Spam GA4 : comment repérer et bloquer le faux trafic avec le filtre de nom d'hôte

Pour bloquer le spam GA4, repérez d'abord le faux trafic dans une exploration, puis dressez la liste de tous vos noms d'hôte. Créez ensuite un filtre de données « Trafic par nom d'hôte Web » en mode « Inclure uniquement », testez-le quelques jours et activez-le. Depuis le 21 septembre 2026, ce filtre refuse les données de tout domaine absent de votre liste. Il ne touche toutefois ni le Measurement Protocol ni les robots qui visitent vraiment votre site. Il ne nettoie pas non plus vos données passées. Enfin, il efface pour de bon tout domaine légitime oublié.

Sur cette page

Ce que Google a changé le 21 septembre 2026

Google a ajouté le filtre de nom d'hôte à GA4 le 11 juin 2026, parmi les filtres de données de l'administration. Il ne savait alors qu'exclure : pour bloquer un domaine de spam, il fallait le connaître et l'ajouter à la main, puis recommencer à chaque nouveau domaine.

Le 21 septembre 2026, la page des nouveautés de Google Analytics a annoncé le mode inclusion. Google le décrit comme une liste de domaines approuvés : tout ce qui n'y figure pas est refusé. Selon Google, cette liste simplifie la configuration et demande peu d'entretien. La même annonce précise deux règles qui changent la façon de régler le filtre :

• Les événements sans nom d'hôte sont bloqués automatiquement. Selon Google, un nom d'hôte absent est en général le signe d'un spam ou d'un trafic anormal.
• Le Measurement Protocol n'est pas filtré. Les événements envoyés par serveur, avec une clé secrète, passent le filtre sans être examinés.

Beaucoup de guides publiés avant le 21 septembre décrivent encore un filtre qui ne sait qu'exclure. Le 22 septembre, Search Engine Journal relevait que les pages d'aide de Google elles-mêmes n'avaient pas encore été mises à jour. Depuis, la page d'aide sur le filtre de trafic par nom d'hôte présente bien les deux opérations : « Exclure » et « Inclure uniquement ».

Le spam que le filtre bloque et celui qu'il laisse passer

Le mot « spam » recouvre plusieurs problèmes dans GA4. Le filtre de nom d'hôte en règle un seul : les données qui arrivent dans votre propriété sans venir de vos pages. Votre identifiant de mesure (le code « G- » de votre propriété) est lisible dans le code de n'importe quelle page de votre site. N'importe qui peut donc l'utiliser pour envoyer de fausses visites ou de faux événements, sans jamais charger une seule de vos pages.

La dernière ligne compte souvent plus que les autres. GA4 exclut déjà les robots connus, en combinant sa propre détection et la liste internationale de l'Interactive Advertising Bureau (IAB). Cette exclusion ne peut pas être désactivée et Google ne montre pas le volume qu'elle retire. Les robots absents de la liste, eux, entrent dans vos rapports avec votre nom d'hôte. Le filtre de nom d'hôte ne peut rien contre eux.

La vague de faux trafic venu de Chine et de Singapour

Depuis la mi-septembre 2025, des propriétaires de sites partout dans le monde voient arriver du trafic direct en provenance de Chine (souvent de Lanzhou) et de Singapour. Le fil ouvert le 6 octobre 2025 sur le forum d'aide de Google Analytics a été suivi par plus de 470 personnes qui avaient la même question. Plusieurs y décrivent un trafic qui double du jour au lendemain.

Le 10 novembre 2025, Raúl Revuelta, expert de produit Diamond de la communauté d'aide de Google Analytics, y a résumé ce que les équipes de Google avaient établi. Selon lui, ces hausses viennent probablement d'une nouvelle forme de trafic non humain qui contourne les systèmes de filtrage habituels. Il décrit trois signes :

• des sessions qui ne contiennent que les premiers événements (session_start et page_view), sans aucune autre interaction ;
• des concentrations inhabituelles d'appareils et de systèmes d'exploitation anciens ;
• des hausses soudaines venues de pays ou de villes inattendus, souvent marqués « (not set) ».

Il recommandait de commencer par des segments d'exclusion dans les explorations, qui ne suppriment aucune donnée. Il précisait aussi qu'une correction durable de la détection du spam était en préparation. Au 13 octobre 2026, nous n'avons trouvé aucune annonce de cette correction dans les nouveautés de Google Analytics.

Le filtre de nom d'hôte bloque-t-il cette vague ? Search Engine Watch posait la question le 29 septembre 2026 et concluait que personne ne l'avait encore vérifié. La réponse dépend du nom d'hôte que portent ces sessions dans votre propriété. Avec un nom d'hôte vide ou étranger, le filtre les bloque. Avec le vôtre, il les laisse passer. L'étape 1 sert justement à le savoir avant de choisir un outil.

Qui envoie ce trafic et dans quel but ?

Personne ne le sait. Google a confirmé qu'il s'agit de trafic non humain, mais n'a nommé ni son origine ni son but. Aucune des hypothèses qui circulent n'est démontrée. Les voici, avec leur auteur, pour les curieux :

• La collecte de contenu pour entraîner des IA. C'est l'hypothèse la plus répandue. Le site Breached Company (Andrew, fondateur de CISO Marketplace, 17 février 2026) y voit une collecte de données à l'échelle industrielle. Thomas Hillary, d'Octiv Digital, rapporte de son côté une analyse de SEOSpot qui relie une partie de cette activité à des infrastructures d'Alibaba et de Baidu. Sa limite : elle explique les vraies visites, pas les données envoyées à GA4 sans visite.
• La reconnaissance et le test de techniques de contournement. Le même article de Breached Company rapporte l'avis minoritaire d'analystes : ces robots cartographieraient les sites (serveurs, réseaux de diffusion, protections) ou testeraient leur capacité à déjouer les pare-feu et les outils antirobots.
• La recherche de failles de sécurité. Kyle Rushton McGregor, de KRM Digital (31 décembre 2025), relève des visites qui atterrissent sur des pages d'erreur 404 et des chemins inexistants, signe de robots qui sondent des failles connues.
• Un lieu trompeur. Tim Ito, de Marketing Nice Guys (1er avril 2026), rappelle que GA4 situe une visite d'après son adresse IP : un serveur infonuagique, un mandataire (proxy) ou un réseau privé virtuel (VPN) affiche la ville du centre de données, pas celle d'une personne. Selon Breached Company, le trafic transiterait par Singapour et la localisation à Lanzhou pourrait être inexacte.
• Du trafic sans but apparent. Marcin Polak, de Delante (30 décembre 2025), décrit des robots qui parcourent les sites au hasard, jusque dans des adresses à filtres et à paramètres qu'aucun visiteur ne clique, comme du trafic « pour le trafic ».

Une partie de ces articles vient d'entreprises qui vendent des outils de sécurité ou de mesure : lisez-les comme des pistes, pas comme des constats. Pour votre propriété GA4, la réponse pratique ne dépend pas du motif. Elle dépend du nom d'hôte que portent ces sessions et de leur présence dans les journaux de votre serveur.

Étape 1 : repérer le spam dans GA4

Ne filtrez rien avant d'avoir regardé. Dans GA4, ouvrez une exploration en forme libre et comparez les mois récents à une période calme. Placez en lignes le pays, la ville, le nom d'hôte et le groupe de canaux par défaut de la session. Ajoutez ensuite le système d'exploitation avec sa version et la résolution d'écran. En valeurs, mettez les sessions, les sessions avec engagement, la durée d'engagement moyenne et les événements clés.

Le faux trafic laisse en général plusieurs de ces traces à la fois :

• une hausse soudaine du trafic direct, sans campagne ni publication pour l'expliquer ;
• des villes ou des pays où vous ne vendez pas, comme Lanzhou ou Singapour pour une entreprise québécoise ;
• des sessions sans engagement, de moins de dix secondes, avec une seule page vue ;
• des systèmes anciens (Windows 7 revient souvent dans les signalements) et des résolutions d'écran qui reviennent à l'identique ;
• un nom d'hôte « (not set) » ou un domaine qui n'est pas le vôtre ;
• aucun événement clé : le faux trafic remplit rarement un formulaire.

Comparez ensuite avec les journaux de votre serveur ou de Cloudflare. Selon une analyse de DefiniteSEO publiée en novembre 2025, une bonne partie des visites de la vague de Chine et de Singapour n'apparaît pas dans ces journaux. C'est le signe de données envoyées directement à GA4, sans visite.

Étape 2 : dresser la liste de vos noms d'hôte

Le mode inclusion inverse le travail : vous ne suivez plus les domaines des spammeurs, vous tenez la liste exacte des vôtres. Un domaine oublié n'envoie plus rien à partir de l'activation. Ces données ne reviennent pas.

Dans la même exploration, gardez la dimension « Nom d'hôte » en lignes et prenez une période longue qui couvre vos pointes de ventes : un moteur de réservation qui ne sert qu'en haute saison n'apparaîtra pas sur un mois creux. Rangez ensuite chaque nom d'hôte dans l'une de quatre colonnes :

• Vos domaines : le domaine principal (avec et sans « www ») et chaque sous-domaine qui envoie des données.
• Les services tiers légitimes : un moteur de réservation, une billetterie ou une page de paiement qui porte votre balise GA4.
• Le spam et les copies : des domaines que vous ne reconnaissez pas, un environnement de préproduction, un ancien site.
• Les noms d'hôte vides, affichés « (not set) » : le filtre les bloquera tous.

Refaites ensuite l'exploration avec un filtre sur vos événements de vente et de lead (purchase, generate_lead ou vos propres événements clés). C'est la vérification qui compte le plus : une page vue perdue fausse un rapport, une vente perdue fausse le calcul de rentabilité de vos campagnes.

Les pièges de la liste : passerelles de paiement, domaines croisés et noms d'hôte vides

Passerelles de paiement : deux réglages à ne pas confondre

Une passerelle de paiement pose deux problèmes différents, qui se règlent à deux endroits différents.

Dans le cas le plus courant, le client paie sur la page du fournisseur (Stripe, PayPal, Moneris) puis revient sur votre page de confirmation. Votre balise ne tourne pas sur la page du fournisseur : son domaine n'envoie aucune donnée et n'a pas sa place dans le filtre. Le problème est ailleurs. Au retour, GA4 peut compter le fournisseur comme la source de la visite et voler le mérite de la vente à la campagne qui l'a amenée. Ce problème se règle dans les « Sites référents à ignorer », dans les paramètres de la balise de votre flux de données. Google y donne justement l'exemple d'un client qui paie sur le domaine d'un fournisseur de paiement.

Le second cas est plus rare et plus dangereux. Certains outils hébergés sur le domaine d'un fournisseur acceptent votre balise GA4 : un moteur de réservation, une billetterie, une page de paiement hébergée ou un panier externe. Ces pages envoient alors des événements avec le nom d'hôte du fournisseur, souvent les plus précieux du parcours (le début du paiement, l'achat). Sans ce nom d'hôte dans la liste, le filtre peut les effacer. Le nom d'hôte de vos événements de vente, relevé à l'étape 2, tranche la question.

Domaines croisés

Si votre mesure suit le visiteur d'un domaine à l'autre (une boutique sur un domaine distinct, un site par langue, un blogue séparé, un outil de pages de destination hébergé par l'éditeur), chaque domaine doit figurer dans la liste. La configuration des domaines croisés et le filtre de nom d'hôte ne se parlent pas : ajouter un domaine à l'une ne l'ajoute pas à l'autre. Un domaine de paiement oublié dans le filtre peut faire disparaître les achats de GA4, alors que tout le reste du parcours s'affiche normalement.

Le « www » et les sous-domaines

Le filtre propose quatre façons de comparer : la correspondance exacte, « commence par », « se termine par » et « contient ». Il n'accepte pas les expressions régulières. Benjamin Mangold, formateur Google Analytics et fondateur de Loves Data, recommande la correspondance exacte et un nom d'hôte à la fois. Avec la correspondance exacte, « exemple.com » et « www.exemple.com » sont deux noms d'hôte différents : il faut les deux.

Les options plus larges ouvrent une porte. « Contient exemple » accepte aussi « exemple-copie.net ». « Se termine par .exemple.com », avec le point, accepte tous vos sous-domaines sans accepter un domaine qui se termine par les mêmes lettres.

Les événements sans nom d'hôte

Le filtre bloque d'office tout événement sans nom d'hôte. Le plus souvent, c'est bien du spam. Mais une installation sur mesure peut aussi produire des événements sans nom d'hôte, par exemple quand l'adresse de la page est remplacée par un simple chemin (« /merci/ » au lieu de l'adresse complète). Si vos événements de vente ou de lead affichent « (not set) » comme nom d'hôte, corrigez l'installation avant d'activer le filtre.

Les copies légitimes de Google

Quand un visiteur lit votre site dans Google Traduction, la page s'affiche sur un domaine de Google (par exemple « www-exemple-com.translate.goog »). Si votre balise s'y déclenche, ces visites arrivent avec ce nom d'hôte. L'agence FourFront rappelait en août 2026 que ces domaines de Google sont des sources légitimes. Les garder ou non dans la liste est une décision à prendre, pas un oubli à découvrir après coup.

La limite de dix filtres

Une propriété accepte dix filtres de données au plus, tous types confondus : trafic interne, trafic des développeurs et nom d'hôte. Les filtres « Inclure uniquement » actifs s'additionnent : un événement est gardé s'il correspond à l'un d'eux. Si vous avez déjà un filtre en mode inclusion pour un autre usage, relisez-le avant d'en ajouter un.

Étape 3 : créer le filtre de nom d'hôte GA4 en mode test

Il faut le rôle d'éditeur, ou plus, sur la propriété pour créer un filtre de données. Dans GA4, ouvrez « Administrateur », puis « Filtres de données » sous « Collecte et modification des données ». Choisissez « Créer un filtre », puis le type « Trafic par nom d'hôte Web ». Donnez un nom au filtre, choisissez l'opération « Inclure uniquement », le type de correspondance et le nom d'hôte, puis laissez l'état sur « Test ».

Étape 4 : valider le test

Comptez de 24 à 36 heures, puis laissez le test tourner quelques jours pour couvrir une semaine normale. En mode test, GA4 n'efface rien : il marque les événements visés avec la dimension « Nom du filtre de données test ». Construisez une exploration avec cette dimension et le nom de l'événement en lignes, puis le nombre d'événements en valeurs. Filtrez ensuite sur le nom exact de votre filtre. Vérifiez qu'aucun de vos noms d'hôte légitimes n'y apparaît et qu'aucun événement de vente ou de lead n'y figure.

Étape 5 : activer le filtre et noter la date

Ouvrez le filtre, passez l'état à « Actif » et enregistrez. Le filtre agit dans les 24 à 36 heures. Gardez l'exploration de validation : elle resservira à chaque changement.

Le jour de l'activation devient une rupture dans vos séries : les sessions et le taux de conversion peuvent bouger sans que votre trafic réel ait changé. Notez la date là où votre équipe la verra, puis comparez les périodes après cette date entre elles, comme pour le changement de comptage des sessions de Shopify.

Étape 6 : nettoyer les données passées

Un filtre de données ne s'applique qu'aux données reçues après sa création. Les mois touchés par le spam restent tels quels. Trois outils permettent de les lire sans le faux trafic, sans rien supprimer.

Un segment d'exclusion dans les explorations

C'est la méthode recommandée sur le forum d'aide de Google pour la vague de Chine et de Singapour. Dans une exploration, créez un segment de sessions qui exclut l'empreinte relevée à l'étape 1. L'exemple donné sur le forum : exclure les sessions dont le pays est Singapour et dont la durée est inférieure à dix secondes. Combinez au moins deux conditions (un lieu et une durée, ou un nom d'hôte et un système) pour ne pas écarter de vrais clients du même pays. Appliquez ensuite le segment à chaque exploration qui sert à vos analyses.

Une comparaison dans les rapports standards

Les segments ne s'appliquent qu'aux explorations. Dans les rapports standards (acquisition, pages, conversions), ajoutez plutôt une comparaison qui exclut le nom d'hôte ou les lieux du faux trafic. Elle masque les données dans la vue courante sans les supprimer. Il faut la refaire rapport par rapport : gardez donc la liste des conditions dans un document que toute l'équipe utilise.

Un filtre dans vos tableaux de bord

Si vos rapports passent par Looker Studio ou par l'exportation BigQuery, posez-y le même filtre une fois pour toutes. C'est souvent la façon la plus simple de garder des tableaux de bord propres pour la direction.

Une limite à connaître : les explorations ne remontent pas plus loin que la durée de conservation des données de la propriété (2 ou 14 mois dans la version gratuite de GA4). Les rapports standards, eux, ne sont pas touchés par ce réglage. Pour comparer une année à l'autre, vérifiez que la conservation est réglée à 14 mois. Elle ne s'applique toutefois pas à rebours.

Étape 7 : tenir la liste à jour

Chaque nouveau domaine passe par la liste le jour de sa mise en ligne : une nouvelle boutique, un microsite de campagne, un outil de réservation, un site dans une autre langue. Nommez la personne qui en est responsable. Le filtre ne prévient pas quand il bloque un domaine légitime : il ne garde aucune trace de ce qu'il a écarté. Refaites aussi l'exploration de l'étape 1 chaque mois, puisque le spam change de forme.

Ce que le filtre de nom d'hôte ne fait pas

Il laisse passer le Measurement Protocol

Le Measurement Protocol sert à envoyer des événements depuis un serveur, par exemple un remboursement ou une vente conclue hors ligne. Il exige une clé secrète créée dans les paramètres du flux de données. Google demande de la garder confidentielle et de ne jamais l'exposer dans le code d'un site : une clé qui fuit permet d'envoyer n'importe quelles données dans votre propriété. Si du spam arrive par cette voie, remplacez la clé. Pour aller plus loin, le marquage côté serveur permet de valider les requêtes avant qu'elles atteignent GA4. Il demande toutefois plus de configuration et un hébergement à payer.

Il ne vérifie pas l'origine réelle

Le filtre lit le nom d'hôte que la requête déclare. Un spammeur qui envoie de fausses données en se servant de votre propre domaine passe donc le filtre. Le mode inclusion réduit le spam, il ne le fait pas disparaître.

Il ne voit pas les robots qui visitent votre site

Un robot qui charge vraiment vos pages porte votre nom d'hôte. Ceux-là se repèrent à leur comportement (étape 1) et se bloquent avant votre site, chez votre hébergeur ou dans Cloudflare. Bloquer un pays entier écarte aussi les vrais clients qui s'y trouvent : si vous le faites, gardez une exception pour les robots vérifiés comme Googlebot.

L'exemple de notre propre site

Sur falia.co, la balise de mesure ne se charge que si le nom d'hôte de la page est exactement « falia.co » ou « www.falia.co ». Les copies de préproduction et les postes de travail n'envoient donc rien à GA4. Le paiement de la consultation se fait sur la page de Stripe, où notre balise ne tourne pas, puis le visiteur revient sur notre page de confirmation. Stripe relève donc des sites référents à ignorer, pas du filtre de nom d'hôte.

Un contrôle dans le code a toutefois une limite : il ne voit que les visites qui passent par nos pages. Les requêtes envoyées directement à GA4 avec notre identifiant de mesure ne passent par aucune page. C'est cette porte-là que le mode inclusion ferme. Pour notre site, la liste tient en deux noms d'hôte en correspondance exacte. Les pages lues dans Google Traduction n'y figurent pas : notre balise ne s'y charge pas.

La plupart des sites d'entreprise ont une liste plus longue. Une boutique Shopify avec un blogue sur un autre domaine, un site par langue ou un moteur de réservation suffisent à la doubler. C'est pour cette raison que l'exploration par nom d'hôte se fait avant le filtre, jamais après.

Pour relier ensuite des données propres à vos ventes, voir Suivi des conversions : relier vos campagnes aux ventes réelles. Les limites de la mesure sans consentement sont expliquées dans Consentement et mesure : comprendre les limites de Google Consent Mode.

Questions fréquentes sur le spam dans GA4