Un compte Google Ads sur trois paie chaque mois pour des clics qui n'ont jamais eu la moindre chance de convertir. Pas parce que le ciblage est mauvais : parce que ce sont des bots, des scrapers, des concurrents curieux ou des clics accidentels sur du Display de mauvaise qualité.
La protection clic frauduleux, c'est l'ensemble des mesures qui empêchent un clic non humain ou malveillant de consommer ton budget publicitaire — et qui te permettent de récupérer l'argent déjà dépensé. Concrètement : détecter les sources anormales, les bloquer avant le clic suivant, et documenter le reste pour obtenir des crédits Google.
Ce guide te donne la séquence de démarrage, dans l'ordre, avec ce que tu peux faire gratuitement dès aujourd'hui et ce qui justifie un outil payant.
Ce qu'est vraiment un clic frauduleux (et ce qui n'en est pas)
Google distingue le clic invalide du clic facturable. Un clic invalide est détecté et déduit automatiquement de ta facture — tu ne le vois même pas dans tes rapports standards. Le problème, c'est tout ce qui passe entre les mailles.
Quatre familles à connaître :
- Trafic bot : crawlers, scripts de scraping tarifaire, outils de veille automatisés. Signature typique : temps sur site sous 2 secondes, aucun scroll, un seul pageview.
- Clics concurrentiels : un concurrent qui clique sur ton annonce pour épuiser ton budget quotidien ou faire monter ton CPC. Signature : même plage IP, mêmes heures ouvrées, requêtes très commerciales.
- Fraude de publisher : sur le réseau Display et les partenaires de recherche, des sites monétisent des clics artificiels. Signature : un placement précis avec CTR anormalement élevé et 0 conversion.
- Clics accidentels : bannières mal placées sur mobile, jeux, apps. Ce n'est pas de la fraude au sens légal, mais ça brûle ton budget exactement pareil.
Ce qui n'est pas de la fraude : un visiteur qui clique, lit 40 secondes et repart. Un CPC élevé. Un taux de rebond de 70 % sur une landing page moyenne. Avant d'accuser les bots, vérifie ta page — la plupart des "problèmes de fraude" que je vois sont en réalité des landing pages qui ne convertissent pas.
Étape 1 : mesurer avant de bloquer
Bloquer au hasard, c'est perdre du trafic qualifié. La première semaine, tu observes.
Trois rapports à ouvrir dans Google Ads :
- Rapport "Clics non valides" : dans les colonnes personnalisées, ajoute "Clics non valides" et "Taux de clics non valides". Un taux entre 1 et 5 % est normal. Au-delà de 10 %, tu as un problème structurel.
- Segmentation par appareil et heure : un pic de clics entre 2 h et 5 h du matin sur une activité B2B française n'a aucune raison d'exister.
- Rapport "Où les annonces ont été diffusées" (Display / Performance Max) : trie par clics décroissants et regarde le taux de conversion. Les placements à 200+ clics et 0 conversion sont tes premiers suspects.
Côté analytics, ouvre GA4 et crée une exploration : source/support = google/cpc, dimension = adresse IP anonymisée impossible, donc utilise plutôt le couple navigateur + résolution d'écran + durée d'engagement. Les sessions à 0 seconde d'engagement avec un navigateur exotique (HeadlessChrome apparaît encore régulièrement) sont du bot pur.
Si ton tracking n'est pas propre, tout ce diagnostic est du vent. Vérifie d'abord que ton suivi de conversion Google Ads remonte correctement, sinon tu vas prendre un problème de mesure pour un problème de fraude.
Étape 2 : les réglages gratuits qui bloquent 60 % du bruit
Avant tout outil payant, il y a cinq réglages dans Google Ads que la majorité des comptes PME n'ont jamais touchés.
| Réglage | Où | Effet attendu |
|---|---|---|
| Exclure les partenaires de recherche | Paramètres de campagne > Réseaux | Supprime une source classique de clics de faible qualité |
| Désactiver le Display sur campagnes Search | Paramètres > Réseau Display | Évite le mélange Search/Display et ses clics accidentels |
| Exclure "Applications mobiles" comme catégorie de placement | Contenu > Exclusions | Coupe les clics accidentels dans les jeux |
| Ciblage géographique "Présence" et non "Présence ou intérêt" | Paramètres > Zones géographiques | Élimine le trafic hors marché |
| Exclusions IP | Paramètres > Exclusions d'adresses IP | Bloque concurrents et bureaux internes |
Le ciblage géographique est le plus sous-estimé. Par défaut, Google diffuse aux personnes "présentes ou intéressées par" ta zone. Traduction : un clic depuis Bangalore sur "plombier Lyon" est parfaitement légal aux yeux de l'algorithme. Passer en "Présence" fait souvent chuter de 10 à 20 % le volume de clics inutiles sur les activités locales.
Les exclusions IP ont une limite dure : 500 adresses ou plages IP par campagne. C'est peu, et ça rend le blocage manuel intenable au-delà d'un certain volume — on y revient.
Étape 3 : construire ta liste d'exclusions IP intelligemment
Commence par les IP que tu connais :
- L'IP de tes bureaux (tes collaborateurs qui cliquent pour "vérifier l'annonce" coûtent de l'argent chaque mois).
- L'IP de ton agence ou de tes prestataires.
- Les IP identifiées comme récurrentes et non convertissantes dans tes logs serveur.
Pour les récupérer, la source la plus fiable n'est pas Google Ads (qui ne donne pas les IP) mais tes propres logs serveur ou un script simple sur ta landing page qui enregistre IP + paramètre gclid. Le gclid est l'identifiant unique que Google ajoute à l'URL lors d'un clic sur annonce — s'il est présent, le visiteur vient d'un clic payant.
Croise ensuite : une même IP avec 15 gclid différents en trois jours et zéro conversion, c'est soit un bot, soit un concurrent. Exclus.
Attention aux faux positifs : en France, beaucoup de réseaux d'entreprise partagent une IP sortante unique. Bloquer l'IP d'un grand compte B2B peut te couper de plusieurs décideurs. Vérifie toujours le propriétaire de la plage IP avant d'exclure (un whois suffit).
Étape 4 : nettoyer les placements Display et Performance Max
C'est là que se concentre l'essentiel de la fraude de publisher. Sur du Display Network, le taux de clics invalides est structurellement plus élevé que sur le Search.
Procédure hebdomadaire, 15 minutes :
- Rapport des placements sur 30 jours.
- Filtre : clics > 20 et conversions = 0.
- Vérifie manuellement 3-4 sites (un site de streaming douteux ou une app de lampe torche, tu sauras tout de suite).
- Ajoute-les à une liste d'exclusion de placements au niveau compte, pas campagne — sinon tu refais le travail à chaque nouvelle campagne.
- Exclus aussi les catégories "contenu sensible", "contenu généré par les utilisateurs non modéré" et "applications mobiles".
Sur Performance Max, les leviers sont plus limités : tu peux exclure des placements au niveau du compte et des marques, mais pas segmenter finement. Raison de plus pour surveiller de près et arbitrer budget entre PMax et Search si le rapport signal/bruit se dégrade.
Lancer mon audit de compte gratuit
Étape 5 : demander le remboursement des clics invalides
": Google déduit automatiquement les clics invalides qu'il détecte, mais tu peux contester ceux qu'il a laissé passer.
La procédure, telle qu'elle fonctionne réellement :
- Constitue un dossier daté : période concernée, campagnes, montant estimé, preuves (logs serveur avec IP +
gclid+ timestamp, captures de rapports analytics). - Contacte le support Google Ads via le chat ou le formulaire de contact, en demandant explicitement une étude des clics invalides sur la période.
- Attends. Le traitement prend généralement plusieurs semaines.
- Le crédit, quand il est accordé, apparaît sous forme d'ajustement sur ta facture, pas en cash.
Sois lucide : le taux de succès est modeste et proportionnel à la qualité de tes preuves. Sans logs, tu n'obtiendras rien. Avec des logs propres montrant 400 clics depuis trois plages IP en 48 heures, tu as un dossier. Le remboursement n'est jamais la stratégie principale — la prévention l'est.
Étape 6 : quand passer à un outil payant
Les outils de protection clic frauduleux (ClickCease, Lunio, Fraud Blocker, TrafficGuard et compagnie) fonctionnent tous sur le même principe : un script sur ta landing page score chaque visiteur (empreinte navigateur, comportement souris, vitesse, VPN/proxy, data center connu), et pousse automatiquement les IP suspectes dans les exclusions Google Ads via l'API.
Ordre de grandeur des tarifs : typiquement 50 à 200 € par mois pour une PME, selon le volume de clics analysés. Certains montent bien plus haut au-delà de 100 000 clics/mois.
Le calcul de rentabilité est simple :
| Dépense mensuelle Ads | Clics frauduleux estimés | Budget gaspillé | Outil à 79 €/mois |
|---|---|---|---|
| 1 500 € | 5 % | 75 € | Non rentable |
| 5 000 € | 8 % | 400 € | Rentable |
| 15 000 € | 6 % | 900 € | Très rentable |
Règle de décision utilisable telle quelle : en dessous de 2 000 à 3 000 € de dépense mensuelle, les réglages gratuits suffisent presque toujours. Au-delà, un outil se paie sur le premier mois. Et si tu fais du Display ou du PMax agressif, avance le seuil.
Attention à un piège : ces outils bloquent en poussant des IP dans une liste plafonnée à 500 entrées par campagne. Sur des volumes importants, la liste sature et l'outil recycle. Demande au vendeur comment il gère la rotation avant de signer.
Étape 7 : rendre ton compte structurellement moins attaquable
La meilleure protection clic frauduleux n'est pas défensive, elle est architecturale. Un compte bien construit offre moins de surface d'attaque.
- Requêtes larges = surface large. Le broad match attire mécaniquement plus de trafic parasite. Resserre avec de la correspondance exacte et de l'expression sur tes termes à fort CPC.
- Listes de mots-clés négatifs actives. Une bonne liste de mots-clés négatifs élimine des pans entiers de trafic sans intention commerciale, ce qui réduit d'autant le volume exposé aux bots.
- Enchères basées sur les conversions. Le Smart Bidding apprend que certains signaux ne convertissent jamais et réduit progressivement les enchères sur ces profils. C'est une protection passive réelle — à condition que ton tracking soit fiable.
- Conversions hors-ligne remontées. Si tu fais du lead gen, remonter les leads qualifiés (pas juste les formulaires envoyés) permet à l'algorithme de distinguer le vrai du bruit. Les faux formulaires de bots polluent l'apprentissage.
- Budget quotidien par campagne surveillé. Une attaque concurrentielle vise à épuiser ton budget avant midi. Une alerte sur "budget consommé à 80 % avant 12 h" te prévient en temps réel.
Ce dernier point mérite d'être automatisé. Un script Google Ads qui t'envoie un mail dès qu'une campagne dépasse 3 fois son CPC moyen ou consomme son budget anormalement vite coûte 20 minutes de mise en place et détecte les attaques le jour même, pas en fin de mois.
Le cas type : e-commerce à 8 000 €/mois
Profil courant : boutique en ligne, 60 % Search, 40 % PMax, 8 000 € de dépense mensuelle, CPC moyen 0,85 €. Environ 9 400 clics par mois.
Ce que révèle un diagnostic sérieux dans ce genre de compte :
- 3 à 6 % de clics invalides déjà déduits par Google (invisible, tant mieux).
- 4 à 8 % de clics résiduels sans aucun engagement mesurable — soit 320 à 640 € par mois qui partent en fumée.
- 1 à 3 placements PMax responsables de la moitié de ce résidu.
- Souvent une plage IP de scraper tarifaire qui visite les pages produits plusieurs fois par jour.
Les réglages gratuits des étapes 2 à 4 récupèrent typiquement la moitié de ce gaspillage. Un outil payant à 79 €/mois récupère une bonne partie du reste. Sur douze mois, on parle de plusieurs milliers d'euros réinjectés dans du trafic qui convertit vraiment.
Si tu veux creuser les mécanismes de détection et les signaux techniques, le guide complet sur la fraude au clic va plus loin sur la partie diagnostic.
Ce que l'automatisation change
Le problème de la protection clic frauboduleuse manuelle, c'est la fréquence. Vérifier les placements une fois par mois, c'est laisser 29 jours à une source parasite pour consommer du budget. Les attaques concurrentielles, elles, durent souvent quelques jours seulement — le temps que tu les repères, elles sont finies et l'argent est parti.
C'est exactement le type de tâche où un système automatisé bat un humain : surveillance continue, seuils statistiques, exclusion immédiate, réévaluation quotidienne. Chez Klyrad, l'analyse des anomalies de trafic tourne en continu sur les comptes connectés — pics de CPC inexpliqués, placements sans conversion, patterns horaires anormaux — et remonte les actions correctives avant que le budget du mois soit entamé.
L'idée n'est pas de remplacer ton jugement sur la stratégie. C'est de ne plus dépendre de ta disponibilité pour la surveillance.
Connecter mon compte et lancer le diagnostic
FAQ
Comment savoir si mes clics Google Ads sont frauduleux ?
Ajoute la colonne "Clics non valides" dans tes rapports Google Ads et croise avec GA4 : cherche les sessions à 0 seconde d'engagement venant de google/cpc. Un taux de clics invalides supérieur à 10 %, ou des placements à 100+ clics et 0 conversion, sont les signaux les plus fiables.
Google rembourse-t-il les clics frauduleux ?
Oui, en partie. Google déduit automatiquement les clics qu'il détecte comme invalides avant facturation. Pour le reste, tu peux demander une étude au support avec des preuves (logs serveur, IP, gclid, dates). Le traitement prend plusieurs semaines et le crédit arrive sous forme d'ajustement de facture.
Un outil de protection clic frauduleux est-il rentable pour une PME ?
Ça dépend du volume. En dessous de 2 000-3 000 € de dépense mensuelle, les réglages gratuits (exclusions IP, ciblage "Présence", exclusion des partenaires de recherche et du Display) suffisent généralement. Au-delà de 5 000 €/mois, un outil à 50-200 € se rentabilise souvent dès le premier mois.
Combien d'adresses IP peut-on exclure sur Google Ads ?
500 adresses ou plages IP maximum par campagne. C'est la limite structurelle du blocage manuel : sur de gros volumes, la liste sature vite, ce qui pousse à privilégier les exclusions de placements, le resserrage du ciblage et le Smart Bidding basé sur conversions réelles.
Est-ce qu'un concurrent peut vraiment cliquer sur mes annonces pour épuiser mon budget ?
Oui, et c'est plus courant qu'on le croit sur les secteurs à CPC élevé (juridique, assurance, BTP, SaaS B2B). La signature typique : clics concentrés en heures ouvrées, même plage IP, budget quotidien consommé anormalement tôt. Une alerte automatique sur la vitesse de consommation du budget est la meilleure parade.
La fraude au clic touche-t-elle aussi Performance Max ?
Oui, et c'est le format le plus exposé parce que tu contrôles moins les emplacements. Tu peux exclure des placements et des marques au niveau du compte, mais pas segmenter finement. Surveille le rapport des emplacements chaque semaine et arbitre le budget vers le Search si le rapport signal/bruit se dégrade.