Les recommandations de Google sur le trafic non valide incluent les outils de clics automatisés, les robots, les spiders, les crawlers, les clics accidentels et toute autre activité qui ne reflète pas un intérêt réel de l’utilisateur. Google filtre l’activité non valide qu’il détecte, mais les annonceurs ont tout de même besoin de leur propre examen de la qualité du trafic pour le comportement après le clic, la qualité des leads et les schémas suspects répétés. Consultez les recommandations de Google sur le trafic non valide et les clics non valides.
Comprendre ce qu’est la fraude au clic est la première étape. Pour réduire le risque lié aux bots, vous devez aussi savoir quels signaux sont solides, lesquels sont bruités et comment éviter les faux positifs.
Pourquoi la détection fondée sur un seul signal échoue
La détection des bots échoue lorsque les équipes traitent un indice comme un verdict.
Exemples :
- un clic via VPN peut venir d’un prospect soucieux de sa vie privée
- une session courte peut venir d’un bot, d’une mauvaise page de destination ou d’un mauvais terme de recherche
- une IP répétée peut être celle d’un concurrent, d’un réseau de bureau ou d’un opérateur mobile
- une IP de centre de données est suspecte en génération de leads, mais peut être attendue pour certains outils B2B
- un lead qui semble faux peut relever de la fraude, ou simplement d’une mauvaise validation du formulaire
Une bonne détection pose la question : les signaux d’appareil, de réseau, de comportement et de qualité des conversions concordent-ils ?
Trafic de bots ou mauvais trafic
Tous les clics à faible valeur ne viennent pas de bots. Une partie du gaspillage tient au ciblage, aux créations ou à un décalage avec la page de destination.
| Type de trafic | Ce que cela signifie | Meilleure première réponse |
|---|---|---|
| Trafic de bots | Activité automatisée ou non humaine | Analyse de l’appareil, du comportement, du réseau et du timing |
| Fraude au clic | Clics payants non valides destinés à gaspiller le budget ou à manipuler les rapports | Blocage et signalement fondés sur des preuves |
| Trafic à faible intention | De vraies personnes avec une faible intention d’achat | Mots clés négatifs, nettoyage des audiences et alignement de la page de destination |
| Clics accidentels | Appuis ou clics involontaires, souvent issus d’emplacements larges | Exclusions d’emplacements et revue des créations |
| Faux leads | Formulaires remplis qui ne correspondent pas à de vrais prospects | Validation des leads et import des conversions qualifiées |
Cette distinction compte, car la correction n’est pas la même. Un problème de bots exige détection et blocage. Un problème de recherches à faible intention exige une bonne hygiène des campagnes. Un problème de faux leads exige un nettoyage de la qualité des conversions.
Les principales techniques de détection des bots
Une détection efficace des bots exige plusieurs couches qui fonctionnent ensemble. Aucune technique ne détecte à elle seule tous les bots, mais combinées, elles forment une protection multicouche.
Technique 1 : l’empreinte d’appareil (device fingerprinting)
L’empreinte d’appareil crée des identifiants uniques à partir de dizaines de caractéristiques de l’appareil, ce qui permet de repérer les bots qui font tourner les adresses IP tout en utilisant la même configuration matérielle ou logicielle sous-jacente.
Ce que capture l’empreinte :
- Type et version du navigateur, plugins installés
- Résolution d’écran et profondeur de couleur
- Paramètres de fuseau horaire et de langue
- Empreinte canvas (la façon dont le navigateur affiche les graphismes)
- Informations sur le moteur de rendu WebGL
- Empreinte du contexte audio
- Énumération des polices
- Concurrence matérielle (cœurs du processeur)
- Mémoire de l’appareil
- Prise en charge et capacités tactiles
Comment elle détecte les bots :
Les utilisateurs légitimes ont des empreintes cohérentes et réalistes. Les bots présentent souvent :
- Des combinaisons impossibles (user agent mobile avec un écran d’ordinateur)
- L’absence de fonctionnalités de navigateur attendues
- Des empreintes identiques chez des utilisateurs « différents »
- Des empreintes qui changent en cours de session
- Des signatures de navigateur headless (Puppeteer, Playwright)
- Des traces de frameworks d’automatisation
Exemple de détection :
Fingerprint Analysis:
- User Agent: Chrome 120 on Windows 11
- Screen Resolution: 800x600 (unusual for modern desktop)
- WebGL Renderer: ANGLE (Google Inc.); indicates headless browser
- Canvas Hash: Matches 847 other "users" this week
- Result: HIGH PROBABILITY BOT
Limites :
Les bots sophistiqués peuvent rendre leurs empreintes aléatoires ou utiliser de vraies instances de navigateur. Traitez l’empreinte comme une couche, pas comme la décision entière.
Technique 2 : l’analyse comportementale
L’analyse comportementale examine la façon dont les visiteurs interagissent avec vos pages et repère les schémas non humains que l’empreinte pourrait manquer.
Analyse des mouvements de souris :
Les humains présentent des mouvements de souris naturels :
- Des trajectoires courbes entre les cibles (pas des lignes droites)
- Une vitesse variable (accélération et décélération)
- Des micro-corrections et des dépassements
- Des pauses pendant la lecture ou la prise de décision
- Des tremblements et imprécisions naturels
Les bots montrent généralement :
- Des lignes parfaitement droites entre les éléments
- Un mouvement à vitesse constante
- Une précision mathématique dans les clics
- Aucune hésitation ni temps de lecture
- Des vitesses de réaction inhumaines (réponses en moins de 100 ms)
Analyse du défilement :
Le défilement humain comprend :
- Une vitesse variable selon la densité du contenu
- Des pauses sur les contenus intéressants
- Des retours en arrière pour relire
- Un défilement avec inertie sur les appareils tactiles
- Une décélération naturelle en fin de page
Le défilement des bots présente souvent :
- Une vitesse de défilement constante
- Aucune pause liée au contenu
- Un défilement immédiat jusqu’au bas de la page
- Des défilements d’une distance au pixel près
- Aucune variation d’une session à l’autre
Analyse du timing des clics :
Les humains ont besoin d’un temps de traitement cognitif :
- Au minimum 250 à 500 ms entre le chargement de la page et la première interaction
- Des délais variables selon la complexité de la page
- Des temps plus longs pour les décisions importantes
- Une variation naturelle dans les actions répétées
Les bots montrent souvent :
- Des clics quelques millisecondes après le chargement de la page
- Des schémas de timing identiques d’une session à l’autre
- Des intervalles d’une précision mathématique
- Aucune corrélation entre la complexité et le temps de réponse
Analyse du parcours de session :
Les utilisateurs légitimes suivent des parcours logiques :
- Ils lisent avant de cliquer sur les CTA
- Ils visitent plusieurs pages pour se renseigner
- Ils reviennent sur les pages précédentes
- Des durées de session naturelles (2 à 15 minutes)
- Des schémas de navigation logiques
Les sessions de bots présentent souvent :
- Des clics immédiats sur les CTA sans lecture
- Des visites d’une seule page
- Aucune visite de retour
- Des sessions extrêmement courtes (moins de 10 secondes)
- Une navigation aléatoire ou illogique
Technique 3 : intelligence et réputation des IP
Même si les bots sophistiqués utilisent des proxys résidentiels, l’analyse des IP détecte encore une part importante de la fraude et fournit des signaux précieux.
Bases de données de réputation IP :
- Plages d’IP de centres de données connues
- Nœuds de sortie de services VPN et proxy
- Nœuds de sortie du réseau Tor
- Sources de fraude déjà identifiées
- Plages d’IP d’hébergeurs
Cohérence de la géolocalisation :
- Décalage entre la localisation de l’IP et le fuseau horaire de l’appareil
- Déplacements impossibles (clics depuis plusieurs pays en quelques minutes)
- Décalage entre la localisation de l’IP et les paramètres de langue
- Anomalies de type de connexion (IP mobile avec un comportement d’ordinateur)
Analyse du réseau :
- Réputation de l’ASN (Autonomous System Number)
- Catégorie du fournisseur d’accès (résidentiel, professionnel, hébergement)
- Vitesse de connexion par rapport au comportement attendu
- Plusieurs utilisateurs derrière une seule IP d’entreprise (légitime) ou une IP résidentielle (suspect)
Exemple de détection :
IP Analysis:
- IP Address: 45.33.32.156
- ASN: AS14061 (DigitalOcean)
- Type: Data Center / Hosting
- Reputation Score: 12/100 (High Risk)
- Previous fraud flags: repeated in past 30 days
- Result: high-risk source for review or blocking
Technique 4 : la classification par machine learning
La détection moderne des bots s’appuie sur des modèles de machine learning entraînés sur des millions de sessions humaines et de bots.
Modèles d’apprentissage supervisé :
Entraînés sur des jeux de données étiquetés de trafic humain et de bots connus :
- Classifieurs Random Forest pour les combinaisons de caractéristiques
- Gradient Boosting pour la reconnaissance de schémas complexes
- Réseaux de neurones pour l’analyse des séquences comportementales
- Méthodes d’ensemble combinant plusieurs modèles
Caractéristiques utilisées :
- Caractéristiques de l’empreinte d’appareil (plus de 50 caractéristiques)
- Indicateurs comportementaux (souris, défilement, schémas de clics)
- Caractéristiques de session (durée, pages, interactions)
- Caractéristiques réseau (réputation de l’IP, type de connexion)
- Caractéristiques temporelles (heure de la journée, jour de la semaine)
- Schémas historiques (cette empreinte ou cette IP a-t-elle déjà été vue ?)
Scoring en temps réel :
Chaque clic reçoit un score de probabilité de fraude :
Fraud Score: 0.87 (High Probability Bot)
Contributing Factors:
- Behavioral anomaly score: 0.92
- Device fingerprint risk: 0.78
- IP reputation: 0.45
- Session pattern match: 0.91
Decision: BLOCK
Technique 5 : vérification JavaScript et preuve de travail
Exiger l’exécution de JavaScript et un travail de calcul élimine les bots basiques qui n’affichent pas les pages.
Tests d’exécution JavaScript :
- Vérifier que JavaScript s’exécute réellement (et pas seulement qu’il est déclaré)
- Tester la disponibilité des API du navigateur
- Exécuter des vérifications fondées sur le timing
- Vérifier les capacités de manipulation du DOM
Vérifications par preuve de travail :
Pour le trafic suspect, exigez un travail de calcul :
- Vérifications par calcul de hachage
- Résolution d’énigmes qui exige un vrai navigateur
- CAPTCHA pour les visiteurs à haut risque
- Vérifications invisibles que les humains passent automatiquement
Point d’attention pour la mise en œuvre :
Les vérifications doivent rester invisibles pour les utilisateurs légitimes. Toute friction réduit les conversions. Les meilleures mises en œuvre :
- S’exécutent en silence en arrière-plan
- Se terminent avant l’interaction de l’utilisateur
- N’affichent un CAPTCHA qu’aux visiteurs les plus à risque
- Utilisent une vérification invisible lorsque c’est possible
Stratégies de détection avancées
Analyse intersessions
Chaque session prise isolément peut paraître légitime. Les schémas apparaissent sur plusieurs sessions :
- Une même empreinte qui apparaît depuis plusieurs IP
- Des schémas comportementaux similaires chez des utilisateurs « différents »
- Un timing coordonné qui suggère des attaques orchestrées
- Des impossibilités géographiques d’une session à l’autre
- Des signaux de fraude constants qui, pris un par un, restent sous le seuil
Techniques de pot de miel (honeypot)
Des éléments cachés avec lesquels les humains n’interagissent jamais, contrairement aux bots :
- Champs de formulaire invisibles (masqués en CSS)
- Liens hors écran
- Boutons cachés aux noms alléchants
- Faux endpoints de conversion
Toute interaction avec un pot de miel est un signal de risque fort, mais vérifiez tout de même comment le champ est mis en œuvre avant de l’utiliser comme blocage automatique.
Analyse des schémas de trafic
L’analyse des schémas de trafic agrégés révèle les attaques coordonnées :
- Pics de trafic soudains sans modification de campagne correspondante
- Trafic issu de sources géographiques inhabituelles
- Répartitions anormales par type d’appareil
- Schémas horaires incompatibles avec l’audience cible
Mettre en place la détection des bots pour Google Ads
Couche 1 : protection avant le clic
Bloquez les acteurs malveillants connus avant qu’ils ne cliquent :
- Listes d’exclusion d’IP dans Google Ads
- Exclusions géographiques pour les régions à forte fraude
- Ciblage par appareil pour exclure les catégories suspectes
- Exclusions d’emplacements pour les sites frauduleux
Google Ads vous limite à 500 exclusions d’IP par campagne ; ClickFortify gère cette limite automatiquement.
Couche 2 : détection en temps réel
Analysez chaque clic au moment où il se produit :
- Des décisions de détection rapides qui ne ralentissent pas les utilisateurs légitimes
- Plusieurs techniques de détection en parallèle
- Une action automatique pour les schémas répétés à forte confiance
- Un impact minimal de la latence sur les utilisateurs légitimes
Couche 3 : validation après le clic
Pour les clics qui passent le premier filtre :
- Analyse comportementale sur la page de destination
- Validation JavaScript
- Surveillance des sessions pour détecter les anomalies
- Validation des conversions
Couche 4 : boucle de rétroaction
Utilisez les résultats de détection pour améliorer la protection :
- Mettre à jour les listes d’exclusion d’IP
- Réentraîner les modèles de ML avec les nouveaux schémas de fraude
- Ajuster les seuils de détection en fonction des taux de faux positifs
- Signaler la fraude confirmée à Google pour obtenir des remboursements
Mesurer l’efficacité de la détection
Indicateurs clés
- Taux de détection : part de la fraude connue qui est détectée
- Taux de faux positifs : utilisateurs légitimes bloqués à tort
- Délai de détection : rapidité d’identification des nouveaux schémas de fraude
- Économies : budget protégé de la fraude
- Amélioration du Niveau de qualité : quand la fraude diminue, le Niveau de qualité augmente
Tester votre protection
- Examiner les schémas suspects connus sans enfreindre les conditions de la plateforme
- Comparer les taux de conversion avant et après la protection
- Analyser le trafic bloqué pour repérer les faux positifs
- Suivre l’évolution du Niveau de qualité dans le temps
L’approche ClickFortify
ClickFortify réunit toutes ces techniques de détection dans une protection unifiée :
Détection multicouche :
- Empreinte d’appareil avec plus de 50 signaux
- Analyse comportementale en temps réel
- Score de réputation des IP issu de plusieurs sources
- Classification par machine learning
- Reconnaissance de schémas intersessions
Réponse automatisée :
- Blocage en temps réel avant tout impact sur le budget
- Gestion automatique des listes d’exclusion d’IP
- Intégration à l’API Google Ads pour des mises à jour instantanées
- Signalement de la fraude pour les demandes de remboursement
Amélioration continue :
- Modèles réentraînés sur les schémas de fraude les plus récents
- Nouvelles techniques de détection à mesure que les bots évoluent
- Règles personnalisées selon vos schémas de trafic
- Une équipe de recherche dédiée à la fraude qui surveille les menaces
Contrôles contre les faux positifs
La détection des bots doit protéger les campagnes sans pénaliser les vrais prospects. Ajoutez des contrôles avant que l’automatisation ne devienne agressive.
- Utilisez des listes d’autorisation pour les équipes internes, les agences et les réseaux de clients de confiance
- Exigez plusieurs signaux avant de bloquer une nouvelle source
- Créez une file d’examen pour les sessions à risque moyen
- Comparez le trafic bloqué aux résultats du CRM et aux retours de l’équipe commerciale
- Séparez les règles par campagne lorsque les campagnes ont des profils de risque différents
- Documentez pourquoi les règles importantes ont été ajoutées et quand elles doivent être revues
L’objectif n’est pas d’afficher le plus grand nombre de clics bloqués. L’objectif est de protéger le budget tout en préservant la demande réelle.
Conclusion : la défense en profondeur
Aucune technique de détection des bots ne suffit à elle seule. La fraude moderne exige une défense multicouche qui combine :
- L’empreinte d’appareil pour identifier les configurations suspectes
- L’analyse comportementale pour repérer les imitations sophistiquées
- L’intelligence IP pour bloquer les acteurs malveillants connus
- Le machine learning pour identifier les schémas émergents
- L’adaptation continue à mesure que les bots évoluent
Les schémas des bots changent, la détection doit donc être revue régulièrement. Gardez une approche pragmatique : détectez les comportements suspects, validez les résultats en aval et ajustez les règles lorsque les preuves évoluent.
Comprendre comment la fraude au clic affecte votre Niveau de qualité montre pourquoi une détection efficace est cruciale : la fraude ne fait pas que gaspiller le budget, elle aggrave les dégâts sur l’ensemble de votre compte.
