Cinq cents emplacements, cela semble largement suffisant. La plupart des annonceurs n’en remplissent jamais cinquante. Puis une vraie attaque commence : le prestataire d’un concurrent, une ferme à clics engagée contre vos meilleurs mots clés ou un botnet qui a trouvé votre enchère à CPC élevé, et la liste se remplit en une semaine. Alors la même question revient sur tous les forums PPC : comment exclure plus de 500 IP dans Google Ads ?
La réponse courte : c’est impossible, et ce guide explique quoi faire à la place. Il s’appuie sur notre analyse complète de quand les exclusions d’IP fonctionnent et quand elles échouent ; cet article porte spécifiquement sur le plafond.
La limite, précisément
D’après la documentation de Google sur les exclusions d’IP :
| Règle | Détail |
|---|---|
| Plafond par campagne | Jusqu’à 500 adresses IP exclues par campagne |
| Exclusions au niveau du compte | Disponibles sous Administration, puis Paramètres du compte ; s’appliquent à tout le compte |
| Plages | Caractère générique astérisque sur la dernière section, par exemple 203.0.113.* ; pas de notation CIDR |
| Non pris en charge au niveau de la campagne | Campagnes vidéo, hôtel, App, Performance Max et Display intelligentes |
| Où le configurer | Campagne, puis Paramètres, puis Paramètres supplémentaires, puis Exclusions d’adresses IP |
| Effet | Arrête la diffusion future vers ces adresses ; ne rembourse jamais les clics passés |
Trois détails de ce tableau déterminent votre stratégie. Une entrée avec caractère générique couvre un bloc complet de 256 adresses pour un seul emplacement : les plages sont donc votre moyen de gagner de la place. Les exclusions au niveau de la campagne n’existent pas pour Performance Max : la liste du compte est donc votre seul levier IP dans ce cas. Enfin, les exclusions ne valent que pour l’avenir : tout ce qui a déjà été facturé passe par la procédure de contestation.
Pourquoi 500 s’épuise plus vite que prévu
Le plafond a été conçu pour un monde où un fraudeur avait un bureau et une adresse. Ce monde a disparu. L’attaquant moderne loue son infrastructure :
- Les réseaux de proxys résidentiels font passer les clics par de vraies connexions de foyers. Les grands réseaux annoncent des millions d’adresses dans tous les pays et chez tous les opérateurs. Une campagne de quelques milliers de clics hostiles peut arriver depuis quelques milliers d’IP distinctes, chacune utilisée une ou deux fois. Nous expliquons pourquoi cela met en échec le blocage statique dans proxys résidentiels et fraude au clic.
- Le CGNAT (NAT au niveau de l’opérateur) place des milliers d’utilisateurs mobiles derrière une seule adresse partagée. Bloquez-la et vous bloquez de vrais clients avec ; ne la bloquez pas et le fraudeur continue de passer.
- Les botnets et appareils infectés cliquent depuis des ordinateurs domestiques ordinaires dont l’adresse change à chaque bail DHCP.
Faites le calcul face à une liste de 500 emplacements. Si une attaque consomme 200 nouvelles IP par jour et que vous mettez à jour les exclusions deux fois par semaine, vous avez en permanence 600 adresses de retard à la fin de la semaine, et les entrées ajoutées le mois dernier pointent désormais vers des adresses réattribuées qui peuvent appartenir à de vrais prospects. La liste se dégrade par les deux bouts à la fois.
Six façons d’étirer la limite
La gestion manuelle reste utile, surtout face aux petits et moyens fraudeurs. Ces six mesures tirent le meilleur parti des 500 emplacements :
- Regroupez les IP isolées en plages avec caractère générique. Si 30 entrées partagent les trois premières sections, remplacez-les par une seule entrée
x.y.z.*et libérez 29 emplacements. Ne le faites que lorsque tout le bloc montre un comportement hostile ; un caractère générique sur un réseau partagé échange de la fraude contre des clients perdus. - Déplacez les récidivistes permanents au niveau du compte. Le réseau de bureau confirmé d’un concurrent a sa place sur la liste du compte, où il couvre aussi Performance Max et les autres types de campagnes dépourvus du paramètre de campagne. Gardez les emplacements de campagne pour la menace active et changeante.
- Faites le tri par date, pas de mémoire. Les IP sont réattribuées en permanence. Notez la date et les preuves de chaque entrée, et revérifiez tout ce qui date de plus de 60 à 90 jours. Une exclusion obsolète est un emplacement gaspillé pour une adresse qui appartient désormais à quelqu’un d’autre.
- Réduisez l’exposition en amont pour avoir moins d’IP à bloquer. Restreignez les paramètres de zone géographique à Présence, retirez des calendriers de diffusion les heures hostiles et appliquez des listes d’exclusion partagées pour les emplacements. Moins d’impressions hostiles, c’est une liste qui se remplit plus lentement.
- Tenez un dossier de preuves à côté de la liste. Les mêmes horodatages, IP et schémas qui justifient une exclusion alimentent aussi une demande d’avoir et, si besoin, un dossier contre un concurrent. Un seul journal, trois usages.
- Faites une revue chaque semaine, pas chaque année. Un passage hebdomadaire de 15 minutes (nouvelles sources récurrentes ajoutées, entrées obsolètes retirées) garde une liste manuelle utile. Une liste que personne n’entretient n’est que 500 emplacements de fausse sécurité.
Le calcul qui ne tient jamais
Étirer la limite aide, mais soyez lucide sur ses bornes. Toute défense IP manuelle partage trois défauts structurels qu’aucune rigueur ne corrige :
- Vous bloquez hier. Une exclusion est appliquée après que les clics qui ont permis d’identifier le fraudeur ont déjà été facturés. Face à la rotation, chaque nouvelle adresse se sert gratuitement d’abord.
- La liste ne peut pas apprendre. Le même attaquant sur une nouvelle IP est, pour votre liste, un parfait inconnu. Rien n’est conservé : ni l’appareil, ni le comportement, ni l’historique.
- La précision se dégrade. À mesure que les entrées vieillissent, le risque passe du sous-blocage au surblocage, car une IP n’est pas une personne. Les adresses partagées et réattribuées font qu’une vieille liste écarte discrètement de vrais acheteurs.
C’est pourquoi les équipes qui ont atteint deux fois le plafond de 500 tentent rarement de gagner une troisième fois la partie de gestion de liste.
Ce qui vient réellement à bout de la limite
La réponse structurelle consiste à ne plus fonder la défense sur l’adresse, mais sur l’acteur :
- L’empreinte d’appareil (device fingerprinting) reconnaît la même machine malgré les changements d’IP : le fraudeur qui fait tourner ses adresses reste un seul appareil connu.
- Le scoring comportemental juge chaque clic sur son comportement (profondeur de session, rythme, interactions, signaux d’automatisation), ce qui détecte le premier clic d’une adresse jamais vue, pas seulement les visites répétées.
- La synchronisation automatique des exclusions transforme ces verdicts en exclusions Google Ads en temps réel et gère les 500 emplacements pour vous : ajout des menaces actives, regroupement des plages et retrait des entrées obsolètes, sans que personne n’entretienne de tableur.
C’est exactement ainsi que ClickFortify protège les comptes Google Ads, avec une piste de preuves associée à chaque blocage pour que vos contestations et vos dossiers contre des concurrents se rédigent presque seuls. Découvrez comment fonctionne ClickFortify, et si vous voulez d’abord mesurer le problème, faites vos calculs avec le calculateur de fraude publicitaire.
Si vous atteignez 500, lisez cette partie
Remplir la liste d’exclusion d’une campagne est un diagnostic. Cela signifie que le trafic non valide qui vous cible est industriel, pas occasionnel, et deux actions comptent plus que la libération d’emplacements :
- Demandez vos avoirs maintenant, pas plus tard. Le délai de 60 jours pour les enquêtes sur le trafic non valide est strict. Si l’attaque dure depuis des semaines, une partie des dépenses récupérables est déjà en train d’expirer.
- Vérifiez si le schéma désigne quelqu’un. Un volume hostile concentré sur vos mots clés principaux pendant les heures de bureau ne se lit pas comme un botnet diffus. Notre guide des preuves de fraude au clic par des concurrents montre comment les distinguer, et nos techniques de détection des bots couvrent le volet automatisé.
En résumé
La limite de 500 exclusions d’IP dans Google Ads est réelle, fixe et plus petite qu’elle n’en a l’air dès qu’une véritable attaque commence. Étirez-la intelligemment : caractères génériques pour les plages, liste du compte pour les récidivistes permanents, entrées datées et nettoyées selon un calendrier, et ciblage resserré en amont. Mais voyez dans ce plafond un message. Les listes d’IP ont été conçues pour un internet d’adresses statiques, et la fraude que vous combattez n’y vit plus. Quand la liste est pleine, la solution n’est pas une liste plus grande. C’est une défense qui reconnaît l’acteur plutôt que l’adresse, bloque en temps réel et conserve les preuves pour l’argent qui vous est dû.
