Reconnaître un pic de trafic GA4 dû à des bots

Publié en août 2026.

TL;DR : Le filtrage anti-bots intégré de GA4 ne retire que les robots connus, listés par l’IAB et par Google — il ne détecte ni le scraping par navigateur headless, ni les appels au Measurement Protocol envoyés directement sur votre identifiant de propriété, et ces deux cas apparaissent comme des sessions normales. Avant de célébrer un pic de trafic, vérifiez trois chiffres : le temps d’engagement moyen, le taux d’utilisateurs récurrents et la part de sessions « Direct ». Si l’engagement est sous 15 secondes, les utilisateurs récurrents sous 5 % et Direct au-dessus de 80 %, vous regardez du trafic automatisé, pas de la croissance.

Lecture de l’opérateur : J’ai extrait les propres chiffres GA4 de ce site en écrivant cet article. Direct représentait 77,8 % des sessions, le temps d’engagement moyen était de 12 secondes par utilisateur actif, et seulement 0,5 % des utilisateurs sont revenus. Chacun de ces chiffres pris isolément a une explication innocente. Ensemble, non. C’est cette combinaison qui fait que je ne fais plus confiance à un nombre de sessions avant de l’avoir passé par la liste de vérification ci-dessous — et pourquoi je vous conseillerais de faire pareil.

Un pic de trafic est excitant précisément parce qu’il est censé signifier quelque chose : un contenu qui fonctionne, un canal qui paie, une dynamique sur laquelle s’appuyer. C’est exactement pour ça que ça vaut 10 minutes de confirmer que le pic est fait de personnes et non de robots avant d’agir dessus — réallouer un budget, dire à un client que ça marche, ou utiliser cette fenêtre comme référence pour tout ce que vous mesurerez plus tard.

Table des matières

Ouvrir Table des matières

• Pourquoi le filtrage anti-bots de GA4 ne vous protège pas
• Les trois chiffres qui rattrapent ce que le filtre manque
  • 1. Temps d’engagement moyen par utilisateur actif
  • 2. Taux d’utilisateurs récurrents
  • 3. Part de Direct dans le total des sessions
• Faire la vérification
• Que faire une fois que vous l’avez confirmé
• FAQ

Pourquoi le filtrage anti-bots de GA4 ne vous protège pas

GA4 dispose d’un filtrage anti-bots toujours actif, sans interrupteur pour le désactiver — Google retire automatiquement le trafic correspondant à la liste IAB/ABC International Spiders and Bots, avant même qu’il n’atteigne vos rapports. C’est réel, et c’est pourquoi les chiffres que vous voyez ne sont pas bruts. Mais cette liste est une liste de bots connus. Elle capte les robots identifiés qui s’annoncent eux-mêmes. Elle ne capte pas :

• Le scraping par navigateur headless. Un script exécutant Puppeteer ou Playwright avec un vrai user agent Chrome ressemble, pour GA4, exactement à une personne avec un navigateur ouvert. Rien dans la requête ne l’identifie comme automatisé.
• Les appels au Measurement Protocol envoyés directement sur votre identifiant de propriété. Le Measurement Protocol de GA4 est une API publique. Si votre identifiant de propriété fuite — et gtag.js l’envoie en texte clair au navigateur de chaque visiteur — n’importe qui peut scripter des événements directement sur votre propriété sans aucun chargement de page. Cela apparaît comme des sessions sans aucun trafic réel correspondant ailleurs : pas de hit dans les logs serveur, pas de dépense publicitaire, pas de source de référence qui l’explique.

Les deux ressemblent, dans vos rapports, à des sessions normales, filtrées, légitimes. La liste IAB vous protège des bots qui s’annoncent. Elle ne fait rien pour ceux qui ne le font pas.

Les trois chiffres qui rattrapent ce que le filtre manque

Passez tout pic de trafic par ces trois vérifications avant d’agir. Aucune ne prouve quoi que ce soit isolément — une seule session courte, un visiteur qui ne revient pas, une visite en Direct sont tous parfaitement normaux. C’est la combinaison qui est le signe révélateur.

1. Temps d’engagement moyen par utilisateur actif

Seuil : en dessous de 15 secondes, c’est suspect.

Un vrai visiteur qui lit ne serait-ce qu’une page courte y passe plus de 15 secondes — il défile, lit un titre, décide de rester ou non. Un script qui appelle une URL, enregistre l’événement de vue de page, puis passe à l’URL suivante de sa liste ne le fait pas. Si votre temps d’engagement moyen sur un pic est à un seul chiffre, l’essentiel de ce « trafic » n’a en réalité rien regardé.

2. Taux d’utilisateurs récurrents

Seuil : en dessous de 5 %, c’est suspect pour un pic censé représenter une vraie croissance d’audience.

Une vraie audience — même une que vous commencez tout juste à construire — revient. Quelqu’un qui vous a trouvé via une recherche, a aimé ce qu’il a lu, et a une raison de revenir apparaît comme utilisateur récurrent en l’espace de quelques semaines. Un scraping ponctuel ou une rafale de bruit du Measurement Protocol ne revient jamais, parce qu’il n’y a personne derrière avec une raison de le faire.

C’est le chiffre auquel je fais le plus confiance, parce que c’est le plus difficile à fausser par accident. Les sources de trafic légitimes — même des publicités payantes ciblant des inconnus — produisent tout de même quelques utilisateurs récurrents sur quelques semaines. Le trafic de bots pur, presque jamais.

3. Part de Direct dans le total des sessions

Seuil : au-dessus de 80 %, c’est un signal d’alerte, pas un verdict.

C’est celui à utiliser avec prudence. Une partie du trafic Direct est réelle mais non balisée — des gens qui ouvrent un lien enregistré, une webview d’application native qui supprime le référent, un lien de citation d’un assistant IA qui atterrit sans UTM. Un Direct élevé, seul, ne signifie pas des bots. Mais combiné à un engagement court et des utilisateurs récurrents proches de zéro, il cesse d’être du « trafic réel non balisé » et devient le compartiment par défaut où atterrissent les visites automatisées qui ne portent aucun référent du tout.

Prenez-le comme une invitation à enquêter, pas comme une mesure du trafic de bots à lui seul. Ne tuez pas votre canal Direct pour un seul chiffre.

Faire la vérification

Sortez un rapport GA4 — l’aperçu standard des Rapports ou un espace de travail Explorer — pour la période couverte par votre pic, et regardez les trois chiffres en même temps :

Signal	Ça va	À creuser
Temps d’engagement moyen / utilisateur actif	15 s et plus	Moins de 15 s
Utilisateurs récurrents	5 % et plus	Moins de 5 %
Part de Direct dans les sessions	Moins de 80 %	Plus de 80 %

Un seul signal isolé : haussez les épaules et passez à autre chose. Deux ou trois ensemble, surtout sur un pic qui a démarré brutalement à une date précise sans cause correspondante (pas de nouveau backlink, pas de lancement de campagne, pas de mention presse) : arrêtez de faire confiance au chiffre tant que vous n’avez pas remonté à la source.

Pour remonter à la source, segmentez le pic par page d’atterrissage, catégorie d’appareil et géographie. Le trafic de bots a tendance à se concentrer — des centaines de sessions qui frappent toutes les trois mêmes URLs, ou qui rapportent toutes le même modèle d’appareil, ou qui se regroupent dans une poignée de pays saturés de data centers où vous n’avez aucune raison réelle d’avoir une audience. Le trafic réel est plus désordonné que ça ; il se répartit sur votre contenu comme se répartit un intérêt réel.

Que faire une fois que vous l’avez confirmé

• Ne construisez ni rapport, ni décision budgétaire, ni mise à jour client sur la fenêtre contaminée. Si vous suivez une référence « avant » pour quoi que ce soit — une campagne SEO, un forfait GEO, le ROI d’une dépense publicitaire — une période polluée empoisonne la comparaison aussi longtemps que cette référence reste utilisée. Impossible de reconstruire un chiffre propre après coup une fois la fenêtre refermée.
• Ajoutez un filtre côté GA4 une fois le schéma identifié. Si le bruit se concentre sur un nom d’hôte (le site de quelqu’un d’autre pointé sur votre identifiant de mesure, ou un environnement de préproduction qui fuit son balisage de trafic réel), configurez un filtre de nom d’hôte valide dans les paramètres des flux de données de GA4. S’il se concentre sur un comportement, une dimension personnalisée à l’échelle de la session pour un temps d’engagement sous un seuil vous fait faire l’essentiel du chemin, même si GA4 ne permet pas de retirer rétroactivement des sessions déjà arrivées.
• Bloquez en périphérie si c’est soutenu, et non ponctuel. Si vous êtes sur Cloudflare, une règle de gestion des bots ou de limitation de débit arrête la prochaine vague avant même qu’elle n’atteigne votre analytique — moins cher que de filtrer après coup, et ça arrête aussi la charge sur votre serveur réel.
• Ne jetez pas tout le Direct en bloc. Une partie, ce sont de vraies personnes que vous ne pouvez pas attribuer — dont une part croissante correspond à quelqu’un qui a lu votre contenu dans la réponse d’un assistant IA et a ensuite tapé votre nom dans son navigateur. C’est un résultat réel que vous jetteriez avec le bruit. Voir comment je mesure le trafic de la recherche par IA pour séparer ce signal du reste du Direct au lieu de rayer tout le canal.

FAQ

Est-ce que ça veut dire que mon pic de trafic est faux ?

Pas forcément — faites d’abord les trois vérifications. Beaucoup de vrais pics (un article viral, une mention sur un site plus important, une publicité qui marche) affichent un engagement sain et une part de Direct normale. La liste de vérification existe pour repérer ceux qui ne le sont pas, pas pour vous faire douter de chaque hausse.

Pourquoi GA4 ne filtre-t-il pas ça automatiquement ?

La liste de bots de l’IAB ne couvre que les robots qui s’identifient via des signatures connues. Un navigateur headless avec un user agent Chrome légitime, ou un appel brut à l’API du Measurement Protocol, ne présente aucune signature à filtrer — du point de vue de GA4, c’est indiscernable d’une vraie vue de page. Le détecter nécessite des signaux comportementaux que GA4 n’applique pas automatiquement, ce qui est exactement pourquoi la vérification manuelle compte.

Combien de temps attendre avant de faire confiance à un pic ?

Assez longtemps pour voir si des utilisateurs récurrents apparaissent — je donnerais deux à trois semaines minimum. Un pic qui affiche toujours des utilisateurs récurrents proches de zéro après cette fenêtre, combiné à un engagement court, ne devient pas une vraie audience avec plus de temps. C’est juste plus du même trafic.