BOT PROTECTION by effect.moe

KNOWLEDGE / AI SHIELD

ボット対策とは?
悪質BotとAIクローラーの防ぎ方

いま、あなたのサイトのアクセスの多くは人間ではありません。当サイトの実測では、AIクローラーだけで検索エンジンのGooglebotを上回り、その景色に紛れて悪質な偽装ボットが30日間で1,075件検出されました。

この記事では、ボット対策とは何かを整理し、「良いボットは通し、悪質ボットだけ止める」ための見分け方と対策の考え方を、当社サーバーの実測データつきで解説します。

ボット対策の考え方を見る

01 / DEFINITION

ボット対策とは何ですか?

ボット対策とは、Webサイトに来る自動アクセス(ボット)を選別して制御する取り組みです。大事なのは「全部止めること」ではありません。ボットには2種類あるからです。

GOOD BOTS

良いボット

検索エンジン(Googlebot等)やAI(ChatGPT・Claude等)のクローラー。あなたのサイトを検索結果やAIの回答で紹介するために読みに来ます。止めると、紹介される機会を自分から捨てることになります。

MALICIOUS BOTS

悪質ボット

正規ボットを装ってサイトの侵入口を探したり、内容を無断で大量収集したりするアクセス。止めるべきはこちらです。

つまりボット対策の本質は、ブロックの技術ではなく見分ける力です。

02 / VERIFY

良いボットと悪質ボットは、どう見分けますか?

名乗り(ユーザーエージェント)は自己申告なので、それだけでは見分けられません。第三者の実測では、AIアシスタントを名乗るアクセスの81.8%が偽装だったという報告もあります。見分けの軸は2つです。

軸1: 運営元が「本物の確認手段」を公開しているか

ボット確認手段当サイトの実測(2026年8月)
ClaudeBot(Anthropic)✅ 公式IPリスト公開944件(Googlebot 907件を上回る)
Amazonbot(Amazon)✅ 逆引きDNS+公式IPリスト991件(全体2位)
Googlebot(Google)✅ 公式に検証方法を提供907件
Bytespider(ByteDance)公式の確認手段なし2,154件(全体最多)

確認手段のあるボットは「名乗りと発信元の照合」で本物か判定できます。確認手段がないボット、そしてどのリストにも載らない無名のアクセスが、注意すべき領域です。

軸2: 挙動が人間の閲覧として自然か

当サイトの実測では、1つの発信元が最大364種類の場所を機械的に探し回る挙動や、通常の閲覧ではあり得ない場所(設定ファイルや認証情報のありか)を狙う探索が30日で445件記録されました。読む順番・速度・狙う場所 — 挙動は嘘をつきません。

03 / OBSERVE

悪質ボットは、実際に何をしてくるのですか?

当サイトの実測(直近30日)から、防御目線で3つだけ紹介します。

  1. 正規AIのふりをした偵察 — AIクローラーを名乗る偽装アクセスが1,075件。AIボットの往来が当たり前になった今、その中に紛れるのが最も安価な変装だからです
  2. 侵入口の総当たり探索 — サイトの種類も確かめずに、WordPressの入口や露出ファイルを機械的に叩いて回ります(WordPressを使っていない当サイトにさえ来ています。詳細はWordPressの脆弱性の記事で解説しています)
  3. 無断の大量収集 — robots.txtの「読まないでください」を無視して収集を続けるボットの存在が、広く報告されています

04 / THREE LAYERS

ボット対策は、何から始めればいいですか?(3層の考え方)

道具の名前より先に、順番を覚えてください。

  1. 01
    まず測る自分のサイトに今、何がどれだけ来ているかを知る。現状が見えないままの対策は、健康診断なしの投薬と同じです
  2. 02
    入口を減らす使っていない機能・外から見える必要のないものを閉じ、狙われる面積を小さくする
  3. 03
    前段で確認し、監視を続けるアクセスがサイトに届く前に確認する「門番」を置き、正規のAI・人は通し、偽装だけ止める。そして侵入や変化に気づける監視を続ける

注意点が1つ。robots.txtは良いボットへの「お願い」としては機能しますが、悪質ボットには効きません(名乗り自体が嘘なので、宛名のあるお願いは届きません)。robots.txtは案内板、門番は検問——役割が違います。

05 / CHOOSING

ボット対策のツールやサービスは、どう選べばいいですか?

具体的な製品名の比較よりも、選ぶ前に確認すべき3つの質問をおすすめします。

  1. 正規のAIクローラーを誤って止めない設計か? — 全部ブロック型の対策は、AI検索であなたのサイトが紹介される機会(当サイト実測で、AIの来訪はすでに検索エンジン以上です)を犠牲にします
  2. 「自分のサイトの実測」を見せてくれるか? — 一般論の脅威データではなく、あなたのサイトに何が来ているかを測ってくれるか
  3. 止めたあとの検証と、続ける仕組みがあるか? — ボットの顔ぶれは毎週変わります(当社のAIボット観測所は毎週自動更新で定点観測しています)。一度設定して終わりの対策は、時間とともに必ず古くなります

「100%防げる」ことを謳う対策には注意してください。できるのは、被害につながる確率を大きく下げることです。

06 / FAQ

よくある質問

robots.txtを設定すれば、ボット対策としては十分ですか?

十分ではありません。robots.txtに従うのは行儀の良い正規ボットだけで、悪質ボットは無視することが広く報告されています。正規ボットの制御にはrobots.txt、悪質ボットには前段での確認と監視、と役割を分けて考えてください。

いっそ、すべてのボットをブロックしてはだめですか?

おすすめしません。検索エンジンとAIのクローラーまで止めると、検索結果にもAIの回答にもあなたのサイトが出なくなります。当サイトの実測では、AIクローラーの来訪はすでにGooglebotを上回っており、この入口を閉じる損失は年々大きくなっています。

自分のサイトに悪質ボットが来ているか、確認する方法はありますか?

サーバーのアクセスログを継続的に分析すれば分かりますが、名乗りの真偽判定(発信元との照合)まで自力で行うのは手間がかかります。まずどんなボットがいるかはAIボット観測所の実測が参考になります。自分のサイトの数字は、測らないと分かりません。

ボット対策はどれくらいの頻度で見直すべきですか?

新しいAIサービスの登場とともに新しいボットが毎月のように現れ、挙動も変わります。設定の見直しは年数回でも、観測(何が来ているかの把握)は継続的に行うのが現実的です。

07 / SUMMARY

まとめ — 「全部止める」でも「全部通す」でもなく

  • ボット対策の本質は、ブロックではなく見分けること。良いボットは紹介の入口、悪質ボットは侵入の偵察
  • 名乗りは自己申告。確認手段の有無(公式IPリスト等)と挙動で見分ける
  • 順番は「測る → 入口を減らす → 前段で確認し監視を続ける」。robots.txtは案内板であって検問ではない

関連記事: AIサイバー攻撃とは?事例と対策を実測データで解説AIエージェント セキュリティのリスクと対策を実例で解説WordPressの脆弱性とは?放置のリスクと対策を解説AIボット観測所(毎週自動更新の実測データ)

NEXT STEP / BOT PROTECTION

あなたのサイトには、今なにが来ていますか?

この記事の実測データは当社サイトのものです。あなたのサイトに何が来ているかは、測らないと分かりません。
AIを装う攻撃・悪質ボットを見守るAI SHIELD AIクローラーの読まれ方を測るAI CRAWL

出典: 当社 effect.moe サーバーの実測ログ(クローラー別比較は2026年8月・同一期間・全アクセス数集計/偽装・探索の検出は直近30日)/AIアシスタント名乗りの81.8%偽装は第三者の実測報告