Le trafic augmente. La durée d’engagement est de 2 secondes. Les nouveaux utilisateurs venant d’une ville moyenne que vous ne ciblez pas atteignent 100 %, et aucune de ces sessions n’a converti. Si ce schéma vous semble familier, vous ne regardez pas une victoire marketing ; vous regardez à quoi ressemble le trafic de bots après que le filtre automatique de Google a déjà retiré la partie facile.
Ce guide couvre les trois niveaux que la plupart des guides sur les bots dans GA4 confondent : ce que GA4 filtre de lui-même (et ce que ce filtre manque par construction), une méthode d’exploration reproductible pour révéler le reste, et (la partie qui protège réellement le budget) comment convertir chaque symptôme GA4 en action de blocage dans Google Ads et Meta. Car la vérité dérangeante, c’est que GA4 peut décrire le trafic de bots en détail, mais qu’il ne peut pas stopper un seul clic.
Ce que GA4 filtre déjà, et ce qu’il ne peut pas filtrer par construction
GA4 exclut automatiquement le trafic des bots connus. Le filtre combine les recherches de Google et l’IAB/ABC International Spiders & Bots List, il s’applique à toutes les propriétés et vous ne le gérez pas : aucun bouton pour le désactiver, aucun paramètre à ajuster et aucun rapport indiquant la quantité de trafic supprimée. Il agit simplement en amont de vos rapports.
Ce filtre est réel, mais il est aussi étroit. Il intercepte les robots d’exploration déclarés et les bots connus : le trafic automatisé assez poli pour s’identifier ou assez notoire pour figurer sur une liste du secteur. Ce qu’il n’intercepte pas, c’est le trafic qui coûte de l’argent aux annonceurs : les bots conçus pour ressembler à des humains. La fraude au clic moderne fait tourner des environnements de navigateur complets qui exécutent le JavaScript, déclenchent votre balise GA4, font défiler les pages et naviguent de l’une à l’autre ; elle passe par des proxys résidentiels pour que l’IP appartienne à un vrai foyer plutôt qu’à un centre de données. Rien de tout cela ne correspond à une entrée de la liste de l’IAB. Les recherches d’Imperva sur les bots malveillants estiment désormais le trafic automatisé à 53 % de l’ensemble du trafic web, et sa part sophistiquée est précisément celle qu’une liste de bots connus ne peut pas voir.
Il existe une troisième catégorie que la plupart des guides ne mentionnent jamais : le trafic de bots que GA4 n’enregistre jamais. De nombreux bots de clic cliquent sur votre annonce sans jamais exécuter la balise d’analyse de la page de destination : pas de JavaScript, pas de session, aucune trace. Dans GA4, ils sont invisibles ; sur votre facture Google Ads, ils sont bien présents. C’est pourquoi un écart croissant entre les clics payants dans Google Ads et les sessions payantes dans GA4 est en soi l’un des signaux de bots les plus forts dont vous disposez, et pourquoi la détection côté analytics ne pourra jamais donner qu’une moitié du tableau.
Ajustez donc vos attentes. Dans GA4, vous traquez le niveau intermédiaire : un trafic automatisé qui a exécuté votre balise, franchi le filtre des bots connus et laissé des empreintes comportementales dans vos données.
Sept signaux qui trahissent le trafic de bots dans GA4
Aucune métrique isolée ne prouve l’existence de trafic de bots. Ce sont les regroupements qui le font. Cherchez plusieurs de ces signaux concentrés en même temps sur la même source, la même campagne ou la même ville :
- Une durée d’engagement moyenne proche de zéro. Les vrais visiteurs issus de campagnes payantes passent un temps mesurable sur une page. Des sessions affichant en moyenne entre 0 et 2 secondes d’engagement, en volume, depuis une même source, relèvent de l’automatisation. C’est le signal isolé le plus net de GA4.
- L’effondrement du taux d’engagement d’un segment. Si le trafic payant de votre propriété affiche un taux d’engagement de 55 à 65 % et qu’une campagne, un emplacement ou une ville tombe soudain à 5 %, ce segment a un problème de qualité du trafic, pas un problème de création publicitaire.
- Près de 100 % de nouveaux utilisateurs venant d’une seule source. Les bots changent d’identité ; les humains reviennent. Une source qui ne produit jamais de visiteur récurrent, surtout associée au signal n° 1, est un marqueur fort d’automatisation.
- Une géographie qui ne correspond pas à votre ciblage. Des groupes de sessions venant de villes ou de pays où vous ne faites pas de publicité, ou un volume improbable depuis une petite ville, indiquent des sorties de proxys et des fermes à clics. (Une partie du trafic mal localisé relève aussi d’un problème de paramètres ; nous y revenons plus bas.)
- Des empreintes technologiques improbables. Des versions de navigateur obsolètes, des résolutions d’écran comme 800×600, ou
(not set)à la place des données d’appareil : les environnements headless et falsifiés laissent échapper des incohérences que les vrais appareils grand public n’ont pas. - Des pics de sessions sans hausse des conversions, ou avec des conversions bidon. Les afflux de trafic qui ne produisent rien en sont une variante ; ceux qui produisent de faux leads avec des e-mails jetables et des numéros de téléphone inexistants sont la variante la plus coûteuse, car ces faux leads alimentent l’automatisation de vos enchères.
- Des afflux de trafic direct et des référents étranges. Un trafic direct soudain et inexpliqué avec un engagement de type bot, ou des sources de référence que vous ne reconnaissez pas, complètent le tableau. Le spam de référents classique est plus rare dans GA4 qu’il ne l’était dans Universal Analytics, mais les sites référents indésirables apparaissent encore et méritent d’être exclus.
Une méthode d’exploration prête à copier
Vous pouvez repérer la plupart de ces signaux dans une seule exploration en format libre. Dans GA4 : Explorer → Format libre, puis configurez :
- Dimensions : Source/Support de la session, Campagne de la session, Ville, Catégorie d’appareil, Navigateur
- Métriques : Sessions, Sessions avec engagement, Durée d’engagement moyenne par session, Nouveaux utilisateurs, Événements clés
- Filtre : Groupe de canaux par défaut de la session = « Paid Search » (recherche payante ; répétez pour Paid Social, Display et Cross-network)
- Lignes : commencez par Source/Support de la session + Ville ; remplacez Ville par Navigateur lors du second passage
Lisez ensuite chaque ligne au regard de ces seuils :
| Métrique | Trafic payant sain | Comportement de bot |
|---|---|---|
| Durée d’engagement moyenne par session | 30 s ou plus | Moins de 5 s environ |
| Taux d’engagement | Proche de la moyenne payante de votre propriété | Une fraction de celle-ci |
| Nouveaux utilisateurs / total des utilisateurs | Mélangé | Environ 100 % de nouveaux |
| Événements clés (conversions) | Présents, plausibles | Aucun, ou formulaires bidon |
| Géographie | Correspond au ciblage | Hors ciblage, ou une ville étrange |
Les lignes qui échouent sur trois colonnes ou plus avec un volume significatif méritent une enquête. Celles qui échouent sur les cinq forment votre liste d’actions pour la section suivante. Lancez la même exploration chaque semaine ; les campagnes de bots bougent, et c’est la comparaison avec la référence de la semaine précédente qui rend un pic évident.
Filtrer ce que vous trouvez, et les limites strictes de GA4
GA4 vous offre exactement trois outils de nettoyage natifs, et il faut être honnête sur le plafond de chacun :
- Filtres de trafic interne et d’IP. Vous pouvez définir le trafic interne par IP et l’exclure. Le problème face à la fraude : le filtre exige de connaître les IP à l’avance, et GA4 ne vous montre jamais les adresses IP des visiteurs. Il est conçu pour exclure votre propre bureau, pas des sorties de bots en rotation.
- Exclusions de sites référents indésirables. Utiles pour retirer de l’attribution le spam de référents et le bruit des passerelles de paiement. Elles ne font rien contre les sessions de bots arrivant par des clics payants.
- Comparaisons et segments. Votre outil d’hygiène au quotidien : créez une comparaison qui exclut la ville, la source ou le groupe de navigateurs en cause, afin que les décisions soient prises sur des données propres. Sachez que cela masque les déchets dans les rapports ; les données sous-jacentes restent.
Deux limites comptent plus que n’importe quelle fonctionnalité. D’abord, les filtres de données ne s’appliquent qu’à l’avenir : rien ne supprime les sessions de bots déjà traitées dans votre propriété. Ensuite, GA4 a abandonné la dimension FAI/fournisseur de services que les utilisateurs d’Universal Analytics exploitaient autrefois pour repérer le trafic des centres de données ; même l’astuce consistant à « trouver les FAI des hébergeurs » a donc disparu. GA4 ne contient tout simplement pas les preuves au niveau réseau (IP, FAI, ASN) qu’exige au bout du compte la distinction entre bots et humains.
Ce n’est pas un bug ; c’est une limite de périmètre. GA4 est un produit de mesure. Ce qui nous amène à la partie qui fait réellement économiser de l’argent.
Du symptôme à l’action : ce qu’il faut faire côté publicité
Chaque signal mis au jour par votre exploration correspond à un réglage situé en dehors de GA4. Cette correspondance est l’étape que la plupart des guides sur le trafic de bots oublient :
- Sessions mal localisées : dans Google Ads, consultez le rapport sur la localisation des utilisateurs, passez le ciblage de « Présence ou intérêt » à Présence uniquement et ajoutez des exclusions de zones géographiques.
- Un emplacement ou un site avec un engagement de type bot : exclusions d’emplacements (au niveau du compte pour Performance Max).
- Sessions bidon via les partenaires du Réseau de Recherche : évaluez l’option Partenaires du Réseau de Recherche pour cette campagne.
- Visiteurs automatisés récurrents : exclusions d’IP, avec les réserves ci-dessous.
- Trafic social payant de mauvaise qualité : exclusions d’audience Meta et filtrage des signaux de conversion ; Meta ne propose aucune exclusion d’IP.
- Faux leads comptés comme conversions : filtrage au niveau des conversions (section suivante).
Les réserves sur les exclusions d’IP méritent un paragraphe, car c’est là que la méthode GA4 bute. Google Ads plafonne les exclusions d’IP à 500 par campagne, les exclusions au niveau de la campagne ne s’appliquent pas du tout à Performance Max, et (problème structurel) GA4 ne peut pas vous dire quelles IP exclure, puisqu’il ne les expose pas. Les bots sur proxys résidentiels passent en une journée par plus d’adresses que le plafond n’en autorise au total. Combler cet écart exige une détection des bots au niveau du clic : une couche indépendante qui voit chaque clic payant avec son empreinte réseau et d’appareil complète, identifie le visiteur par son comportement et rédige automatiquement les exclusions. C’est le rôle d’un logiciel dédié de protection contre la fraude au clic plutôt que d’une propriété d’analytics : GA4 vous dit que l’attaque a eu lieu ; une couche de protection est ce qui l’arrête.
Le système de détection des clics non valides de Google filtre et rembourse bien le trafic qu’il intercepte, et cette base est réelle. Mais il optimise pour les enchères à l’échelle de la plateforme et, comme nous l’avons vu plus haut, le niveau intermédiaire d’automatisation d’apparence humaine est justement celui qui passe entre les mailles, à vos frais.
Les bots les plus coûteux ne touchent jamais deux fois votre site : protégez le signal de conversion
Voici le mode de défaillance qui s’aggrave avec le temps. Le trafic de bots qui atteint vos formulaires ne se contente pas de polluer les données d’analyse ; il envoie de faux leads, et si ces faux leads sont remontés à Google et à Meta comme conversions, vos campagnes Smart Bidding et Advantage+ apprennent à partir d’eux. L’algorithme s’empresse alors d’acheter davantage de ce qui a produit les déchets. À ce stade, vous ne perdez plus seulement le coût des mauvais clics ; vous payez la plateforme pour les multiplier.
GA4 n’a aucun rôle à jouer ici. La solution consiste à filtrer au niveau des conversions :
- Sur Google, cela signifie valider les leads avant de les importer via le suivi avancé des conversions pour les prospects, afin que les enchères ne s’entraînent que sur de vrais prospects.
- Sur Meta, cela signifie envoyer des signaux filtrés contre la fraude via l’API Conversions : attribuer un score à chaque événement côté serveur et n’envoyer que les conversions vérifiées, afin qu’Advantage+ optimise vers des humains. Meta n’offre aux annonceurs aucune exclusion d’IP et peu de leviers manuels, ce qui fait de la qualité du signal de conversion le seul réglage que vous maîtrisez encore sur cette plateforme.
Si votre exploration GA4 a révélé des formulaires bidon issus du trafic payant, considérez le filtrage des conversions comme plus urgent que le nettoyage des rapports. Des rapports propres, c’est agréable ; un signal d’entraînement propre, c’est de l’argent.
En résumé
Le filtre automatique de bots de GA4 gère le trafic qui s’annonce. Pour tout le reste, GA4 est un détecteur de fumée : lancez la méthode d’exploration chaque semaine, lisez ensemble la durée d’engagement, la part de nouveaux utilisateurs, la géographie et l’écart entre clics et sessions, et utilisez les comparaisons pour garder des décisions propres. Faites ensuite la partie qui change réellement la facture : agissez sur les plateformes publicitaires, et placez une détection des bots au niveau du clic et un filtrage des conversions en amont du trafic, afin que les déchets cessent d’atteindre votre propriété, vos formulaires et vos algorithmes d’enchères. La mesure vous montre la fuite. La protection la colmate.
