Depuis ce lundi 15 septembre 2026, tout nouveau site qui passe derrière Cloudflare arrive avec une règle activée sans que personne n'ait rien coché : deux familles de bots d'intelligence artificielle sont bloquées par défaut. Cloudflare se tient devant plus de 20 % des domaines d'internet (blog.cloudflare.com, 2026). Autant dire que bloquer les bots IA sur Cloudflare n'est plus une option de spécialiste, c'est un réglage par défaut qui concerne une part énorme des sites, y compris probablement le vôtre. Cinq minutes d'attention valent mieux que de laisser une case décider à votre place.
La nouvelle a été relayée en quelques heures sous le titre « Cloudflare bloque l'IA par défaut ». C'est vrai, mais tellement raccourci que ça induit en erreur. Le vrai sujet pour un dirigeant n'est pas de savoir s'il est pour ou contre l'IA. C'est de comprendre ce qui change exactement, pourquoi un mauvais réglage peut rendre votre site invisible dans Google, et quelle décision prendre pour votre propre cas.
Ce qui bascule vraiment aujourd'hui
Trois précisions changent tout, et aucune n'apparaît dans les titres.
D'abord, le nouveau réglage par défaut ne s'applique qu'aux nouveaux domaines qui rejoignent Cloudflare à partir du 15 septembre (developers.cloudflare.com, changelog du 1er juillet 2026). Si votre site est déjà chez Cloudflare depuis des mois, vos réglages actuels sont conservés tels quels. Vous n'êtes pas basculé de force.
Ensuite, le blocage par défaut ne vise que les pages qui affichent de la publicité. Cloudflare part du principe qu'une page monétisée par la pub est faite pour qu'un humain arrive et la voie, pas pour être aspirée par une machine. Sur une page vitrine sans publicité, le réglage par défaut ne bloque rien de ce côté.
Enfin, seules deux des trois catégories de bots sont bloquées par défaut : les robots d'entraînement et les robots agents. Les robots d'indexation pour la recherche, eux, restent autorisés. Pour comprendre pourquoi cette distinction compte, il faut regarder ce classement en trois familles, qui est le vrai apport de Cloudflare à la gestion du trafic IA.
Les trois familles de bots IA, expliquées simplement
Depuis cet été, Cloudflare ne propose plus un seul bouton « bloquer l'IA » mais trois usages distincts, réglables séparément (blog.cloudflare.com, 2026). Chaque bot s'identifie par sa chaîne d'agent utilisateur et par l'URL qu'il visite, ce qui permet de suivre l'activité des robots d'indexation et de savoir qui accède à votre contenu, et pour quoi faire.
| Famille | Ce qu'elle fait | Réglage par défaut au 15/09 |
|---|
| Recherche (Search) | Indexe votre contenu pour répondre plus tard à des requêtes, en échange de trafic renvoyé vers vous | Autorisée |
| Agent | Agit en temps réel pour un humain qui attend une réponse : bot de récupération d'un chat, agent qui pilote un navigateur | Bloquée sur les pages avec pub |
| Entraînement (Training) | Aspire votre contenu pour l'apprentissage ou l'affinage d'un modèle, qui absorbe définitivement vos données | Bloquée sur les pages avec pub |
La logique est cohérente. La recherche vous renvoie des visiteurs, donc on laisse passer ces robots d'indexation. L'agent et l'entraînement, eux, consomment votre contenu sans forcément vous rendre quoi que ce soit, donc Cloudflare ferme leur accès par défaut là où vous cherchez de l'attention humaine. Nous avions déjà décrit ce visiteur silencieux dans notre article sur ce qui se passe quand un agent IA visite votre site à votre place.
Un mot sur le fichier robots.txt, que beaucoup croient suffisant. Ce fichier n'est qu'une consigne polie, qu'un bot peut ignorer. Le contrôle de Cloudflare, lui, agit en amont, au niveau du pare-feu : il ne demande pas, il bloque. C'est une différence de nature entre une pancarte et une porte fermée.
Le vrai piège : bloquer l'entraînement peut casser votre Googlebot
Voici le point que presque personne n'explique, et qui peut coûter cher. Certains bots ne font pas qu'une seule chose. Googlebot, Bingbot et Applebot explorent votre site à la fois pour la recherche et pour l'apprentissage de modèles.
Or, à partir du 15 septembre, un bot qui remplit plusieurs fonctions est jugé sur toutes ses fonctions (blog.cloudflare.com, 2026). Concrètement, si vous décidez de bloquer l'entraînement en pensant simplement « je ne veux pas nourrir l'IA gratuitement », vous risquez d'attraper Googlebot au passage et donc de dégrader votre référencement. L'ancien réglage qui exemptait ces bots mixtes est supprimé. Cloudflare le dit lui-même : un blocage général de l'entraînement peut toucher Googlebot, sauf à l'exclure explicitement dans vos paramètres de sécurité.
Autrement dit, la décision « je protège mes données de l'IA » et l'objectif « je veux rester bien classé sur Google » ne sont plus indépendants. Un réglage trop brutal se paie en visibilité. C'est exactement le genre d'arbitrage que nous détaillons dans notre guide sur le référencement à l'ère des IA génératives.
Bloquer, autoriser ou arbitrer : décider pour votre cas
Il n'y a pas de bonne réponse universelle. Il y a la solution qui correspond à votre modèle. Trois postures se dégagent.
Bloquer largement a du sens si votre contenu est votre actif principal et que vous ne vivez pas du trafic de découverte : un média, un éditeur, une base documentaire propriétaire. Vous protégez ce que vous produisez, quitte à être moins présent dans les réponses des assistants.
Laisser passer la recherche, et souvent l'agent, a du sens pour la grande majorité des entreprises réunionnaises dont le site sert à être trouvé, à générer des demandes de devis et des visites. Se rendre invisible pour ChatGPT, Perplexity ou les réponses IA de Google, c'est renoncer à un canal de découverte qui monte. Pour rappel, une large part des sources citées par ces IA sont des pages déjà bien classées : la visibilité IA se construit sur des fondations SEO saines, pas contre elles.
Arbitrer par catégorie, enfin, est la voie fine : autoriser la recherche pour rester visible, bloquer l'entraînement pour ne pas nourrir gratuitement les modèles, et décider de l'agent selon que vous voulez ou non être accessible aux assistants qui agissent pour vos clients. C'est précisément ce que le classement en trois familles rend désormais possible.
On lit parfois qu'il serait question de faire payer les bots pour l'accès au contenu. Le dispositif existe, mais il date d'il y a environ un an, ce n'est pas la nouveauté du jour. Pour une PME, ce n'est pas le sujet immédiat : le sujet immédiat, c'est de ne pas se saborder par un réglage automatique mal compris.
La vérification tient en quelques minutes. Connectez-vous à votre tableau de bord Cloudflare, ouvrez la zone correspondant à votre domaine, puis la section Sécurité. C'est là que se trouve la gestion du trafic IA, par catégorie, disponible sur toutes les offres, y compris gratuite.
Il faut identifier trois choses. Quel est l'état de la catégorie Recherche : si vous vivez du référencement, elle doit rester autorisée. Quel est l'état de la catégorie Entraînement, et surtout, avez-vous coché l'option qui protège les bots mixtes comme Googlebot d'un blocage collatéral. Et enfin, ces réglages correspondent-ils à une décision consciente, ou à un défaut que personne n'a jamais regardé.
Si vous ne savez pas qui gère votre configuration Cloudflare, ni même si votre site passe par Cloudflare, c'est déjà une information utile : cela signifie qu'une partie de la gouvernance technique de votre présence sur internet vous échappe. Un audit gratuit permet de faire ce point rapidement, et de vérifier que vos réglages servent votre stratégie plutôt que l'inverse.
Votre site est une infrastructure que vous gouvernez
La vraie nouvelle n'est pas « Cloudflare bloque l'IA ». C'est que le contrôle de qui accède à votre contenu, et pour quel usage, devient une décision de dirigeant, au même titre que le choix de qui a les droits d'administration sur vos outils. Les bots se scindent, les usages se différencient, et laisser un réglage par défaut décider à votre place revient à déléguer une part de votre visibilité à une case cochée par un tiers.
Chez Axiom Marketing, nous construisons des sites sur-mesure où ces arbitrages sont posés consciemment dès la conception, pas subis après coup. Un site performant n'est pas seulement rapide et bien classé. C'est un site dont vous savez, à tout moment, quels bots ont le droit de le lire, et pourquoi. Si vous voulez faire ce point sur votre configuration, parlons-en.
