La guida senza panico per bloccare il traffico bot su Shopify

Ultima verifica: luglio 2026. Cloudflare e Shopify cambiano spesso dashboard e policy; dove questa guida descrive un'impostazione, spieghiamo cosa fa, non dove si trova il pulsante questo mese.

Un merchant con cui lavoriamo ha aperto il report del traffico e ha scoperto che circa il 70% arrivava dalla Cina. Lì non vende, non spedisce e non fa pubblicità. Ordini generati da quel traffico: zero. Un altro merchant ha contato 250.000 sessioni in un mese e ha concluso che circa 215.000 erano bot.

Nessuno dei due negozi è un caso raro. Durante le festività 2024 i bot hanno generato il 57% del traffico dei siti e-commerce, la prima volta che il traffico automatizzato ha superato gli acquirenti umani, secondo l'E-commerce Bot Threat Report 2025 di Radware. Quel numero conta tutti i bot, buoni e cattivi. Contando solo i cattivi, il Bad Bot Report 2025 di Imperva colloca i bot malevoli al 33% del traffico dei siti retail nel 2024, in salita dal 26% dell'anno prima. A giugno 2026 il CEO di Cloudflare ha riferito che i sistemi automatizzati avevano superato gli umani nelle richieste HTML sulla rete di Cloudflare, al 57,5%.

Se il tuo negozio è su Shopify, questo traffico non è solo rumore in un grafico. Gonfia ogni strumento che paghi a sessione. Riempie le analytics di visite che non compreranno mai, e questo corrompe in silenzio ogni decisione che prendi su quei numeri. Manda segnali spazzatura ai tuoi pixel pubblicitari, così Meta e Google ottimizzano verso altra spazzatura. E a fine 2025 un'ondata esattamente di questo tipo ha colpito migliaia di negozi Shopify in una volta sola, riempiendo i forum della community Shopify di merchant che descrivevano un traffico fatto di bot dal 50 al 90%, da paesi in cui non avevano mai venduto.

La soluzione esiste, e non è un'app. È mettere un account Cloudflare gratuito davanti al negozio e filtrare il traffico all'edge della rete, prima che arrivi a Shopify. Il setup prevede un passaggio che mette davvero un po' d'ansia, lo spostamento del DNS, e una manciata di decisioni facili da sbagliare, inclusa una che può renderti invisibile, senza che tu te ne accorga, agli assistenti AI che iniziano a portare acquirenti veri, che pagano.

Questa guida copre tutto: come misurare la tua quota di bot, quali bot tenere di proposito, quale strategia si adatta al tuo negozio, lo spostamento del DNS con checklist preliminare e piano di rollback, e come verificare dopo che nulla si è rotto. Niente qui richiede uno sviluppatore; se ne hai uno, il capitolo sul DNS è la parte da passargli.

La tua dashboard ti mente, e ti costa denaro

Partiamo dal perché la cosa vale un pomeriggio del tuo tempo, perché "ho le sessioni gonfiate" non rende l'idea.

Strumenti fatturati a traffico. Una fetta dell'ecosistema di app Shopify si fa pagare a sessioni o pageview. Lucky Orange, una popolare app di heatmap e registrazione delle sessioni, va da 32 dollari al mese per 3.500 sessioni a 839 dollari al mese per 300.000. OptiMonk fattura a pageview. Strumenti di analytics come Matomo fatturano a hit. Questi vendor filtrano i bot noti, ma le ondate recenti usano proxy residenziali e navigazione simil-umana proprio per aggirare quei filtri. Se il 60% delle tue sessioni è fatto di bot, potresti pagare il prezzo di un tier per un pubblico che al 60% non esiste. Nei thread della community sull'ondata del 2025 i merchant raccontavano esattamente questo: bollette a consumo in salita per traffico che non potrà mai comprare.

Segnali pubblicitari avvelenati. I tuoi pixel Meta e Google imparano dal traffico che vedono. Sessioni bot con bounce al 100% e zero intenzione d'acquisto insegnano all'algoritmo le lezioni sbagliate, e se i bot cliccano i tuoi annunci a pagamento, il budget brucia direttamente. Nei thread della community sull'ondata del 2025, l'apprendimento corrotto del Meta Pixel era il danno più citato dai merchant, prima ancora delle analytics.

Decisioni prese su una finzione. Il tasso di conversione è ordini diviso sessioni. Gonfia il denominatore e il tasso di conversione crolla, i report geografici indicano mercati che non esistono, l'attribuzione dei canali va alla deriva. Il report retail di Imperva cita letteralmente la distorsione delle analytics tra le attività standard dei bad bot. Se fai merchandising sui tuoi dati, retrocedi ciò che non gira e metti in evidenza ciò che vende, questo è il costo silenzioso: i dati stessi vanno a male.

Carico che nessuno paga volentieri. Ogni pageview di un bot è servita da infrastruttura reale. Sui piani Shopify standard la banda è un problema di Shopify, ma la sente ogni strumento del tuo stack che misura l'utilizzo, e per i negozi headless la voce banda è diretta e immediata.

A quanto ammonta per il tuo negozio? Più avanti in questa guida trovi un calcolatore: scegli quali dei tuoi strumenti fatturano a traffico, inserisci sessioni e quota bot, e guarda la cifra annua.

Scopri quanto è grave

Prima di cambiare qualsiasi cosa, misura. Magari scopri che la tua quota di bot è l'8%: in quel caso chiudi questa scheda e vai a fare qualcosa di più utile. I merchant a cui serve questa guida di solito trovano qualcosa più vicino alla metà.

Nell'admin di Shopify:

• Apri il report delle sessioni per località e mettilo accanto agli ordini per località. Un paese che produce migliaia di sessioni e zero ordini è la firma classica. La guida di Shopify su come riconoscere l'attività dei bot dice di tenere d'occhio le sessioni da località di datacenter note, e cita Ashburn in Virginia e Los Angeles; i merchant della community aggiungono Council Bluffs in Iowa, sede di una region di Google Cloud.
• Da ottobre 2025 i report di Shopify includono la dimensione "Human or bot session" (sessione umana o bot) su cui puoi filtrare (documentazione Shopify). Usala, ma conoscine i limiti: copre solo i dati dal 7 ottobre 2025 in poi, è volutamente prudente (Shopify preferisce farsi sfuggire dei bot piuttosto che etichettare male un cliente vero) e non esiste per gli storefront headless. Considera il suo numero il tuo minimo, non il totale.
• Controlla il report dei termini di ricerca del negozio in cerca di query che sembrano stringhe generate a macchina, e la lista clienti in cerca di nomi senza senso. Shopify elenca entrambi come indizi di bot.
• Guarda finestre da 30 a 90 giorni. Quelle corte oscillano troppo per essere lette.

In GA4: Google filtra già in automatico i bot noti, quindi qualsiasi cosa sospetta tu riesca ancora a vedere è già passata oltre quel primo filtro. La firma composita che sopravvive è: engagement rate vicino allo zero, più sorgente Direct o "(not set)", più un paese fuori dai tuoi mercati. Uno solo di questi indizi è una prova debole. Tutti e tre insieme, in volume, sono una quasi certezza.

Un avvertimento strutturale. Le analytics di Shopify, GA4 e i tuoi pixel sono tutti contatori JavaScript che girano nel browser del visitatore. Un bot che non esegue mai JavaScript è invisibile a tutti loro, pur continuando a caricare le tue pagine. Qualunque numero mostrino le tue dashboard, l'edge della rete ne vede di più. Il tuo primo conteggio onesto arriverà dopo il setup Cloudflare qui sotto, dalle sue analytics del traffico, ed è normale che quel numero sia uno shock.

Scrivi i tuoi numeri: sessioni totali, quota bot sospetta e quali paesi o pattern dominano. La scelta della strategia qui sotto dipende da loro, e il confronto prima-dopo è come saprai che il lavoro è valso la pena.

I bot che ti conviene tenere

Ecco la parte che ogni tutorial "blocca i bot" salta, ed è il motivo per cui non dovresti semplicemente portare ogni difesa al massimo.

Alcuni bot sono l'impianto idraulico della tua visibilità. Googlebot e Bingbot decidono se esisti nella ricerca. Il crawler delle anteprime link di Meta decide se i tuoi prodotti si mostrano bene quando qualcuno li condivide. E una classe più recente conta di più ogni trimestre: i crawler e i fetcher dietro gli assistenti AI.

Non sono una cosa sola. I bot AI sono di tre tipi, e confonderli è il modo in cui i negozi spariscono per sbaglio:

• I crawler di training (GPTBot di OpenAI, ClaudeBot di Anthropic, meta-externalagent di Meta) raccolgono contenuti per addestrare i modelli futuri. Bloccarli è una scelta di business legittima, senza alcun effetto sulla tua visibilità di oggi.
• Gli indicizzatori di ricerca (OAI-SearchBot, Claude-SearchBot, PerplexityBot) costruiscono gli indici da cui gli assistenti AI rispondono. La documentazione di OpenAI non gira intorno al punto: i siti che escludono OAI-SearchBot «non verranno mostrati nelle risposte di ricerca di ChatGPT» (documentazione bot di OpenAI).
• I fetcher attivati dall'utente (ChatGPT-User, Claude-User, Perplexity-User) recuperano una pagina perché un umano ha appena fatto una domanda. Bloccali e l'assistente non può leggere la tua pagina prodotto nel momento esatto in cui un acquirente chiede "questa giacca veste regolare ed è disponibile?"

Quel traffico conta già? L'analisi di Adobe sui siti retail USA ha rilevato traffico da referral AI in crescita del 693% anno su anno durante le festività 2025 e, cosa più interessante, quei visitatori convertivano il 31% meglio del visitatore medio. È un'inversione: un anno prima la stessa misurazione mostrava referral AI che convertivano peggio. Il canale è passato da curiosità a qualità in circa dodici mesi. In termini assoluti è ancora piccolo, ma è l'unico canale di referral che cresce a quel ritmo, e gli acquirenti che porta arrivano già convinti da un assistente che ha letto le tue pagine.

C'è una vera asimmetria da pesare onestamente: le misurazioni di Cloudflare mostrano che le aziende AI scansionano molto più di quanto rimandino indietro (ad agosto 2025 Anthropic scansionava circa 50.000 pagine per ogni visita di referral inviata, OpenAI meno di 900, Perplexity circa 118). Il carico di crawling è un costo reale e serve soprattutto al training. Ed è esattamente per questo che la postura giusta è per singolo bot, non tutto o niente: tieni gli indicizzatori di ricerca e i fetcher che producono acquirenti, decidi consapevolmente sui crawler di training, e blocca gli impostori che non rispettano nulla.

Un motivo in più per farlo all'edge della rete invece che con un file robots.txt: robots.txt è una richiesta cortese, e Shopify stessa nota che le regole di crawling sono «direzionali e consultive». I crawler seri la rispettano; i bot che inondano il tuo negozio no (perfino gli operatori onesti litigano in pubblico su chi ha scansionato cosa, come ha mostrato lo scontro Cloudflare-Perplexity del 2025). Le preferenze hanno bisogno di enforcement, e l'enforcement vive all'edge.

L'allowlist in sintesi, i bot che devono sopravvivere a qualsiasi configurazione tu scelga:

Cosa gestisce già Shopify

Shopify non dorme su questo fronte, e vale la pena sapere esattamente cosa fa la piattaforma, così sai anche cosa lascia a te.

Ogni storefront Shopify sta già dietro l'infrastruttura edge di Shopify (che a sua volta gira su Cloudflare), con protezione DDoS a livello di piattaforma e un web application firewall, più captcha sui moduli di default (documentazione Shopify). I merchant Shopify Plus possono in più attivare una protezione bot del checkout pensata per i drop: difende il checkout per eventi programmati fino a 60 minuti (documentazione). È un'armatura da giorno del drop, non igiene quotidiana del traffico.

Quello che i merchant non hanno è il controllo su quell'edge. Nell'admin di Shopify non c'è un'impostazione per bloccare un intervallo di IP, mettere alla prova un paese o rallentare uno scraper. Il filtro "Human or bot session" di ottobre 2025 pulisce i tuoi report, cosa davvero utile, ma leggi bene cosa significa filtrare: i bot continuano a visitare, a far scattare i pixel, a contare in ogni app fatturata a sessione, a occupare infrastruttura. Il report sembra migliore mentre il contatore continua a girare.

Questo vuoto è il motivo per cui l'App Store è pieno di app blocca-paesi e blocca-bot, ed è il motivo per cui deludono. Un'app non può mettersi davanti all'edge di Shopify; quando l'app parte, la pagina è già stata servita. Queste app funzionano quindi caricando nel tema del JavaScript che rileva e poi nasconde o reindirizza. Ne seguono due conseguenze. La sessione è già stata contata quando lo script si attiva, quindi analytics e app a consumo restano comunque inquinate. E un bot che non esegue JavaScript non fa mai girare lo script di blocco. Lo stesso vale per la rimozione di un paese in Shopify Markets: impedisce il checkout da una regione, non la navigazione, non i bot.

Se la quota di bot che hai misurato era piccola, le difese integrate di Shopify più il filtro delle analytics sono un ottimo punto in cui fermarsi. Se era il 30, 50, 70%, l'unica soluzione strutturale è filtrare il traffico prima che arrivi a Shopify. Vuol dire mettere davanti un edge tuo, e questo ci porta a Cloudflare.

Scegli la strategia prima di toccare il DNS

Il setup Cloudflare è identico in ogni caso; a cambiare sono le regole che attivi una volta che il traffico passa dalla tua zona. Decidi adesso, con calma, invece di improvvisare in una dashboard a mezzanotte.

Una nota di vocabolario. Le regole di Cloudflare possono bloccare una richiesta del tutto, oppure servire una managed challenge: una rapida verifica automatica che quasi tutti gli umani superano senza accorgersene (al massimo una volta ogni mezz'ora circa), mentre quasi tutti i bot falliscono. Cloudflare stessa consiglia la challenge al posto del blocco per la maggior parte delle regole, e questa guida fa lo stesso: trasforma "spero che la regola non avesse falsi positivi" in "un raro umano vede un interstitial di due secondi".

La difesa bot di base

Il piano gratuito di Cloudflare include Bot Fight Mode, un unico interruttore che sfida il traffico corrispondente a pattern noti di bot semplici. È uno strumento grezzo: si applica a tutto il dominio, non si può limitare né dotare di eccezioni, e può colpire traffico legittimo di API o app. Sul piano Pro da 20-25 dollari al mese diventa Super Bot Fight Mode, che è configurabile: scegli l'azione per il traffico sicuramente automatizzato, hai un interruttore che mette in allowlist tutti i good bot verificati in una mossa sola, e hai le analytics dei bot. Se la domanda di budget è "Pro vale la pena?", per un negozio con un problema bot reale la risposta di solito è sì, già solo per quell'interruttore dei bot verificati e per la visibilità. (I piani Business ed Enterprise, da 200 dollari in su, aggiungono controlli più fini, incluso uno score per ogni richiesta; la maggior parte dei merchant che legge questa guida non ne ha bisogno.)

Per chi: ogni negozio che fa questo setup. Questa è la base.
Rischi: sul piano Free, la grossolanità, e il fatto che non puoi creare eccezioni: se Bot Fight Mode interferisce con un'app del tema o con una chiamata custom dello storefront, le opzioni sono spegnerlo (e filtrare con regole WAF) oppure passare a Pro, dove le eccezioni esistono. Quindi, dopo averlo attivato, naviga il tuo negozio come farebbe un cliente e osserva se qualcosa ha smesso di funzionare.

Un geo-fence sul paese in cui non vendi

Se la diagnosi ha mostrato un paese che produce sessioni a valanga e zero ordini, basta una regola WAF personalizzata. Il pattern, preso direttamente dalla documentazione di Cloudflare, è una regola che intercetta il paese con un'esenzione per i crawler verificati. Nell'editor delle regole, l'espressione è:

ip.src.country eq "CN" and not cf.client.bot

e l'azione, scelta a parte nel menu dell'azione della regola, è la managed challenge. (Espressione e azione sono due campi; l'editor dell'espressione rifiuta qualsiasi altra cosa incollata dentro.) La clausola "not cf.client.bot" è importante: esenta dalla challenge ogni crawler nella lista dei good bot verificati di Cloudflare, così non ti ritrovi per sbaglio a combattere i motori di ricerca. I piani Free includono 5 regole personalizzate, più che sufficienti.

Sii onesto con te stesso sui compromessi prima di scegliere un blocco duro al posto della challenge. La geolocalizzazione individua il punto di uscita della rete, non la persona: utenti VPN, viaggiatori e clienti espatriati che spediscono regali a casa finiranno nella tua regola, ed è esattamente per questo che la challenge (che gli umani superano) batte il blocco duro. Bloccare un paese cancella anche la tua visibilità nei motori di ricerca locali di quel paese (se blocchi la Cina, parliamo di Baidu). E una nota legale per i merchant europei: il regolamento UE sul geoblocking (2018/302) vieta di bloccare acquirenti di altri paesi UE e SEE, quindi il geo-fence è uno strumento per paesi che davvero non servi, fuori da quella zona.

Per chi: il pattern "70% da un solo paese, zero ordini".
Rischi: i casi limite qui sopra; mitigati dalla challenge al posto del blocco e dall'esenzione per i bot verificati.

Una policy deliberata per i crawler AI

A luglio 2026 Cloudflare classifica i bot AI in tre comportamenti, Search, Agent (fetch attivato dall'utente) e Training, e ti lascia impostare una policy per comportamento, o per singolo crawler, nel pannello AI Crawl Control, su ogni piano incluso il Free. È qui che metti in pratica la lista dei bot da tenere: consenti le categorie Search e Agent, decidi consapevolmente sul Training, e lascia che il sistema dei bot verificati di Cloudflare separi i crawler onesti dagli impostori che falsificano gli user agent.

Due avvertenze. Primo, controlla cosa è già impostato: Cloudflare blocca di default i crawler AI per le zone create dopo metà 2025, quindi il tuo negozio potrebbe già essere invisibile alla ricerca AI senza che nessuno l'abbia scelto. Secondo, i default cambiano di nuovo il 15 settembre 2026 (Search consentito, Training e Agent bloccati sulle pagine con pubblicità, per le zone nuove e i clienti Free che non hanno scelto). Non ereditare un default, in nessuna direzione. Impostalo tu.

Per chi: tutti; sono cinque minuti in un solo pannello.
Rischi: nessuno, se la imposti consapevolmente. Il rischio è non impostarla.

Filtra i report e fermati lì

Attiva il filtro bot di Shopify, aggiungi annotazioni in GA4, accetta i costi. Zero rischi, zero setup, e la scelta onesta se la tua quota di bot è piccola o se un cambio di DNS questo trimestre proprio non lo reggi. Potrai tornare a questa guida quando la quota crescerà. Di solito cresce.

La maggior parte dei negozi con un problema reale vuole la difesa di base più la policy per i crawler AI, con l'aggiunta del geo-fence se la geografia è sbilanciata. Tutte e tre viaggiano sullo stesso setup qui sotto.

Spostare il DNS senza perdere il sonno

Tutto quanto sopra avviene dentro un account Cloudflare. A farlo valere per il tuo negozio è puntare il DNS del tuo dominio verso Cloudflare, così che il traffico passi dalla rete di Cloudflare prima di arrivare a Shopify. Questo è il passaggio che i merchant temono, con ragione: il DNS è il sistema di indirizzi che fa esistere il tuo negozio su internet, e sì, un cambio maldestro può mandare il sito offline. La paura si riduce quando sai tre cose: i modi in cui può andare storto sono pochi e noti, ognuno ha un'uscita rapida, e niente dello spostamento è permanente.

Prima di qualsiasi checklist, prendi confidenza con un pezzo di vocabolario, perché l'intero spostamento ruota intorno a lui: la nuvoletta accanto a ogni record DNS in Cloudflare, grigia o arancione. Provala tu stesso:

Poi, la dichiarazione onesta che quasi tutte le guide seppelliscono od omettono.

Cloudflare supporta questo setup. Shopify no. Cloudflare documenta ufficialmente la configurazione (si chiama Orange-to-Orange, o O2O, perché sia la tua zona sia quella di Shopify sono zone Cloudflare), la supporta su ogni piano incluso il Free da giugno 2025 e la rileva in automatico: niente ticket, niente contratto Enterprise, a dispetto di quanto dicono i vecchi post nei forum (la guida Shopify di Cloudflare). Il centro assistenza di Shopify, invece, dichiara senza giri di parole che i setup con proxy Cloudflare, O2O incluso, non sono supportati, che possono incidere sul provisioning dei certificati e ridurre l'accuratezza del rilevamento bot di Shopify, e che i problemi che ne derivano sono fuori dal perimetro del supporto Shopify. In pratica significa: funziona, tanti negozi lo usano, Cloudflare ha costruito meccanismi espliciti apposta, e se mai contatterai il supporto Shopify per un problema di dominio non correlato, la loro prima istruzione sarà di spegnere il proxy. Devi anche sapere a cosa rinunci: quando il traffico arriva attraverso un altro proxy, le difese bot di Shopify vedono meno delle sue caratteristiche originali, quindi stai sostituendo parte del livello bot di Shopify con quello di Cloudflare.

Quanto può andare male, davvero

Il rischio, misurato onestamente, per chi deve dare l'ok a toccare il DNS:

• Il processo è progettato perché il negozio non vada mai giù. Il primo passo sposta solo chi risponde alle richieste DNS, con record identici; il flusso del traffico non cambia finché non giri un interruttore più avanti, e quell'interruttore si annulla in pochi secondi. Non esiste, per costruzione, un momento in cui il sito è "trasferito" e irraggiungibile.
• Peggior caso realistico n. 1: un record dimenticato. L'email o una verifica si rompe qualche giorno dopo perché un record non ha fatto il trasloco. La prevenzione è il confronto record per record nella checklist qui sotto; il rimedio è aggiungere il record mancante, questione di minuti una volta notato.
• Peggior caso realistico n. 2: un conflitto di certificato o di proxy. L'admin di Shopify mostra "SSL pending" (certificato in attesa) oppure i visitatori vedono un errore di sicurezza o un loop di redirect. Uscita: riporta il record proxato su "DNS only" e la condizione si risolve mentre indaghi. Il disservizio dura minuti se stai guardando, ed è per questo che la checklist dice di farlo in una finestra tranquilla e verificare subito.
• Peggior caso ritardato: il rinnovo del certificato fallisce settimane dopo perché era attivo "Always Use HTTPS". La prevenzione è una singola istruzione qui sotto; il rimedio è lo stesso interruttore da riportare indietro.
• Il costo che resta è organizzativo, non tecnico: Shopify considera questo setup non supportato, quindi su ogni futuro ticket legato al dominio aspettati "disattiva il proxy Cloudflare" come primo passo del loro triage. È una tassa permanente sulle tue conversazioni con il supporto, e va pesata come tale.
• Sulle prestazioni: entrambe le zone girano sulla rete di Cloudflare, quindi il passaggio in più resta dentro Cloudflare invece di attraversare l'internet pubblico. Se i millisecondi ti stanno a cuore, misura il time to first byte del tuo storefront prima e dopo; quello è il test onesto.

Se questo scambio ti sembra accettabile, e per un negozio che affoga nel traffico spazzatura di solito lo è, ecco il processo. Riserva una serata tranquilla, non la notte prima di una campagna.

Prima di toccare qualsiasi cosa

1. Fai l'inventario del tuo DNS. Accedi dove vive oggi il tuo DNS (spesso il registrar del dominio). Esporta o fotografa ogni record: il record A del dominio nudo, il CNAME www, ogni altro sottodominio (shop, blog, i CNAME di tracciamento link creati dalla tua piattaforma email come Klaviyo, qualsiasi cosa aggiunta da un'app) e, soprattutto, i record email (MX, più i record TXT per SPF, DKIM, DMARC) e i TXT di verifica (Google Search Console, verifica del dominio Meta e così via). I record email dimenticati sono la ferita autoinflitta più comune in ogni migrazione DNS; l'importatore di Cloudflare è buono, ma la documentazione di Cloudflare avverte che non è garantito che trovi tutto.
2. Abbassa i TTL. Se il tuo attuale host DNS lo consente, porta il time-to-live dei record a 300 secondi uno o due giorni prima del trasloco. Il TTL è quanto a lungo internet tiene in cache i tuoi record; TTL corti significano che un eventuale errore si dissolve in minuti invece che in ore.
3. Recupera i tuoi accessi. Registrar, host DNS attuale, admin Shopify. Il percorso di rollback passa dal registrar, quindi prova quel login adesso.
4. Verifica che i tuoi record Shopify rispettino lo standard attuale. A luglio 2026, un dominio di terze parti si collega a Shopify con un record A che punta a 23.227.38.65 e un CNAME www che punta a shops.myshopify.com (documentazione Shopify). Se i tuoi sono diversi, capisci perché prima di migrare.

Il trasloco vero e proprio

5. Crea un account Cloudflare gratuito e aggiungi il tuo dominio. Cloudflare scansiona e importa i record esistenti. Ora fai la verifica più importante di tutto il processo: confronta la lista importata con l'inventario del passo 1, record per record, e aggiungi quello che manca. È il passaggio che previene la storia del "la mia email è morta tre giorni dopo".
6. Per ora lascia ogni record su "DNS only" (nuvola grigia). Prima tutto in nuvola grigia, così il trasloco non cambia nulla nel flusso del traffico. Lo stai facendo in due passi sicuri: sposta il DNS, poi accendi il proxy.
7. Cambia i nameserver presso il registrar con i due che Cloudflare ti assegna. Questo è il vero trasloco. La propagazione richiede ufficialmente fino a 24 ore; in pratica spesso si completa in poche ore, anche se alcuni registrar e alcune estensioni di dominio sono più lenti. In ogni caso il tuo negozio continua a funzionare per tutto il tempo, perché i record sono identici: è cambiato solo il server che risponde.
8. Aspetta che Cloudflare segni la zona come Active (ricevi un'email), poi controlla che il negozio si carichi, che l'admin funzioni e che un'email di prova arrivi. Dal punto di vista funzionale non è ancora cambiato nulla, ed è proprio questo il punto.

Accendere il filtro

9. Metti su proxied (nuvola arancione) il CNAME www, e solo quello. Ogni altro record, CNAME di invio email, sottodomini di blog e app, tutto quanto, resta su "DNS only" a meno che tu non sappia esattamente perché lo stai proxando; un record di tracciamento email proxato è il classico modo per rompere qualcosa di scollegato giorni dopo. Poiché la destinazione del www è shops.myshopify.com, Cloudflare riconosce da solo la relazione con Shopify e instrada il traffico da zona a zona; vedrai comparire un logo Shopify accanto al record nella dashboard. Le tue regole WAF, le impostazioni bot e le analytics ora si applicano al traffico dello storefront.
10. Lascia il record A del dominio nudo in nuvola grigia, e lascia che il dominio nudo reindirizzi a www. Il passaggio da zona a zona si attiva sui record CNAME, non sui record A proxati; un record A proxato davanti a Shopify è esattamente la configurazione non supportata che produce errori di certificato. Lo schema pulito: tieni l'apex senza proxy e assicurati che www sia il dominio principale in Shopify (controlla Impostazioni, poi Domini; è il default per la maggior parte dei negozi). Shopify reindirizza il dominio nudo verso il dominio principale, quindi con www come principale i visitatori dell'apex arrivano comunque al www filtrato. Se oggi il tuo dominio principale è quello nudo, rendi principale il www prima di questo passo, o il tuo filtro vedrà per sempre solo il redirect.
11. Non attivare mai "Always Use HTTPS" su questa zona. È la trappola che morde settimane dopo. Shopify rinnova il tuo certificato TLS tramite un file di validazione servito in HTTP semplice su "/.well-known/acme-challenge/". Il redirect HTTPS globale di Cloudflare intercetta quel percorso, la validazione fallisce e il certificato smette in silenzio di rinnovarsi (la guida Shopify di Cloudflare documenta esattamente questo caso). Se vuoi un redirect HTTPS all'edge, crea una regola di redirect che esclude quel percorso, come da guida Cloudflare. Imposta la modalità di crittografia SSL/TLS su Full (strict), mai su Flexible; Flexible contro Shopify produce un loop di redirect infinito.
12. Ora applica la strategia che hai scelto prima: attiva Bot Fight Mode (o Super Bot Fight Mode con i bot verificati consentiti, su Pro), crea la regola geografica se l'hai scelta e imposta la tua policy per i crawler AI in AI Crawl Control.

Dimostra che ha funzionato

Scorri questa lista la sera stessa, e di nuovo dopo un giorno:

• Lo storefront si carica in HTTPS su www e sul dominio nudo, da un browser normale e dal telefono fuori dal wifi.
• Fai un ordine di prova vero attraverso il checkout, pagamento incluso. Il checkout è l'unico flusso che non dai mai per scontato.
• Admin Shopify, Impostazioni, Domini: stato verde, SSL attivo, nessun avviso sul proxy.
• Mandati un'email al tuo dominio personalizzato, e mandane una in uscita.
• Verifica che Google Search Console e le altre verifiche di dominio (Meta, Pinterest) risultino ancora attive; i loro record TXT hanno traslocato con tutto il resto, e questo è il controllo che lo dimostra.
• In Cloudflare, osserva le analytics di sicurezza per un giorno: dovresti vedere challenge servite, con tassi di risoluzione vicini allo zero per il traffico spazzatura (i bot non risolvono le challenge; gli umani sì).
• Confronta il report sessioni di Shopify settimana su settimana dopo sette giorni. Questo è il tuo prima-e-dopo.

Se qualcosa si rompe

Le uscite, dalla più rapida:

• Annulla il filtro, tieni il DNS: riporta il record www alla nuvola grigia. Ha effetto in secondi o minuti, e il traffico torna a scorrere esattamente come prima che Cloudflare toccasse qualcosa. Errori di certificato, loop di redirect, avvisi "il dominio usa un proxy non supportato" nell'admin di Shopify: questa singola mossa elimina la condizione che li causa tutti, mentre indaghi. È per questo che l'approccio in due passi conta; il rollback completo, quello che fa paura, non è quasi mai quello che ti serve.
• Rollback completo: riporta i nameserver al vecchio host DNS presso il registrar. Lascia intatta la vecchia zona DNS sul vecchio host per almeno un paio di settimane, proprio perché questa resti un'operazione da cinque minuti. Con i TTL abbassati dalla checklist preliminare, la propagazione è rapida.
• Certificato fermo su "SSL pending" nell'admin di Shopify: metti i record in nuvola grigia e aspetta che Shopify finisca il provisioning; poi riattiva il proxy. È il difetto noto del proxare troppo presto o con le impostazioni sbagliate, e si risolve ogni volta nello stesso modo.

La settimana dopo

I tuoi grafici stanno per cambiare forma di proposito, e aiuta sapere cosa aspettarsi prima che il tuo capo lo chieda.

• Le sessioni crollano. È il segno che la soluzione funziona. Ogni grafico di tendenza che conta sessioni spezza la propria storia il giorno del passaggio. Annota la data, in GA4 e ovunque il tuo team tenga appunti, così tra tre mesi nessuno leggerà il calo come un problema di traffico. La frase per la riunione del lunedì: le sessioni sono calate perché abbiamo smesso di servire robot; ognuna di quelle sessioni gonfiava le bollette delle app a consumo e nutriva di spazzatura i pixel pubblicitari.
• Il tasso di conversione sale per lo stesso motivo. Il denominatore è diventato onesto. Resisti alla tentazione di festeggiarlo come crescita; sono gli stessi ordini su sessioni vere.
• Sappi qual è il numero vero, adesso. Le analytics di Cloudflare contano tutto ciò che arriva all'edge, incluso ciò che le challenge respingono; i report di Shopify contano ciò che è passato. Aspettati che il numero di Cloudflare sia molto più grande, e considera la differenza il lavoro del tuo filtro. Dato che il rilevamento bot di Shopify vede il traffico proxato meno chiaramente (il loro avviso, ed è corretto), da ora in poi la dashboard di Cloudflare è la tua fonte di verità sul traffico; Shopify resta la verità per gli ordini e per tutto ciò che conta più del traffico.
• Occhio al raro umano vero finito in una regola. Il log degli eventi di sicurezza di Cloudflare mostra esattamente quale regola ha intercettato ogni richiesta sfidata o bloccata. Se un cliente vero o lo strumento di un partner segnala di essere bloccato, trova l'evento, poi ammorbidisci quella regola da blocco a managed challenge (gli umani le superano) oppure aggiungi sopra una regola di skip per il loro IP. Non devi mai scegliere tra "la regola resta" e "il cliente resta".

Il conto del traffico che non compra mai

Ora sai come fermare l'ondata. Ecco una cornice per capire quanto ti stava costando, così il pomeriggio di setup ha un numero attaccato.

Per un negozio Shopify standard il costo non è la banda (Shopify la include) ma tutto ciò che intorno al negozio si paga a consumo:

• Strumenti fatturati a sessioni e pageview. Conta i tuoi: heatmap, personalizzazione, popup, analytics, alcuni strumenti di recensioni e assistenza. Ognuno ha una scala di tier, e le sessioni bot la salgono al posto tuo. Una scala reale come riferimento: il listino pubblico di Lucky Orange va da 32 a 839 dollari al mese a seconda del volume di sessioni.
• Spesa pubblicitaria e danni ai pixel. I clic dei bot sugli annunci sono perdita diretta; l'apprendimento inquinato dei pixel è indiretto ma si accumula, perché l'algoritmo ottimizza verso ciò che converte, e i bot gli insegnano che non converte niente.
• Decisioni. Tasso di conversione, priorità dei mercati, letture delle campagne, segnali di merchandising: tutto si degrada insieme al denominatore. Questo costo non si può misurare, ed è esattamente per questo che è il peggiore.
• L'infrastruttura di tutti. Per i negozi headless la voce banda è reale e immediata (Vercel, per esempio, fattura 0,15 dollari per GB oltre il trasferimento incluso). Quando la piattaforma di documentazione Read the Docs ha bloccato i crawler AI nel 2024, la sua banda è scesa del 75%, circa 1.500 dollari al mese; non è un negozio, ma è un prima-e-dopo pulito di quanto costi servire i bot a chi li serve.

Inserisci i tuoi numeri, presi dalla diagnosi di prima:

Perché un'azienda di merchandising scrive questa guida?

Domanda giusta. Depict costruisce merchandising assistito dall'AI per i negozi Shopify: visual merchandising per le pagine collezione. Il traffico bot non è il nostro prodotto, e questa guida non vende niente.

L'abbiamo scritta perché i nostri merchant continuavano a chiedercelo, e perché la questione ci tocca in tre modi. Anche il nostro pricing conta le sessioni come fanno gli strumenti di analytics, senza separare i bot, quindi le ondate di bot spingono i nostri clienti verso i limiti per traffico che non comprerà mai (la nostra linea: limiti generosi, monitorati ma non applicati in automatico, e conversazioni oneste). Le sessioni bot inquinano anche i dati comportamentali su cui gira il merchandising. I bot non comprano, quindi i tuoi dati di vendita si salvano; a corrompersi è tutto ciò che si basa su visualizzazioni e clic. Le sessioni spazzatura gonfiano la popolarità apparente delle pagine che martellano, così i prodotti che un merchandiser ha piazzato di proposito possono sembrare fiacchi rispetto a qualsiasi cosa i bot abbiano colpito, e l'ordinamento basato sulla popolarità impara in silenzio da una finzione. E il carico bot brucia risorse di calcolo, nostre e di ogni vendor, per nessuno.

Quindi: un traffico più pulito rende i tuoi costi più sani e i tuoi dati onesti, e i dati onesti sono la materia prima del buon merchandising. Se le ore che recuperi dalla lotta al traffico spazzatura sono ore che preferiresti passare a curare le collezioni che raccontano la tua storia, quello è il lavoro che fa Depict.

FAQ

I fatti di questa guida sono stati verificati a luglio 2026 sulla documentazione dei vendor e sui report originali; le fonti sono linkate nel testo. Su questo fronte Cloudflare e Shopify cambiano in fretta. Se noti qualcosa che non torna più, scrivici e lo correggiamo.