Filtrer le trafic de bots dans GA4 avec GTM côté serveur et Bot Detection de Stape

Le filtrage des bots dans GA4 est essentiel pour préserver la propreté de vos données analytiques, et récemment, les propriétaires de sites ont été de plus en plus confrontés à un trafic étrange et indésirable dans les rapports Google Analytics 4. Le problème le plus fréquent est le spam référent provenant de sources suspectes avec la géolocalisation "Poland". Les sites sources de ce trafic sont généralement identiques : news.grets.store, statis.seders.website, trast.mantero.online, ofer.bartikus.site. Si vous y avez déjà été confronté, vous n'êtes pas seul.

Google Analytics recommande d'ajouter ces sites à la liste des sites référents indésirables. Mais en réalité, cela ne résout pas le problème ; cela modifie seulement la catégorie de trafic en "Direct", laissant le spam dans vos données d'analyse. Un autre problème est que GA4 ne peut pas filtrer le trafic par site référent, mais uniquement par adresse IP.

Dans cet article, nous examinerons le spam via le Measurement Protocol, les types de spam les plus fréquents — notamment le spam de référents et d'événements — et, surtout, comment bloquer le trafic de bots sur votre site web et protéger vos données dans GA4. 

Google Analytics est l'outil d'analyse web le plus populaire, utilisé par des millions d'utilisateurs. Les spammeurs de référents espèrent que lorsque vous consultez Google Analytics et constatez du trafic provenant de sites inconnus, vous serez curieux de voir de quoi il s'agit. C'est l'une des méthodes grises pour générer du trafic. Il existe plusieurs moyens de monétisation : rediriger vers des offres d'affiliation ou renvoyer vers une page de destination incitant à acheter un produit, télécharger un logiciel, promouvoir une agence marketing ou tout autre service. 

Les spammeurs ont besoin de connaître votre identifiant Google Analytics pour envoyer de faux hits à votre compte GA. Mais parfois, ils ne prennent même pas la peine de chercher de véritables identifiants Google Analytics. Les spammeurs peuvent générer de faux identifiants en grande quantité en espérant que certains correspondent à de réels identifiants GA. Un script automatisé envoie ensuite de fausses données aux comptes GA via le Measurement Protocol. 

À cause du ghost spam, vous ne pouvez pas voir les véritables données sur les visiteurs de votre site web, car le faux trafic est mélangé au trafic organique. Le ghost spam affecte toutes les métriques de GA : nombre de visites, taux de rebond, durée moyenne des sessions, etc. 

Cela peut également nuire à votre classement naturel, car les moteurs de recherche peuvent interpréter le trafic de spam comme une tentative d'améliorer vos positions SEO à l'aide de méthodes douteuses. 

Le filtrage des bots dans GA4 permet d'exclure le trafic automatisé et non humain de vos rapports d'analyse. Par défaut, GA4 filtre les robots et spiders connus d'après la liste IAB/ABC International Spiders and Bots List. Cependant, ce filtrage intégré est limité et ne couvre pas tous les types de trafic de bots, en particulier les sources de spam les plus récentes.

La principale limitation est que GA4 ne peut filtrer le trafic que par adresse IP. Par conséquent, le trafic de bots et le spam référent peuvent toujours passer au travers et continuer à polluer vos données d'analyse dans GA4.

Pour résoudre ce problème, vous pouvez activer le power-up Bot Detection. Il attribue une note à chaque requête de 0 à 100. Les requêtes situées entre 50 et 75 sont seulement signalées, car certains paramètres vérifiés ne confirment pas totalement un comportement de bot. Les requêtes supérieures à 75 sont bloquées si le blocage est activé, car tous les paramètres indiquent clairement une activité de bot.

Ce power-up vérifie automatiquement si chaque requête entrante provient d'un bot (ex. : spam référent, scripts automatisés). Il peut détecter et bloquer les requêtes suspectes avant qu'elles n'atteignent votre serveur ou vos outils d'analyse. Lorsqu'il est activé, il ajoute deux en-têtes à chaque requête : 

• X-Device-Bot (renvoie true ou false)
• X-Device-Bot-Score (un score de 1 à 100, 100 indiquant une forte probabilité de trafic de bots)

Ensuite, en créant une variable En-tête de requête pour ces en-têtes dans votre conteneur sGTM, vous pouvez exploiter les signaux de détection des bots pour filtrer le trafic indésirable ou suspect. Par exemple, vous pouvez empêcher le déclenchement des balises GA4 ou d'autres balises si la requête est identifiée comme du trafic de bot.

Avantages du power-up Bot Detection :

​​1. Des données d'analyse plus précises

2. Une meilleure sécurité et une protection contre la fraude

3. Facile à configurer et à gérer

Une fois activé, vous recevrez avec chaque requête adressée au serveur deux paramètres supplémentaires dans les en-têtes de requête : X-Device-Bot (true ou false) et X-Device-Bot-Score (un score de 1 à 100 représentant la probabilité que la requête provienne d'un bot) :

Ensuite, vous pouvez simplement ajouter cela comme condition supplémentaire aux déclencheurs de votre conteneur serveur :

1. 1.
   Dans le conteneur serveur, créez une variable de type 'Request Header' et spécifiez 'X-Device-Bot' pour récupérer la valeur de cet en-tête.
2. 2.
   Utilisez cette variable comme vérification supplémentaire dans votre déclencheur GA4 sur le serveur, ainsi que dans tout autre déclencheur où vous souhaitez limiter l'impact du trafic de bots :

Désormais, si la requête est identifiée comme provenant d'un bot, votre balise ne se déclenchera pas et les données ne seront pas envoyées.

Vous pouvez également combiner cette configuration avec le power-up Block Request by IP.

Il vous permet de bloquer les requêtes provenant de 30 adresses IP de votre choix au maximum.

De cette façon, vous pouvez filtrer le trafic interne de votre équipe et bloquer le trafic si vous remarquez des bots provenant d'une adresse IP spécifique, empêchant ces données d'atteindre GA4 et d'autres plateformes.

Si vous utilisez Cloudflare et constatez, comme beaucoup, qu'un pays spécifique génère du trafic de spam (la majeure partie provenant de Pologne), vous pouvez activer Bot Check pour les adresses IP issues de Pologne. 

C'est une bonne solution, mais seulement si vous n'avez pas de véritables visiteurs provenant de la localisation du trafic de spam. Sinon, vous affecterez inévitablement le nombre de visites réelles depuis cette région.

Par ailleurs, Cloudflare propose également les fonctionnalités suivantes pour bloquer le trafic de bots :

• Known bots : permet d'exclure le trafic issu de la liste de bots de Cloudflare.
• Verified bot category : permet d'exclure le trafic de bots appartenant aux catégories répertoriées.

Si le site référent contient vos domaines de spam, vous pouvez ajouter un déclencheur d'exception à vos balises GA4. C'est très simple à mettre en place :

• Assurez-vous d'avoir activé la variable Referrer dans vos variables intégrées.

• Créez un nouveau déclencheur Événement personnalisé qui s'activera pour n'importe quel événement (.* via regex s'en chargera) et spécifiez une condition supplémentaire indiquant que le referrer correspond à l'expression régulière de vos domaines de spam. En regex, vous pouvez spécifier 'ou' avec | sans espaces.

Par exemple : news.grets.store|static.seders.website|another.domain

• Ajoutez ce déclencheur en tant qu'exception à vos balises GA4 et publiez les modifications dans votre conteneur.

Ainsi, le déclencheur d'exception empêchera les balises de se déclencher si le référent contient l'un de vos domaines de spam, et ces données ne seront pas enregistrées dans GA4.

Le spam de référents et d'événements dans Google Analytics 4 est un problème sérieux qui fausse les statistiques et peut nuire à votre stratégie SEO ainsi qu'à vos décisions basées sur les données. Malheureusement, les mécanismes intégrés de GA4 ne permettent pas actuellement de filtrer efficacement ce type de trafic par source de référence.

Désormais, si la requête est identifiée comme provenant d'un bot, votre balise ne se déclenchera pas et les données ne seront pas envoyées.

Cela concerne tout particulièrement les balises qui alimentent directement les plateformes publicitaires. S'il n'est pas filtré, le trafic de bots ne se contente pas de fausser vos rapports GA4 : il est transmis à Google Ads et Meta comme de réelles conversions, ce qui entraîne leurs algorithmes d'enchères sur un trafic qui n'achètera jamais. Pour une configuration complète qui étend ce filtrage aux données d'enchères publicitaires, consultez notre guide pratique pour protéger vos enchères publicitaires contre les bots.

Le plus important est de ne pas ignorer le trafic de bots dans GA4. Plus tôt vous mettrez en place une protection de base, plus vos rapports seront précis et utiles. Et si vous passez également à GTM côté serveur, vous bénéficierez non seulement d'une protection, mais aussi d'avantages supplémentaires : des données plus propres, une meilleure vitesse de site et un contrôle accru sur vos analyses.

Si vous ne savez pas par où commencer, essayez de tester au moins l'une des solutions décrites dans cet article. Vous verrez comment vos données d'analyse évolueront en quelques jours.