自社サイトに来ているのは誰か。Cloudflareの2025年実測では、HTMLリクエストの4.2%がAIボット、Googlebot単独で4.5%。全世界トラフィックの6.2%が緩和対象で、うち3.3%がDDoS対策とWAFで遮断されていた。モバイルからのリクエストは43%。robots.txtとWAFを「やるかやらないか」の判断材料になる数字が揃っている。
何が測られたのか（対象・期間・条件）
CloudflareがCloudflare Radarのデータをもとに、2025年のインターネット全体の動きを年次レビューとしてまとめたものである（出典：Cloudflare（Cloudflare Radar / Cloudflare Blog）、2025-12-09、https://blog.cloudflare.com/radar-2025-year-in-review/）。
先に利害関係を書いておく。この記事はCloudflare社自身による発表であり、同社はDDoS対策・WAF・ボット管理・AIクローラー制御といった当該製品の提供者である。攻撃トラフィックの比率やAIボットの比率は、そのまま同社製品の必要性を裏づける方向のデータになる。数字そのものを疑う理由にはならないが、どの指標が選ばれ、どこが強調されているかは、この立場と切り離さずに読む必要がある。
数値ごとに分母と条件が異なるので、先に整理する。指標をまたいで比べるときは、この表の右列を必ず見てほしい。
| 指標 | 値 | 対象・期間・条件 |
|---|---|---|
| 世界のインターネット流量の前年比成長率（2025年） | 19%増 | Cloudflareの全世界ネットワークで観測したトラフィック。2025年1月1日〜12月2日 |
| 同（2024年） | 17%増 | 同上。2025年との比較基準として本文に記載。2024年の17%増から加速した形 |
| AIボットが占めるHTMLリクエストの割合 | 4.2% | 2025年通年平均。分母はHTMLリクエストトラフィック全体であり、全リクエストではない。Cloudflareネットワーク経由、2025年1月1日〜12月2日 |
| Googlebot単独が占めるHTMLリクエストの割合 | 4.5% | 分母はHTMLリクエストトラフィック。他のAIクローラー合計（4.2%）を上回る |
| AIの「ユーザー操作（user-triggered）」型クロールの増加 | 15倍超 | 2025年中の増加倍率。Cloudflareネットワーク経由の観測 |
| 緩和（mitigate）対象となったトラフィックの割合 | 6.2% | 分母はCloudflareが処理した全世界トラフィック。2024年から0.25ポイント低下 |
| DDoS対策およびWAFで遮断されたトラフィックの割合 | 3.3% | 分母は全世界トラフィック。本文では前年比+0.1ポイントと記載 |
| モバイル端末からのリクエスト割合 | 43% | 分母はCloudflare経由の全リクエスト。2025年1月1日〜12月2日 |
| IPv6での接続割合 | 29% | 分母は「IPv6対応可能な（IPv6-capable）リクエスト」であり、全リクエストではない |
| Starlink経由トラフィックの増加 | 2.3倍 | 2025年通年でのCloudflare観測トラフィック |
| 観測された主要なインターネット障害の件数 | 174件 | 2025年1月1日〜12月2日。うち約半数が政府主導の遮断（government-directed） |
AIボット4.2%とGooglebot4.5%は、何と何を比べた数字か
まず分母を間違えないことである。4.2%も4.5%も、分母はHTMLリクエストトラフィックであって、画像やCSSやJavaScriptを含む全リクエストではない。人が読むページ本体に対する比率だと考えるとよい。
そのうえで並べると、Googlebot単独の4.5%が、他のAIクローラー合計の4.2%をわずかに上回っている。この一点は、2025年の状況を落ち着いて見るのに使える。AIクローラーの流入は確かに存在するが、2025年通年平均の水準では、依然として従来型の検索クローラー1社と同程度の規模だということになる。
一方で、増え方は別の話である。AIの「ユーザー操作（user-triggered）」型のクロール、つまり誰かがAIに質問した結果としてその場でページを取りに来るタイプのアクセスは、2025年中に15倍超に増えている。学習のためにまとめて読みに来るのではなく、個別の質問に答えるために都度取りに来る動きが、1年で桁を変えた。
この2つを合わせると、次のように読める。
- 現時点の量では、AIクローラーは検索クローラー1社分程度の規模に収まっている
- ただし伸びは「その場で取りに来る」型に集中しており、1年で15倍超
- したがって「いまは無視できる」ことと「来年も無視できる」ことは別問題である
AIクローラーが自社サイトをどう扱っているかという論点は、クロール量と実際の流入の非対称としても現れている。この点はAIボットは38,065ページ読んで訪問1件しか返さないのか？で扱った実測とあわせて読むと、量と見返りの関係が立体的になる。
6.2%が緩和対象、3.3%が遮断——WAFなしのサイトが素通ししている量
セキュリティ側の数字はさらに直接的である。Cloudflareが処理した全世界トラフィックのうち、6.2%が何らかの形で緩和（mitigate）の対象になった。この6.2%は2024年から0.25ポイント低下している。そしてそのうち3.3%が、DDoS対策およびWAFによって遮断されたトラフィックで、こちらは前年比で0.1ポイント増えている。
つまり、緩和対象の総量はわずかに減ったが、「明確に遮断すべき」と判定された部分はむしろ増えた。全体として穏やかになったわけではなく、内訳が入れ替わっている。
この数字が中小企業にとって持つ意味は単純である。WAFやDDoS対策を入れていないサイトは、この6.2%に相当する部分を、判定も遮断もせずにそのままアプリケーションまで通している可能性が高い。100リクエスト来れば6件程度は、本来止めるべき性質のものだったかもしれない、という目安になる。
ただし、これはあくまでCloudflareが処理したトラフィック全体での比率である。Cloudflareを使うサイトは、そもそも攻撃を受けやすい、あるいは対策を意識している事業者に寄っている可能性がある。自社サイトに当てはめるときは、上振れも下振れもあり得る参考値として扱うべきである。
モバイル43%、IPv6の29%、そして障害174件
インフラ側の数字も、サイト運用の判断材料になる。
- モバイル43%：分母はCloudflare経由の全リクエスト。半分近くがモバイル端末からということになる。PC前提で作られたままのサイトを持つ企業には、改修の優先度を考える根拠になる
- IPv6が29%：ここは分母に注意が要る。全リクエストではなく「IPv6対応可能な（IPv6-capable）リクエスト」が分母である。IPv6で繋げる条件が揃っている中の29%であって、インターネット全体の29%がIPv6という意味ではない
- Starlink経由が2.3倍：2025年通年でのCloudflare観測トラフィック。地上回線の届かない場所からのアクセスが増えている
- 主要な障害174件：2025年1月1日〜12月2日に観測されたもので、うち約半数が政府主導の遮断（government-directed）である。技術的な事故だけが接続断の原因ではない
モバイル43%は、経営判断としては最も扱いやすい数字だと思われる。自社サイトのアクセス解析でモバイル比率を確認し、この43%と比べてみるだけでも、自社の顧客がどこから来ているかの当たりがつく。
この数字を読むときの限界
冒頭の利害関係に加えて、この年次レビューには読み手が知っておくべき制約がいくつもある。誠実に列挙する。
- 母集団はインターネット全体ではない。観測対象はCloudflareのネットワークを通過したトラフィックに限られる。Cloudflareを利用していないサイトの傾向は一切含まれない。「世界のインターネット流量19%増」も、正確には「Cloudflareネットワークで観測した流量が19%増」である
- 「通年」が通年ではない。対象期間は2025年1月1日〜12月2日で、12月の一部が含まれていない。年末の動きは反映されていない不完全な年次集計である
- 手法とRadar表示値のずれを自ら注記している。本文は「一貫性を保つため基礎的な手法は変更していない（kept underlying methodologies unchanged）」と述べつつ、同時にボットと人間の比率がCloudflare Radar上の表示値と異なる場合があると自ら注記している。同じ会社の同じデータでも、集計の切り口で数字が動くということである
- robots.txt関連の分析は上位10,000ドメインに限定されている。中小企業サイトの実態をそのまま代表するものではない。大手サイトのクローラー制御方針を、そのまま自社に置き換えることはできない
- 公開日の断定を避ける。本文中に正確な公開日の記載がないため、本記事では出典表記の日付以上のことは書かない
こうした「数字の出どころと限界を先に確認する」姿勢そのものについては、自社で評価基準を持つとはどういうことかで扱った考え方が下敷きになっている。
TOEの読み筋
ここからは株式会社TOEの解釈である。先に明記しておくが、このデータを使った自社サイトでの検証はTOEでは未実施である。以下は数字からの読み筋であって、実測に裏づけられた結論ではない。
第一に、この年次レビューで中小企業が最初に動くべきなのは、AIクローラーの話ではなくWAFの話だと考えている。AIボット4.2%は「今後どうするか」の論点だが、緩和対象6.2%・遮断3.3%は「いま素通ししているかもしれない」という現在形の論点である。順序としては後者が先に来る。
第二に、robots.txtによるAIクローラー制御は、判断を急ぐ必要のない領域だと見ている。理由は2つある。ひとつは、AIクローラー合計4.2%がGooglebot単独の4.5%を下回っている、つまり現時点の量が突出していないこと。もうひとつは、robots.txtの分析母集団が上位10,000ドメインに限られており、中小企業サイトでの妥当性が確認できないことである。伸び（user-triggered型が15倍超）は無視できないが、伸びを理由に慌てて全面ブロックすると、AI経由の流入まで自分で閉じることになる。
第三に、モバイル43%は、経営会議に持ち込める形になっている数少ない数字だと考えている。自社のアクセス解析と直接比較でき、比較結果がそのまま改修の優先順位に変換できる。逆にIPv6の29%は、分母が「IPv6対応可能なリクエスト」である以上、社内説明に使うと誤解を生みやすい。使わないほうがよい数字だと判断している。
第四に、障害174件のうち約半数が政府主導の遮断だという点は、海外拠点や海外取引のある企業にとっては可用性設計の前提が変わる情報である。技術的冗長化では対処できない接続断が、実際に年間で相当数起きている。
いずれも、TOEとして自社サイトのログで確認したうえでの結論ではない。読者各社が自社のアクセス解析と突き合わせて判断する材料として提示している。
まとめ
- Cloudflareが2025年1月1日〜12月2日の自社ネットワーク実測を年次レビューとして公表した。発信元は当該分野（DDoS対策・WAF・ボット管理・AIクローラー制御）の製品提供者であり、数字は自社製品の必要性を裏づける方向に働く点を踏まえて読む必要がある
- AIボットはHTMLリクエストの4.2%、Googlebot単独は4.5%。分母はHTMLリクエストであって全リクエストではない。現時点の量は検索クローラー1社分程度だが、ユーザー操作型のクロールは2025年中に15倍超に増えている
- 全世界トラフィックの6.2%が緩和対象（2024年から0.25ポイント低下）、うち3.3%がDDoS対策とWAFで遮断（前年比+0.1ポイント）。WAF未導入のサイトが日常的に素通ししている量の目安になる
- モバイル43%は自社解析と直接比較できる。IPv6の29%は分母が「IPv6対応可能なリクエスト」であり、社内説明に使うと誤解を招きやすい
- 制約は多い。母集団はCloudflare経由のトラフィックのみ、対象期間は12月2日までで通年ではない、robots.txt分析は上位10,000ドメイン限定、Radar表示値とのずれも同社が自ら注記している。TOEではこのデータを使った自社検証は未実施である