Un soir, un client m'écrit, un peu inquiet : depuis la veille, une grosse part du trafic de son site provenait d'un domaine qu'il ne connaissait pas. J'ai regardé. Ce domaine ne contenait aucune page éditoriale : il redirigeait vers une plateforme de vente de trafic, avec un paramètre utm_source dans l'URL de destination pour comptabiliser les visiteurs qu'il lui rapportait. Autrement dit, le site de mon client servait de support publicitaire, à son insu, à une boutique de faux visiteurs.
Le mécanisme n'a pas disparu, mais les outils, eux, ont beaucoup changé. À l'époque, on réglait ce genre de problème avec les filtres de vue d'Universal Analytics : une vue de travail, une vue brute, des exclusions par expression régulière. Ces vues n'existent plus, et les recettes qui circulent encore sur le web pointent vers une interface fermée. Voici donc l'état réel de la question aujourd'hui : ce que Google Analytics 4 filtre tout seul, les trois réglages qui restent entre vos mains, et la distinction devenue centrale entre trafic robot invalide et robots d'intelligence artificielle.
Le spam referral est un modèle économique, pas un bug
Il faut comprendre l'intention pour savoir quoi filtrer. Un site qui envoie des robots visiter des milliers d'autres sites ne cherche pas à vous nuire : il cherche à se faire connaître. Son nom de domaine apparaît dans vos rapports d'acquisition, vous le cherchez sur un moteur, vous atterrissez sur une offre de trafic à bas prix. Le canal d'acquisition, c'est votre propre outil de mesure.
En face, il y a une demande : un responsable dont la rémunération dépend d'un volume de visites, un éditeur qui doit justifier une audience auprès d'une régie publicitaire, un site qui vend des articles sponsorisés et dont la grille tarifaire s'appuie sur des indicateurs de popularité. Acheter des visiteurs coûte moins cher que d'en gagner. Le faux trafic n'est pas un accident technique, c'est une offre commerciale.
Deux familles se distinguent. Les robots qui visitent réellement vos pages, exécutent le script de mesure et laissent une trace dans vos journaux serveur. Et le spam de référent « fantôme », qui n'a jamais touché votre site : il consiste à envoyer directement des requêtes au protocole de mesure avec votre identifiant. Le second est plus rare qu'à l'époque d'Universal Analytics, parce que le protocole de mesure de Google Analytics 4 demande un secret d'API côté serveur, mais il n'a pas totalement disparu.
Ce que l'outil filtre sans vous, et ce que cela implique
Google Analytics 4 exclut automatiquement le trafic généré par les robots connus. La documentation officielle est explicite sur deux points souvent ignorés : vous ne pouvez pas désactiver cette exclusion, et vous ne pouvez pas consulter le volume de trafic exclu. L'identification s'appuie sur les données propres à Google et sur la liste internationale de robots publiée par l'IAB.
Cette liste, l'IAB/ABC International Spiders and Bots List, est mise à jour tous les mois et sa maintenance est confiée à l'Alliance for Audited Media, sous la supervision d'un comité de politique éditoriale. C'est une liste de signatures connues. Elle attrape les robots déclarés et bien élevés ; elle n'attrape pas, par construction, un robot qui se présente comme un navigateur Chrome ordinaire.
Deux conséquences pratiques. Un rapport d'acquisition propre ne prouve rien : il prouve seulement que ce qui restait n'a pas été reconnu comme robot. Et vous ne réconcilierez jamais exactement vos statistiques et vos journaux serveur, puisque l'écart inclut une part invisible.
Les trois réglages qui restent entre vos mains
Les sites référents à ignorer
C'est le réglage direct contre le spam referral. Dans Administration, ouvrez le flux de données web, puis les paramètres de la balise, et enfin Sites référents à ignorer. Vous choisissez un type de correspondance et vous saisissez le domaine. La limite est de 50 exclusions par flux de données.
Attention au sens exact de ce réglage : il ajoute le paramètre ignore_referrer aux événements concernés. La visite reste comptée, mais elle cesse d'être attribuée au domaine parasite et bascule en accès direct. C'est utile pour ne pas polluer vos rapports de source et pour vos passerelles de paiement, qui ne sont pas du spam mais faussent l'attribution de la même manière. Ce n'est pas un outil de suppression de trafic.
Les filtres de données
Les filtres de données agissent avant le traitement : le trafic interne, identifié par plage d'adresses IP, et le trafic des développeurs, identifié par le mode débogage. Deux règles sont à retenir et elles sont sévères. Un filtre n'est pas rétroactif : il s'applique à partir du moment où il est créé et ne touche pas l'historique. Et les données filtrées ne seront jamais traitées, ni disponibles dans Google Analytics, ni dans BigQuery.
Autrement dit, un filtre trop large détruit définitivement de la donnée. Sur les sites que je configure, je documente toujours la plage d'adresses IP exclue dans un fichier accessible à l'équipe : un déménagement de bureaux ou un changement d'opérateur suffit à rendre le filtre inopérant sans que personne ne s'en aperçoive.
Le blocage en amont
Le troisième levier n'est pas dans l'outil de mesure : c'est votre serveur, votre hébergement ou votre CDN. Un robot bloqué au niveau du pare-feu applicatif ne consomme ni bande passante, ni ressources serveur, et ne pose plus la question du filtrage statistique. C'est le seul levier qui traite la cause. Il demande en revanche des règles prudentes, car une règle trop agressive bloque aussi de vrais visiteurs et, parfois, des robots d'exploration utiles.
| Levier | Agit sur | Rétroactif | Risque principal |
|---|---|---|---|
| Sites référents à ignorer | L'attribution de la source | Non | Le trafic reste compté en direct |
| Filtres de données | La collecte, avant traitement | Non | Perte définitive de données |
| Blocage serveur ou CDN | La requête elle-même | Non | Blocage de visiteurs légitimes |
Robots invalides et robots d'IA : ne pas mélanger les deux sujets
Beaucoup de dirigeants me demandent si « les robots d'IA faussent leurs statistiques ». La réponse est presque toujours non, et le raisonnement mérite d'être posé.
Le volume, d'abord. Le rapport Bad Bot publié par Imperva en 2025, qui porte sur le trafic observé dans son propre réseau en 2024, conclut que le trafic automatisé a dépassé l'activité humaine, à 51 % du trafic web, dont 37 % attribués aux robots malveillants. C'est un périmètre de fournisseur de sécurité, pas une mesure du web entier : à lire comme un ordre de grandeur sur des sites protégés par ce type de service.
Côté robots d'IA, l'analyse publiée par Cloudflare le 1er juillet 2025 sur la période mai 2024 – mai 2025 donne une répartition utile : GPTBot représentait 30 % du trafic des robots d'IA en mai 2025, devant ClaudeBot à 21 %, Meta-ExternalAgent à 19 % et Amazonbot à 11 %, avec une croissance de 305 % du volume de requêtes de GPTBot sur un an. Ces chiffres portent sur le réseau Cloudflare.
La différence technique est décisive. Ces robots récupèrent du HTML ; dans leur immense majorité, ils n'exécutent pas le JavaScript de la balise de mesure. Ils ne créent donc pas de session dans votre outil d'analyse. Ils gonflent vos journaux serveur, votre bande passante et parfois votre facture d'hébergement, mais pas votre audience déclarée. Le spam referral fait exactement l'inverse : il n'a souvent aucun intérêt pour vos serveurs, mais il pollue vos rapports.
Ces robots ne sont pas non plus tous du même ordre. Google documente par exemple Google-Extended, qui ne sert qu'à contrôler l'utilisation de vos contenus pour l'entraînement des modèles Gemini et n'a pas d'effet sur la présence de votre site dans la recherche. Bloquer sans distinction tout ce qui ressemble à un robot, c'est prendre le risque de sortir du radar de vos propres sources de trafic.
La méthode de diagnostic que j'applique
Quand un domaine inconnu apparaît soudainement dans les sources de trafic, je suis toujours le même ordre.
- Vérifier si la trace existe dans les journaux serveur. Si elle n'y est pas, c'est du spam fantôme envoyé directement au protocole de mesure : un blocage serveur ne servirait à rien.
- Regarder la signature comportementale : une seule page vue, durée nulle, un seul système d'exploitation, une seule ville, un pic apparu d'un jour à l'autre. Un vrai référent produit une distribution, pas un bloc.
- Examiner la destination du domaine sans l'ouvrir dans le navigateur de production : une redirection vers une offre de trafic, un paramètre de campagne, l'affaire est entendue.
- Ajouter l'exclusion de référent, puis vérifier une semaine plus tard que le canal direct a bien absorbé le volume, ce qui confirme que le réglage est actif.
- Annoter la date du changement dans vos tableaux de bord Data Studio (ex-Looker Studio) ou dans votre rapport mensuel. Sans annotation, la rupture de courbe sera interprétée comme une baisse de trafic six mois plus tard.
Cette dernière étape est celle qu'on oublie, et c'est celle qui coûte le plus cher. J'ai vu des comités de direction s'alarmer d'une chute de 30 % du trafic qui n'était qu'un nettoyage bien fait.
Est-ce que cela pénalise le référencement ?
Non, pas directement. Ces visites ne passent pas par l'index de Google et ne constituent pas des liens entrants que vous auriez acquis. Le vrai risque est décisionnel : vous arbitrez un budget, vous jugez une campagne, vous décidez de refondre une page sur des chiffres qui ne décrivent pas des humains. C'est pour cette raison que je considère le nettoyage des statistiques comme un préalable à toute analyse des mots-clés qui apportent du trafic utile, et pas comme une tâche de maintenance secondaire. Le même principe vaut lors d'un audit SEO : on commence par établir la fiabilité de la mesure, sinon toutes les conclusions sont bâties sur du sable.
Questions fréquentes
Qu'est-ce que le spam referral ?
Le spam referral désigne des visites artificielles, générées par des robots, dont le seul but est de faire apparaître un nom de domaine dans les rapports de sources de trafic du site visé. Le propriétaire du site intrigué va consulter ce domaine, qui redirige vers une offre commerciale, souvent de la vente de trafic. C'est donc un canal de prospection qui détourne votre propre outil de mesure.
Google Analytics 4 filtre-t-il déjà les robots ?
Oui, Google Analytics 4 exclut automatiquement le trafic des robots connus, en s'appuyant sur les données de Google et sur la liste internationale des robots de l'IAB. Cette exclusion ne peut pas être désactivée et le volume exclu n'est pas consultable. Elle ne couvre que les signatures connues : un robot qui se fait passer pour un navigateur ordinaire passe au travers.
Comment exclure un domaine parasite de mes statistiques ?
Dans l'administration de la propriété, ouvrez le flux de données web, puis les paramètres de la balise, et la rubrique consacrée aux sites référents à ignorer. Vous pouvez déclarer jusqu'à 50 exclusions par flux de données. Ce réglage ne supprime pas la visite : il l'empêche d'être attribuée à ce domaine, et elle bascule en trafic direct.
Les filtres de données sont-ils rétroactifs ?
Non. Un filtre de données s'applique à partir du moment où il est créé et ne modifie pas l'historique déjà collecté. Les données qu'il écarte ne sont jamais traitées et ne seront disponibles ni dans l'interface d'analyse ni dans un export vers un entrepôt de données, ce qui rend l'opération définitive.
Les robots d'IA faussent-ils mes statistiques d'audience ?
En règle générale non, car ces robots récupèrent le code HTML des pages sans exécuter le JavaScript de la balise de mesure : ils ne créent donc pas de session. En revanche ils apparaissent dans les journaux serveur et consomment de la bande passante, ce qui peut peser sur les performances et sur la facture d'hébergement. Ce sont deux problèmes distincts, à traiter avec des outils différents.
Le faux trafic peut-il pénaliser mon référencement ?
Ces visites ne passent pas par l'index du moteur de recherche et ne constituent pas des liens entrants ; elles n'entraînent donc pas de sanction en elles-mêmes. Le risque réel est décisionnel : arbitrer un budget, juger une campagne ou refondre une page à partir de chiffres qui ne décrivent pas des visiteurs humains. Fiabiliser la mesure est un préalable à toute analyse.