non si tratta più solo di saltare una verifica fastidiosa, ma di costruire un ecosistema in cui ogni nodo della rete può fidarsi di un segnale di “umanità” certificato a monte. Secondo Dane Knecht, CTO di Cloudflare, il modo in cui interagiamo con Internet sta affrontando un cambiamento fondamentale: operazioni quotidiane come ordinare cibo, che prima richiedevano a un utente di navigare manualmente menu e gateway di pagamento, ora vengono orchestrate da agenti autonomi per conto delle persone.

La posizione di Shopify è altrettanto netta. Ilya Grigorik, Distinguished Engineer dell’azienda, ha spiegato che PACT aiuterà i commercianti a distinguere acquirenti legittimi e agenti autorizzati dal traffico abusivo, preservando la privacy degli acquirenti. È un punto cruciale: non tutti i bot sono nemici. Alcuni sono agenti che lavorano per conto di utenti reali, e un segnale di traffico binario — umano sì, umano no — non basta più. La domanda ora è: chi adotterà questo standard e cosa significa per chi gestisce un sito?

SEO post-bot: cosa cambia domani mattina

Per il SEO, non è più sufficiente guardare i numeri grezzi. Se il 52% del traffico crawler è IA in addestramento, i log del server vanno segmentati con regole precise: isolare gli user-agent noti, identificare i pattern di richiesta anomali, e incrociare i dati di traffico con le metriche di engagement effettivo (tempo sulla pagina, scroll depth, conversioni). Le metriche di vanità come le pageview sono già morte, ma ora rischiano di diventare attivamente dannose se usate per prendere decisioni.

C’è poi un’apertura concreta che PACT porta con sé: la possibilità di usare token anonimi per qualificare il traffico lato server, senza dipendere esclusivamente da JavaScript o cookie di terze parti. Per chi fa SEO tecnica, significa prepararsi a un mondo in cui il segnale “umano verificato” potrebbe diventare un meta-segnale che i motori di ricerca stessi potrebbero integrare nei loro sistemi di ranking o di valutazione della qualità del traffico. Non è fantascienza: i browser coinvolti sono gli stessi che decidono come il web viene renderizzato e indicizzato.

Nel frattempo, ogni audit SEO dovrebbe già includere un’analisi della percentuale di traffico bot sul dominio, con particolare attenzione ai crawler IA. Ignorare la componente automatizzata significa prendere decisioni su dati falsati. PACT può essere il primo mattone per ricostruire la fiducia nei segnali di traffico, ma la responsabilità di segmentare, interpretare e agire resta in capo a chi ottimizza. L’era del traffico ibrido richiede una nuova cassetta degli attrezzi.