Ferme à clics : définition et économie du faux clic (2026)

Demandez à la plupart des annonceurs d’imaginer la fraude au clic, et ils imaginent un serveur : un script dans un centre de données qui martèle une annonce en boucle. Cette image est la moitié du problème. Elle décrit le trafic de bots, et c’est pour cela que tant de défenses sont réglées pour attraper des machines.

La ferme à clics est l’autre moitié, et elle est délibérément conçue pour ressembler à vos clients. Ce guide explique ce que sont réellement ces opérations, ce que les enquêteurs ont trouvé lors des raids, pourquoi les données économiques que tout le monde cite ne sont pas fiables, et à quoi ressemble le trafic d’une ferme à clics dans un compte Google Ads.

Ce qu’est réellement une ferme à clics

Une ferme à clics est une opération qui paie des personnes pour générer un engagement d’apparence naturelle. Le résultat est ce que l’acheteur veut : clics sur des annonces, installations d’applications, vues de vidéos, abonnés sur les réseaux sociaux, avis produits, notes de vendeurs ou interactions de recherche qui font grimper une fiche dans un classement.

Trois caractéristiques la définissent :

• Du vrai matériel. Des téléphones, tablettes et ordinateurs physiques, souvent par centaines, fixés sur des racks ou alignés sur des tables et reliés à une machine de contrôle.
• Une vraie identité réseau. Des cartes SIM grand public et des connexions résidentielles, si bien que le trafic provient d’espaces d’adresses appartenant à des opérateurs et des FAI légitimes.
• De vraies personnes. Des travailleurs qui effectuent les tapotements, parfois aidés par l’automatisation pour les tâches répétitives.

C’est ce troisième élément qui distingue une ferme à clics des fermes de bots que nous traitons séparément. Une ferme de bots, c’est un logiciel qui imite une personne. Une ferme à clics, c’est une personne. Le problème de l’imitation disparaît entièrement, et avec lui la plupart des signaux que vos filtres antifraude recherchent.

Ce que révèle un vrai raid

L’image la plus instructive d’une ferme à clics vient des forces de l’ordre plutôt que du marketing des éditeurs.

En juin 2017, la police et l’armée thaïlandaises ont perquisitionné deux maisons louées dans le district d’Aranyaprathet, près de la frontière cambodgienne. À l’intérieur, selon The Register, ils ont découvert une structure métallique de fortune supportant des centaines de téléphones reliés à un écran, et ont saisi :

Deux détails méritent l’attention. D’abord, les cartes SIM sont plus de 700 fois plus nombreuses que les téléphones, car c’est l’identité qui est le consommable, pas l’appareil. On grille un numéro, on le remplace, on continue. Ensuite, les opérateurs ont expliqué à la police qu’ils s’étaient installés en Thaïlande parce que les tarifs mobiles y étaient bas par rapport à la Chine. C’est une activité à faible marge, qui se déplace là où les intrants sont les moins chers.

Un mot sur les sources, car cela compte pour tout ce que vous lirez sur le sujet : ce raid a eu lieu en 2017, mais il circule largement dans des articles récents datés de 2025 et 2026 avec les mêmes chiffres. Si vous voyez le chiffre de 347 200 cartes SIM présenté comme actuel, c’est l’affaire de 2017 qui est recyclée.

Les actions répressives plus récentes se concentrent sur la couche d’identité qui alimente ces opérations. Lors de l’opération SIMCARTEL, coordonnée par Europol et Eurojust en octobre 2025 en Autriche, en Estonie, en Finlande et en Lettonie, les enquêteurs ont mené 26 perquisitions, arrêté sept personnes et saisi environ 1 200 boîtiers SIM faisant tourner 40 000 cartes SIM actives enregistrées dans plus de 80 pays. Le service reposant sur ce matériel avait servi à créer environ 49 millions de comptes en ligne.

Ferme à clics, ferme de bots, ferme de SIM : trois choses différentes

Ces termes sont souvent utilisés de manière interchangeable, et ils ne devraient pas l’être.

Une ferme de SIM ne produit pas vos faux clics. Elle produit les comptes vérifiés et les identités téléphoniques que consomment les fermes à clics et les fermes de bots. C’est pourquoi la répression des fermes de SIM concerne les annonceurs, même si aucune annonce n’y est jamais cliquée.

En pratique, les catégories se mélangent. Une opération moderne automatise généralement le travail répétitif et réserve l’intervention humaine aux étapes qui l’exigent, ce qui est exactement l’hybride qui déjoue une détection réglée sur l’un ou l’autre extrême.

Les données économiques que personne ne vérifie

Presque tous les articles sur les fermes à clics citent un prix. Un centime par clic. Un dollar les mille. Dix mille vues pour quelques dollars.

Ces chiffres viennent des vendeurs.

Il n’existe aucune donnée tarifaire auditée pour un marché illégal. Les chiffres en circulation sont tirés des pages commerciales de services qui vendent du faux trafic, et ces opérateurs ont tout intérêt à afficher les plus gros volumes aux prix les plus bas, qu’ils les livrent ou non. Reprendre leur grille tarifaire comme une donnée de marché, ce n’est pas de la recherche, c’est de l’amplification.

Ce qui peut être vérifié provient des dossiers des forces de l’ordre et du côté de la demande. L’affaire thaïlandaise fournit un point de données honnête : trois opérateurs, 474 téléphones, environ 4 400 dollars américains par mois de rémunération totale. C’est le coût de fonctionnement de la ferme, pas le prix facturé à ses clients, et cela montre que la marge est assez mince pour justifier de traverser une frontière à la recherche de forfaits SIM bon marché.

Côté demande, l’étude de l’ANA sur la transparence du programmatique a constaté que seuls 36 cents environ de chaque dollar entrant dans une plateforme côté demande atteignaient un consommateur de façon mesurable, une autre part importante aboutissant sur des médias de faible qualité, dont le trafic non valide et l’inventaire conçu pour la publicité (made-for-advertising). Les travaux de référence ultérieurs de l’ANA ont estimé le gaspillage programmatique à environ 26,8 milliards de dollars. Ces chiffres n’isolent pas spécifiquement les fermes à clics, et nous ne prétendrons pas le contraire, mais ils donnent la taille de la manne qui rend ce type d’opération rentable.

La conclusion pratique pour un annonceur est plus simple que n’importe quelle grille tarifaire : le coût d’un faux clic pour l’acheteur est une goutte d’eau à côté de ce que ce clic vous coûte avec un CPC de 4 dollars. Cette asymétrie, c’est le modèle économique.

Pourquoi les fermes à clics déjouent les défenses classiques

Passez en revue la chaîne de détection habituelle et regardez-la échouer couche après couche.

• Réputation IP et listes de blocage. La connexion est une vraie ligne résidentielle ou mobile. Elle ne figure dans aucun flux de menaces, et la bloquer risque de bloquer un vrai foyer. Le même problème structurel que nous décrivons dans pourquoi le blocage d’IP échoue face aux proxys résidentiels s’applique ici, pour une autre raison : cette adresse n’est pas du tout un proxy.
• Filtres de centres de données et d’hébergeurs. Rien à attraper. Aucun centre de données sur le trajet.
• CAPTCHA. Un humain est présent. Le CAPTCHA est un test d’humanité, et la ferme le réussit honnêtement.
• Empreinte d’appareil (device fingerprinting), utilisée naïvement. L’appareil est un vrai iPhone avec une vraie empreinte. L’empreinte reste utile, mais seulement si vous vous en servez pour repérer le même appareil qui revient d’une session à l’autre, et non pour décider si un appareil est authentique.
• Heuristiques anti-bots basiques. Les mouvements de souris, le rythme des tapotements et les courbes d’interaction viennent de vrais doigts. Il n’y a aucune courbe d’automatisation à détecter.
• Filtrage des bots dans GA4. Les filtres des plateformes s’appuient sur des listes de bots connus. Le téléphone d’un inconnu dans un autre pays ne figure sur aucune liste.

Voilà pourquoi les fermes à clics coûtent plus cher que les bots, et pourquoi les acheteurs les paient quand même. Vous ne payez pas pour des clics. Vous payez pour des clics qui survivent au filtrage.

À quoi ressemble le trafic d’une ferme à clics dans votre compte

Comme les signaux techniques sont faibles, la détection se déplace vers les schémas et les résultats. Aucun élément ci-dessous ne prouve quoi que ce soit à lui seul. C’est la combinaison qui constitue le signal.

• Des clics en hausse, des conversions stables ou en baisse. Le signal le plus durable de toute la fraude au clic, et celui que les fermes à clics ne peuvent éviter qu’en vous achetant réellement quelque chose.
• Une concentration sur vos mots clés les plus chers. Celui qui paie la ferme achète des dégâts, et les dégâts se facturent au clic.
• Des sessions courtes mais pas instantanées. Les bots repartent en moins d’une seconde. Un humain payé s’attarde juste assez pour paraître crédible, souvent pendant une poignée de secondes étrangement constante d’une session à l’autre.
• Un engagement superficiel mais non nul. Un défilement, peut-être une interaction, puis plus rien. Une vraie intention produit un comportement plus désordonné et plus varié.
• Des concentrations géographiques hors de votre zone. Un trafic concentré dans une ville ou une région hors de votre marché, qui arrive par des opérateurs mobiles plutôt que par des plages d’IP de centres de données.
• Une homogénéité des appareils. Les fermes achètent leur matériel en gros. Une concentration inhabituelle d’un ancien modèle d’appareil ou d’une même version d’OS sur des sessions par ailleurs sans lien mérite une requête.
• Des horaires qui suivent un rythme de travail posté. Les opérations humaines ont des heures de travail. Un volume qui démarre et s’arrête à des heures locales régulières, avec un creux à l’heure du déjeuner, est une signature très différente de celle d’un script qui tourne de façon uniforme jour et nuit.
• Un comportement répété sans identité répétée. La même séquence d’interactions qui revient depuis des adresses sans cesse différentes indique une opération coordonnée plutôt qu’une coïncidence.

Ce dernier couple, un comportement constant derrière une identité changeante, est le nœud du problème. Une ferme à clics peut changer d’adresse à chaque session. Elle peut difficilement changer la façon dont ses travailleurs sont formés à se comporter.

Comment détecter le trafic d’une ferme à clics dans Google Ads et Meta

Pour détecter le trafic d’une ferme à clics, utilisez la plateforme publicitaire pour repérer une concentration suspecte et les données de votre propre site pour la confirmer. Google Ads et Meta peuvent vous montrer où, quand et sur quel type d’appareil les clics ont eu lieu. Seul votre site peut montrer ce que chaque visiteur a fait ensuite, et c’est là qu’une ferme se trahit.

Fixez d’abord vos attentes. Les normes de détection et de filtrage du trafic non valide du Media Rating Council (mise à jour de juin 2020) citent les fermes à clics comme exemple de trafic non valide sophistiqué (SIVT) : une activité humaine rémunérée dont on peut démontrer qu’elle est organisée et dirigée sur plusieurs utilisateurs ou machines. La même norme classe les émulateurs dans le SIVT automatisé. Le MRC définit le SIVT comme la catégorie qui exige des analyses avancées et le recoupement de plusieurs points de données pour être identifiée. Aucun rapport isolé ne vous le livrera.

Six signaux font l’essentiel du travail :

1. Des concentrations par région ou par opérateur à des heures inhabituelles. Des clics concentrés dans quelques régions, arrivant par des réseaux mobiles, à des horaires qui correspondent à un poste de travail ailleurs plutôt qu’à la journée de vos clients.
2. Une uniformité des appareils et des OS. De nombreuses sessions sans lien sur le même modèle et la même version d’OS, ou des signes d’émulateur comme des chaînes matérielles génériques, l’absence de capteurs de mouvement ou des tailles d’écran qu’aucun téléphone du commerce n’utilise.
3. De nombreux appareils, un seul comportement. Des appareils différents qui suivent le même parcours de pages, la même profondeur de défilement et le même temps passé. Des chercheurs qui ont acheté des likes auprès de fermes à likes Facebook ont constaté que les fermes les plus discrètes imitaient assez bien les utilisateurs ordinaires pour échapper à la détection déployée par Facebook, mais que leurs comptes produisaient tout de même des commentaires et des likes en double plus souvent que les utilisateurs normaux (Ikram et al., ACM Transactions on Privacy and Security, 2017). La coordination laisse un schéma, même quand chaque session semble humaine.
4. Un CTR élevé avec un temps d’engagement ou des conversions proches de zéro. Les fermes sont payées pour cliquer, pas pour lire ni pour acheter.
5. Des formulaires de leads remplis de données répétitives. Des numéros de téléphone qui se suivent, un même domaine e-mail répété, le même nom avec de petites variantes, ou des coordonnées plausibles qui ne répondent jamais à un rappel.
6. Un délai entre clic et conversion qui n’a rien de naturel. Des conversions qui tombent presque exactement le même nombre de secondes après le clic, encore et encore. Les vrais acheteurs prennent des temps extrêmement variables.

Voici où chaque signal est visible, et où il ne l’est pas :

Sources des colonnes plateformes : la documentation de Google sur le rapport des zones géographiques et la référence des ventilations de l’API Marketing de Meta, qui ne propose aucune ventilation par adresse IP, opérateur, version d’OS ou modèle d’appareil.

Les cases vides sont justement le sujet. Les deux plateformes communiquent des agrégats, et aucune n’affiche d’adresse IP ni ce qu’un visiteur a fait après son arrivée. Une ferme à clics se définit par une coordination entre sessions ; la confirmer exige donc des données au niveau de la session et de l’appareil que seul votre site collecte : les données d’engagement GA4, les journaux serveur bruts et une empreinte d’appareil capable de reconnaître le même téléphone derrière une adresse changeante.

Ce qui les attrape vraiment

Trois couches font le vrai travail, et aucune n’est une liste d’IP.

Un scoring comportemental sur la session, pas sur le clic. Jugez la visite à son déroulement : répartition du temps passé, comportement de défilement, séquence d’interactions, et comparaison de l’ensemble avec votre trafic réel qui convertit. Les sessions d’une ferme à clics se regroupent étroitement autour d’un script appris, et cette uniformité est en soi anormale. Les vrais clients varient.

Une reconnaissance des appareils qui persiste malgré les changements d’adresse. L’empreinte ne sert pas ici à prouver qu’un appareil est faux. Elle sert à prouver qu’un appareil est le même que celui qui était là hier, et avant-hier, depuis trois adresses différentes, sans jamais rien acheter.

L’analyse des résultats. Suivez le trafic jusqu’au chiffre d’affaires. Une source qui livre des clics sans conversions, mois après mois, vous dit ce qu’elle est, quel que soit l’aspect humain de chaque session prise isolément. C’est aussi la preuve qui étaye une demande d’avoir ou un dossier contre un concurrent, car les plateformes et les tribunaux réagissent à des schémas documentés dans le temps plutôt qu’à un soupçon portant sur un seul clic.

Le principe général : cessez de vous demander si ce clic venait d’un humain. C’était le cas. Demandez-vous plutôt si ce visiteur se comporte comme quelqu’un qui pourrait acheter chez vous.

Comment ClickFortify traite le trafic des fermes à clics

ClickFortify a été conçu en partant du principe que l’adresse est le signal le plus faible qui soit. Le scoring comportemental évalue chaque session selon son comportement réel plutôt que selon sa provenance, de sorte qu’un véritable humain payé pour cliquer se distingue nettement d’un véritable humain qui compte acheter. La reconnaissance des appareils relie l’activité malgré la rotation des IP, ce qui transforme un nuage de sessions apparemment sans lien en un seul acteur identifiable. Les fraudeurs confirmés sont synchronisés automatiquement dans vos exclusions Google Ads, si bien que vous n’avez pas à tenir à la main une liste face à un adversaire qui change d’adresse plus vite que vous ne tapez, une course perdue d’avance que nous détaillons dans le guide sur la limite de 500 exclusions d’IP.

Chaque blocage s’accompagne d’une piste de preuves : horodatages, adresses, continuité de l’appareil et comportement, exactement ce dont une enquête sur le trafic non valide ou une plainte en justice a besoin. Découvrez comment ça marche, ou mesurez d’abord votre propre exposition avec le calculateur de fraude publicitaire.

En résumé

La ferme à clics est la forme la plus honnête de fraude publicitaire qui existe. Rien n’y est faux, sauf l’intention. De vraies personnes, de vrais téléphones, de vrais réseaux, de vrais tapotements, et pas un seul de ces clics n’était destiné à devenir un client.

C’est pourquoi les défenses sur lesquelles comptent la plupart des annonceurs ne l’atteignent pas. Les listes d’IP, le CAPTCHA et les filtres de centres de données répondent tous à la question « est-ce une machine ? », et la réponse est sincèrement non. La question qui distingue une ferme à clics de votre marché est différente : ce visiteur se comporte-t-il comme un acheteur, et revient-il sans cesse sans jamais le devenir ? Répondez-y, sur des sessions plutôt que sur des clics, et la pièce remplie de téléphones cesse d’être invisible.