Spam référent GA4 : nettoyer le trafic sans mauvais filtres

Lundi, GA4 affiche un référent inconnu avec 1,800 sessions. Le temps d'engagement est presque nul, presque tout vient d'une ville hors marché et aucune commande n'a été passée. Le premier réflexe est souvent d'ajouter le domaine aux « Sites référents indésirables ». Mais s'arrêter là peut seulement réétiqueter les données polluées plutôt que les retirer.

Spam référent, auto-référencement, robots et prestataires de paiement se ressemblent dans les rapports d'acquisition. Identifiez d'abord la situation pour agir correctement.

Comment GA4 enregistre les référents

Dans une session référente, GA4 détermine que le visiteur arrive d'un lien sur un autre domaine. Ce domaine devient la source et le support est généralement referral.

C'est normal quand un vrai site envoie un visiteur. Cela devient problématique lorsque :

• Le domaine est un prestataire de paiement ou une étape de votre parcours ;
• Vos domaines ou sous-domaines se réfèrent mutuellement ;
• Un robot ou navigateur automatisé déclenche le suivi ;
• Des événements de spam sont envoyés directement au point de mesure ;
• Des UTM absents faussent l'attribution des campagnes.

Une ligne de référent inconnu ne prouve pas un trafic de robots.

Quatre situations faciles à confondre

1. Un référent indésirable légitime

Un client part vers un prestataire de paiement et revient à la page de remerciement. GA4 peut le traiter comme nouvelle source et lui créditer la conversion.

Le trafic est réel. Configurez référents indésirables ou mesure multidomaine pour préserver la source d'acquisition initiale.

2. Un auto-référencement

Votre domaine ou sous-domaine apparaît comme source. Causes courantes :

• Balise Google absente d'une partie du parcours ;
• Cookies perdus entre domaines ;
• Mesure multidomaine incomplète ;
• Redirections supprimant le paramètre linker ;
• Consentement différent selon les pages.

Cacher le domaine ne répare pas la rupture de mesure. Suivez le chemin des cookies et balises.

3. Un robot visitant le vrai site

Le robot charge la page et active le suivi comme un navigateur. Sessions, vues et événements peuvent apparaître. Examinez type d'IP, user-agent, comportement, fréquence et qualité des clics.

4. Spam fantôme

Des événements arrivent dans GA4 sans ouverture du site. Ils peuvent porter un nom d'hôte étranger, un chemin absurde ou une campagne du spammeur. La requête ne touchant jamais votre serveur, les journaux peuvent rester vides.

Ce que font et ne font pas les « Sites référents indésirables »

GA4 marque les événements correspondants avec ignore_referrer=true, empêchant ce référent de devenir une nouvelle source.

Utile aux paiements, domaines d'interaction gérés et certains parcours multidomaines. Toutefois :

• Les événements sont toujours collectés ;
• Utilisateurs et sessions ne disparaissent pas ;
• L'historique n'est pas réécrit ;
• Les domaines de spam ne sont pas bloqués sur le site ;
• L'attribution peut devenir directe ou rester avec une source antérieure.

Ajouter un domaine de spam à cette liste n'est pas un filtre antibot.

Procédure d'enquête

Étape 1 : dépasser les seules sessions

Ajoutez :

• Nom d'hôte ;
• Page d'arrivée ;
• Pays et ville ;
• Catégorie d'appareil ;
• Navigateur ;
• Taux d'engagement ;
• Temps d'engagement moyen ;
• Conversions ou événements clés ;
• Première source utilisateur et source de session.

Une vraie source peut peu convertir mais montrer des pages cohérentes, des appareils variés et de la lecture. Le spam produit plutôt plusieurs anomalies qu'un seul mauvais indicateur.

Étape 2 : inspecter le nom d'hôte

Il doit correspondre à un domaine mesuré. Un nom étranger ou (not set) augmente la probabilité d'un identifiant de mesure utilisé ailleurs.

Pour plusieurs domaines valides, maintenez une liste d'autorisation logique dans les rapports ou BigQuery plutôt que compter sur votre mémoire.

Étape 3 : comparer les journaux serveur

Utilisez la même période, le même chemin et la même géographie. Des milliers de sessions GA4 sans trafic serveur correspondant suggèrent du spam fantôme ou un envoi direct d'événements.

De nombreuses requêtes d'IP de centres de données avec des user-agent répétés indiquent plutôt une vraie visite de robot.

Étape 4 : rechercher les balises de campagne manquantes

Un e-mail, affilié ou annonce sans UTM peut apparaître comme référent inconnu. Demandez au marketing si le domaine est un partenaire, une plateforme de paiement ou un service de redirection avant exclusion.

Étape 5 : trouver la date de début

Un pic après modification du paiement, consentement, domaine ou balise indique souvent un problème d'implémentation. Le spam peut commencer sans publication, mais le calendrier n'est qu'un indice.

Traiter la cause, pas la ligne

Prestataires de paiement et domaines du parcours

1. Configurez la mesure multidomaine des domaines gérés.
2. Ajoutez le prestataire aux référents indésirables si approprié.
3. Testez tout le parcours avec DebugView.
4. Confirmez que la source initiale reçoit toujours la conversion.

N'ajoutez pas les domaines aveuglément : des référents précieux pourraient devenir du trafic direct.

Auto-référencements

Vérifiez couverture des balises Google, domaine des cookies, consentement et paramètres linker. Parcourez tout le flux avec Tag Assistant, pas seulement l'accueil.

L'auto-référencement prouve une rupture de mesure. Une règle de référent indésirable peut cacher le symptôme sans rétablir le parcours.

Robots visitant le site

Les rapports GA4 standard n'exposent pas les IP. Utilisez des preuves externes :

• Journaux d'accès ou CDN ;
• Classement résidentiel/centre de données/VPN/Tor ;
• Fréquence par IP ou empreinte ;
• User-agent répétés ;
• Clics et délais entre événements.

La recherche IP et le score de trafic fournissent des indices, pas une preuve qu’une visite est humaine ou automatisée. Comparez les résultats de l’application et conservez les classifications incertaines.

Spam fantôme

Aucun bouton universel ne retire les données déjà collectées. Contrôles pratiques :

• Rapports acceptant seulement les noms d'hôte valides ;
• Segments excluant les périodes polluées connues ;
• Protection serveur des points d'accès Measurement Protocol ;
• Gestion plus stricte des identifiants publics lorsque possible ;
• Suivi des répétitions par campagne, nom d'hôte et géographie.

Les identifiants Web sont publics par conception ; les listes autorisées dans les rapports sont souvent plus fiables que tenter de les cacher.

Nettoyer l'analyse sans réécrire l'historique

Les changements GA4 ne sont pas rétroactifs. Notez la date et analysez deux périodes :

• Avant correction : segment excluant les sources ou noms d'hôte confirmés.
• Après correction : vérification de la nouvelle configuration.

Dans BigQuery ou un entrepôt, ajoutez traffic_quality_status au lieu de supprimer les lignes :

• valid;
• internal;
• known_bot;
• suspected_bot;
• ghost_spam;
• attribution_issue.

Les données brutes permettent de réviser le classement sans perdre la piste d'audit.

Un tableau d'alerte utile contre le spam référent

Ne supprimez pas automatiquement selon un seuil unique. Une alerte lance l'enquête ; la décision exige plusieurs signaux.

Erreurs fréquentes

Exclure tous les référents à fort rebond

Un vrai article d'actualité ou annuaire peut envoyer des lecteurs d'une seule page. Une faible conversion ne prouve pas la fraude.

Écrire des regex trop larges

Une règle contenant « pay » peut affecter PayPal, les sous-domaines de paiement et d'autres sources valides. Normalisez les domaines exacts et testez avant publication.

Corriger GA4 en ignorant le serveur

Un vrai robot consomme toujours de la bande passante et peut cliquer sur les annonces une fois caché des rapports. Hygiène analytique et protection du trafic sont distinctes.

Comparer GA4 filtré aux journaux bruts

Les journaux incluent ressources, robots, API et échecs. GA4 contient les événements client soumis au consentement. Normalisez les deux avant de comparer les totaux.

Une vérification publique des balises identifie l’instrumentation visible. Elle ne consulte pas les rapports GA4 privés et ne calcule pas la part de visiteurs réels. Comparez les rapports autorisés avec les données de l’application et du serveur.

Liste de nettoyage en une séance

1. Identifier source/support, nom d'hôte et page d'arrivée.
2. Comparer engagement, géographie, appareil et conversion.
3. Croiser avec les journaux serveur ou CDN.
4. Interroger le marketing sur paiements, affiliés et redirections.
5. Classer attribution, auto-référencement, vrai robot ou spam fantôme.
6. Appliquer le bon contrôle et noter la date.
7. Surveiller au moins un cycle commercial.

Protéger les rapports récurrents du prochain incident

Après le nettoyage immédiat, sortez les règles du carnet d'un seul analyste. Maintenez un petit référentiel des noms d'hôte valides, domaines possédés, paiements, sources internes connues et motifs de spam confirmés. Attribuez à chacun un responsable et une date de révision.

Les tableaux de bord devraient proposer vues brutes et nettoyées. Le brut conserve les preuves ; le nettoyé soutient les décisions hebdomadaires. Affichez clairement les filtres pour éviter qu'une comparaison avec un total exécutif non filtré ne fasse croire à un suivi défectueux.

Créez une alerte pour les nouveaux couples source/nom d'hôte et les variations soudaines du ratio sessions/engagement. Incluez pages d'arrivée et géographie pour enquêter sans ouvrir cinq rapports.

Documentez les dates de correction dans des annotations ou un journal de qualité. Si une règle de référent, une mise à jour du consentement ou un filtre d'hôte change le 10 juin, les futurs analystes doivent le savoir pour comprendre les comparaisons annuelles.

Surtout, préparez le retrait des règles. Un faux positif peut cacher un vrai affilié ou une campagne. Toute règle doit être réversible et testée dans une exploration copiée avant d'affecter le rapport servant aux budgets.

Conclusion

Examinez le spam référent à partir de l’attribution, des données de l’application et des journaux pertinents. Les en-têtes de sécurité ne prouvent pas l’authenticité d’un événement ou d’un référent.

Référence : Aide Google Analytics – identifier les sites référents indésirables.