Sur un budget Google Ads de 5 000 € par mois, il n'est pas rare de perdre 500 à 1 000 € en clics non humains sans jamais le voir passer. La protection clic frauduleux ne consiste pas à attendre un remboursement de Google : elle se construit en amont, avec des règles de détection, des exclusions actives et un monitoring quotidien.
La protection clic frauduleux désigne l'ensemble des techniques qui bloquent ou neutralisent les clics non légitimes sur tes annonces : bots, scripts automatisés, fermes à clics, concurrents, robots de scraping. Deux objectifs : récupérer du budget gaspillé, et nettoyer les signaux de conversion qui alimentent le Smart Bidding.
Ce qui a changé en 2026 sur la fraude au clic
Google filtre déjà une partie du trafic invalide (Invalid Traffic, ou IVT) avant facturation. Le filtre bloque le grossier — data centers connus, bots sans user-agent crédible, doubles clics techniques. Il laisse passer tout ce qui ressemble suffisamment à un humain : bots résidentiels, proxies mobiles 4G, scripts qui simulent scroll et mouvements de souris.
Trois évolutions rendent le sujet plus aigu cette année.
- Les bots utilisent des LLM pour scénariser leurs sessions. Scroll progressif, temps sur page variable, parcours multi-pages, parfois remplissage de formulaires avec des données cohérentes. Les règles de détection basées sur « bounce à 100 % » ne suffisent plus.
- Performance Max et Demand Gen élargissent l'inventaire. Plus tu diffuses sur des réseaux partenaires, apps et sites longue traîne, plus le taux de trafic invalide grimpe. Le Search pur reste le canal le plus propre.
- Le Smart Bidding avale la pollution. Si des faux clics génèrent des micro-conversions (scroll, temps passé, formulaire fantôme), l'algorithme apprend à acheter du bot. C'est le dégât le plus coûteux, et le plus invisible.
Sur des mots-clés à 10-30 € le clic (avocat, plombier urgence, assurance, formation professionnelle), une attaque de trois jours suffit à dévorer un mois de marge.
Les 5 types de clics frauduleux à connaître
| Type | Source typique | Signal de détection | Coût relatif |
|---|---|---|---|
| Bots automatisés | Scrapers SEO, scripts headless | User-agent obsolète, comportement linéaire | Élevé (volume) |
| Fermes à clics | Réseaux humains low-cost | IP groupées, sessions de 3-8 s | Élevé (volume) |
| Concurrents | Manuel ou prestataire | IP récurrente, heures ouvrées B2B | Fort au clic, faible en volume |
| Clics accidentels mobiles | Display, in-app | Temps sur page < 2 s, aucun scroll | Modéré mais massif |
| Fraude d'affiliation / partenaires | Inventaire partenaires | Conversions attribuées sans CA réel | Très élevé (pollue le bidding) |
Les deux premières catégories font le gros du volume. Les concurrents restent rares mais douloureux sur les enchères chères. Les clics accidentels mobiles sont largement sous-estimés : sur certains placements Display et in-app, ils dépassent facilement 40 % du trafic.
Ce que Google fait — et ce qu'il ne fera jamais pour toi
Google applique son filtre IVT et crédite les clics invalides détectés sur la facture suivante, sous forme d'« ajustements de trafic invalide ». Tu peux suivre le volume via la colonne Clics non valides, à ajouter manuellement dans tes colonnes affichées (elle n'est pas affichée par défaut).
Le problème est structurel : plus Google détecte de fraude, moins il facture. Son filtre est donc calibré prudemment. En pratique, les remboursements automatiques tournent autour de 1 à 3 % des clics, quand la fraude réelle sur un compte exposé est souvent 3 à 5 fois supérieure.
D'où la nécessité d'une couche complémentaire, qui agit en temps réel et exclut activement les sources suspectes au lieu d'attendre un crédit a posteriori. Deux mondes différents : Google fait de la comptabilité, toi tu fais de la défense.
Construire ta protection clic frauduleux en 6 étapes
1. Capter les données brutes côté serveur
Google Ads ne te livre pas les IP des cliqueurs. Ton serveur, si. Installe un tracking côté landing page qui enregistre pour chaque session : IP, user-agent, referrer, GCLID, durée, profondeur de scroll, événements. Stocke ça dans BigQuery, Supabase ou même une table Postgres simple.
Sans cette matière première, toute détection reste de l'intuition. Si ton suivi de conversion Google Ads est déjà propre, tu as 60 % du travail de plomberie fait.
2. Écrire des règles de détection explicites
Les patterns qui remontent le plus souvent :
- Plus de 3 clics depuis la même IP en 24 h sur les mêmes mots-clés
- Temps sur page < 3 secondes et zéro scroll
- User-agent obsolète (Chrome v70, Firefox v60) ou signature headless (Puppeteer, Playwright, Selenium)
- Sessions entre 2 h et 6 h du matin sur une activité B2B locale
- Volume de clics concentré sur un placement Display inconnu
- Ratio clics/impressions qui double sans changement d'annonce ni de concurrence
Chaque règle déclenche soit une exclusion immédiate (IP, placement), soit une alerte pour revue humaine. Ne mets jamais en auto-exclusion une règle qui n'a pas été validée sur 2 à 4 semaines d'historique.
3. Exclure les IP dans Google Ads
Dans Paramètres > Exclusions d'adresses IP, tu bloques jusqu'à 500 IP ou plages par campagne. C'est efficace contre les attaques répétitives depuis un petit nombre de sources. Contre une attaque distribuée sur des centaines d'IP résidentielles, la limite tombe vite : il te faut un outil qui synchronise et fait tourner les exclusions en continu.
Astuce peu utilisée : exclus aussi les IP de tes propres bureaux et de ton agence. Les clics internes ne sont pas frauduleux, mais ils polluent tes taux et ton attribution data-driven.
4. Nettoyer les placements Display et PMax
Sur Display et Performance Max, l'essentiel du gaspillage vient d'une poignée de placements à fort volume et qualité nulle. Sors le rapport Où vos annonces ont été diffusées chaque semaine et exclus tout placement cumulant : 0 % de conversion sur 300+ clics, rebond > 90 %, ou CPC anormalement bas par rapport à ta moyenne.
Cette seule routine règle une grosse part du problème sur les comptes qui poussent du Performance Max sans exclusions.
5. Protéger les signaux de conversion
Un faux clic qui ne convertit pas coûte du budget. Un faux clic qui fausse une conversion empoisonne ton bidding pour des semaines. Mets en place :
- validation email et téléphone côté serveur avant de compter un lead ;
- honeypot invisible dans tes formulaires (champ caché rempli = bot) ;
- envoi des conversions en server-side avec les Enhanced Conversions pour ne remonter que des leads vérifiés ;
- purge mensuelle des conversions douteuses dans GA4 et dans Google Ads.
C'est le point le plus rentable de la liste, parce qu'il protège la qualité d'apprentissage de ton Smart Bidding.
6. Automatiser les alertes
Tu ne peux pas surveiller un compte 24/7. Configure des alertes sur : CTR > 2× la moyenne 7 jours, chute du taux de conversion de 50 % en 24 h, pic de clics depuis une zone géographique non ciblée, dépassement de budget journalier atypique.
La majorité des attaques durent 2 à 5 jours. Détectée à J+1, tu sauves l'essentiel du préjudice. Détectée à J+15, tu paies la facture entière et tu dois en plus réentraîner tes campagnes.
Faire auditer mon compte pour repérer la fraude au clic
Les outils anti-fraude en 2026 : panorama honnête
| Outil | Modèle | Fourchette prix/mois | Pour qui |
|---|---|---|---|
| ClickCease | SaaS dédié | 60-300 € | PME, lead gen local |
| Lunio | SaaS dédié | 200-2 000 € | Mid-market, e-commerce |
| TrafficGuard | SaaS dédié | sur devis | Annonceurs > 50 k€/mois |
| Scripts maison + BigQuery | DIY | 0 € + temps dev | Équipes avec un dev dispo |
| Klyrad | IA Google Ads intégrée | inclus dans l'abonnement | PME qui automatisent tout le compte |
Les SaaS dédiés font correctement le job sur le blocage IP et l'exclusion automatique. Leur limite : ils raisonnent en silo. Un outil qui ne voit que le trafic ne sait pas si le pic de clics vient d'une attaque ou d'un simple élargissement de correspondance de mots-clés que tu as validé la semaine dernière.
Une couche IA qui pilote l'ensemble du compte croise fraude, requêtes, audiences, enchères et conversions. C'est là qu'on gagne : la fraude n'est pas un problème isolé, c'est un symptôme dans un système.
Cas type : e-commerce pièces auto, 12 000 € / mois
Un marchand de pièces auto voit son CTR Search passer de 4 % à 11 % en trois jours. Conversions stables. Résultat mécanique : CPA multiplié par 2,5, et Smart Bidding qui commence à réduire la diffusion sur les mots-clés « chers mais rentables ».
La détection identifie un cluster de 47 IP hébergées chez le même fournisseur cloud, actives entre 23 h et 5 h, exclusivement sur les mots-clés à fort CPC (« turbo », « injecteur diesel »).
Actions déclenchées : exclusion des 47 IP, réduction temporaire des enchères sur la plage nocturne, alerte au gérant, exclusion préventive de la plage réseau complète. CPA revenu à la normale en 36 heures, environ 2 800 € de gaspillage évité sur le mois.
Sans détection, l'attaque tourne 2 à 3 semaines et Google crédite au mieux quelques pourcents. La différence n'est pas dans l'outil : elle est dans le délai de réaction.
Erreurs fréquentes qui coûtent le plus cher
- Croire que Google s'en occupe entièrement. Le filtre IVT couvre une partie du problème, jamais la totalité.
- Exclure des IP à l'aveugle. Tu bloques de vrais clients. Toujours croiser au moins deux signaux comportementaux avant d'exclure.
- Ignorer Display et PMax. C'est là que se cache la majorité du trafic invalide sur les comptes PME.
- Laisser des conversions polluées dans le compte. Smart Bidding optimise vers ce que tu lui montres. Montre-lui des bots, il achètera des bots.
- Confondre fraude et mauvaises requêtes. Beaucoup de « fraude » supposée est en réalité un problème de mots-clés négatifs ou de correspondance trop large. Vérifie ça avant d'investir dans un outil.
- Réagir à J+15. Le budget est cramé et l'apprentissage des campagnes est faussé.
Si tu débutes sur le sujet, commence par la version light : par où commencer sur la protection clic frauduleux donne le minimum viable en une après-midi de travail.
À partir de quel budget ça devient rentable ?
Un ordre de grandeur simple. Suppose 10 % de clics frauduleux, ce qui est une hypothèse basse sur un compte non protégé qui diffuse au-delà du Search.
| Budget Ads mensuel | Perte estimée à 10 % | Outil dédié à 150 €/mois | Verdict |
|---|---|---|---|
| 800 € | 80 € | 150 € | Fais-le à la main |
| 3 000 € | 300 € | 150 € | Rentable |
| 10 000 € | 1 000 € | 150-400 € | Clairement rentable |
| 30 000 €+ | 3 000 € | 400-1 500 € | Non négociable |
En dessous de ~2 000 € par mois, les exclusions manuelles, le nettoyage hebdo des placements et deux ou trois alertes bien réglées couvrent l'essentiel. Au-delà, chaque semaine sans détection automatisée est une ligne de perte sèche dans ton calcul de ROAS.
FAQ
Comment savoir si je suis victime de clics frauduleux ?
Trois signaux à croiser : CTR anormalement haut sur certains mots-clés sans hausse de conversion, taux de rebond supérieur à 85 % sur la landing page, et pics de clics à des heures inhabituelles. Ajoute la colonne Clics non valides dans Google Ads pour avoir une base chiffrée.
Google rembourse-t-il les clics frauduleux ?
Oui, mais uniquement ceux que son filtre IVT détecte automatiquement, soit typiquement 1 à 3 % des clics. Tu peux contester d'autres clics via le formulaire d'ajustement de trafic invalide, avec un taux d'acceptation faible sans logs serveur solides à l'appui.
Faut-il un outil payant pour se protéger ?
Pas systématiquement. Exclusions IP manuelles, nettoyage hebdomadaire des placements et alertes bien réglées couvrent déjà une bonne moitié du risque. Un outil dédié à 60-300 € par mois devient rentable au-delà d'environ 3 000 € de budget Ads mensuel.
Quelle différence entre fraude au clic et trafic invalide ?
Le trafic invalide (IVT) est la catégorie large de Google : bots, clics accidentels, tests internes, doubles clics. La fraude au clic est intentionnelle : concurrents, fermes à clics, attaques ciblées. La fraude est un sous-ensemble du trafic invalide, mais le plus coûteux au clic.
Les campagnes Performance Max sont-elles plus exposées ?
Oui. PMax diffuse sur Search, Display, YouTube, Gmail et Discover sans contrôle granulaire des placements. L'inventaire Display et partenaires concentre la majorité du trafic invalide. Utilise les exclusions de placements au niveau compte et surveille le rapport de diffusion chaque semaine.
Une IA peut-elle remplacer un outil anti-fraude dédié ?
Sur un compte PME, souvent oui. Une IA spécialisée Google Ads voit l'ensemble du compte et corrèle fraude, requêtes, audiences et conversions — des liens qu'un outil mono-fonction ne peut pas faire. Pour des budgets très élevés avec des attaques massives, les deux couches se complètent.
Combien de temps pour mettre en place une protection de base ?
Une demi-journée pour le tracking serveur et les premières exclusions, puis 20 à 30 minutes par semaine de revue. C'est le meilleur rapport temps/économies de toute la maintenance d'un compte Google Ads.
Une protection clic frauduleux qui tient dans le temps ne repose pas sur un outil acheté puis oublié : elle vit dans une routine hebdomadaire et des alertes qui te réveillent à J+1.