Quels seuils d’alerte définir pour la fraude à l’attribution ?
Quand l’attribution devient une surface d’attaque, les seuils d’alerte doivent piloter le risque économique
La fraude à l’attribution ne vole pas seulement des impressions ou des clics. Elle détourne la décision marketing. Elle consiste à faire attribuer artificiellement une conversion à un point de contact publicitaire qui n’a pas réellement contribué à la vente, au lead ou à l’installation. Dans un environnement où les budgets sont optimisés au CPA, coût par acquisition, c’est-à-dire le coût nécessaire pour générer une conversion attribuée, ou au ROAS, return on ad spend, ratio entre chiffre d’affaires attribué et dépenses publicitaires, une conversion mal attribuée est plus dangereuse qu’une impression invalide : elle modifie les algorithmes, réalloue les budgets et peut renforcer les sources frauduleuses.
Le sujet est devenu critique avec la généralisation de l’achat programmatique, du retail media offsite, de l’affiliation, des réseaux mobiles, du retargeting et des modèles d’attribution multi-touch. Le RTB, real-time bidding, mécanisme d’enchères en temps réel permettant à un DSP, demand-side platform, plateforme d’achat média automatisée, d’acheter une impression en quelques millisecondes, repose sur des signaux de performance transmis en continu. Si ces signaux sont contaminés par du click spamming, de l’attribution hijacking, du cookie stuffing, des conversions post-view opportunistes ou des leads générés par bots, le système apprend à acheter davantage de mauvais inventaire.
Définir des seuils d’alerte ne signifie pas viser un niveau de fraude nul. Cela serait irréaliste et souvent contre-productif. Un dispositif trop strict peut bloquer des partenaires légitimes, réduire le reach, augmenter les CPM, coûts pour mille impressions, et pénaliser des canaux haut de funnel, c’est-à-dire situés en amont du parcours de conversion. L’objectif est différent : déterminer à partir de quel niveau d’anomalie une source, un canal, un éditeur, une application, un sous-affilié, un deal ou une campagne doit être investigué, plafonné, mis en quarantaine ou exclu.
La difficulté tient au fait qu’un seuil unique, par exemple 10 % de clics suspects ou 20 % de conversions post-view, n’a pas de sens hors contexte. Une campagne mobile app install, une campagne display retargeting, une campagne vidéo de notoriété, une opération drive-to-store et un programme d’affiliation leadgen n’ont ni les mêmes signaux, ni les mêmes délais de conversion, ni les mêmes comportements utilisateurs. Les seuils d’alerte doivent donc être construits comme une matrice de risque, croisant la nature de l’événement, le canal, la source, la valeur business, l’historique et le niveau de preuve disponible.
Définir d’abord les formes de fraude à l’attribution à surveiller
Avant de fixer des seuils, il faut préciser ce que l’on cherche à détecter. La fraude à l’attribution regroupe plusieurs mécanismes qui ont un point commun : capter le crédit d’une conversion sans avoir créé de contribution réelle. Les plus fréquents sont le click spamming, le click injection, le cookie stuffing, la fraude post-view, l’attribution hijacking, les leads synthétiques et le détournement de codes promotionnels ou d’URL trackées.
Le click spamming consiste à générer massivement des clics artificiels ou très faiblement intentionnels afin d’être présent dans la fenêtre d’attribution. Sur mobile, un réseau frauduleux peut envoyer des clics invisibles ou déclenchés en arrière-plan, puis revendiquer des installations organiques lorsque l’utilisateur installe l’application quelques heures ou jours plus tard. Le click injection est plus ciblé : une application malveillante détecte le début d’un téléchargement ou d’une installation et injecte un clic juste avant l’ouverture de l’application afin de capter l’attribution last click, modèle qui attribue la conversion au dernier point de contact.
Le cookie stuffing consiste à déposer des cookies d’affiliation ou de tracking sans interaction réelle, par exemple via des iframes, redirections invisibles ou scripts non transparents. La fraude post-view repose sur une logique proche : multiplier les impressions peu visibles, non intentionnelles ou artificielles, puis revendiquer des conversions en post-view, c’est-à-dire après exposition sans clic. Dans les deux cas, le fraudeur ne crée pas la demande ; il se place dans le parcours pour capter une commission, un CPA ou un signal de performance.
L’attribution hijacking désigne le détournement d’une conversion réelle vers une mauvaise source. Cela peut se produire via des redirections parasites, des extensions navigateur, des applications installées sur l’appareil, des liens affiliés injectés ou des manipulations de paramètres UTM. Les UTM sont des paramètres ajoutés aux URL pour identifier source, medium, campagne et contenu dans les outils analytics. Lorsqu’ils sont manipulés, le reporting peut attribuer à un partenaire une vente qui provient en réalité du SEO, du CRM, du search marque ou d’un accès direct.
Enfin, la fraude aux leads et aux conversions synthétiques concerne particulièrement les campagnes B2B, assurance, énergie, formation, finance ou abonnement. Des formulaires peuvent être remplis par bots, fermes humaines, données volées ou identités recyclées. Le CPA plateforme paraît attractif, mais le taux de qualification commerciale, le taux de joignabilité, le revenu net et la LTV, lifetime value, valeur économique attendue d’un client sur sa durée de relation avec la marque, s’effondrent.
Ces familles n’ont pas les mêmes signaux d’alerte. Un taux de clic anormal peut révéler du click spamming, mais pas nécessairement du cookie stuffing. Un délai clic-conversion extrêmement court peut signaler du click injection, tandis qu’un délai très long et concentré juste avant la fin de fenêtre d’attribution peut indiquer une captation opportuniste. Les seuils doivent donc être associés à une typologie d’anomalies, pas à un score générique.
Construire une baseline statistique avant de fixer des seuils
Le premier seuil sérieux est rarement un chiffre absolu. C’est un écart par rapport à une baseline, c’est-à-dire un comportement de référence observé sur des sources considérées comme saines. Sans baseline, les équipes risquent de confondre fraude, saisonnalité, mix média, effet créatif ou changement d’offre. Un taux de conversion de 8 % peut être suspect sur une campagne display froide, mais parfaitement normal sur une audience CRM retargetée. Un taux de clic de 3 % peut être improbable sur display desktop standard, mais moins étonnant sur native mobile ou email d’acquisition.
La baseline doit être construite par segments homogènes : canal, format, device, pays, type d’audience, position dans le funnel, modèle de rémunération, partenaire, SSP, supply-side platform, plateforme utilisée par les éditeurs pour vendre leur inventaire, application, domaine, créatif et fenêtre d’attribution. À minima, il faut séparer acquisition froide, retargeting, affiliation, search marque, search générique, social paid, in-app, CTV, connected TV, télévision connectée, et retail media. Mélanger ces environnements produit des moyennes inutilisables.
Une méthode robuste consiste à calculer trois niveaux de référence. Le premier est la médiane historique, plus stable que la moyenne lorsque quelques sources extrêmes perturbent les données. Le deuxième est l’intervalle interquartile, qui mesure la dispersion naturelle des performances. Le troisième est un seuil de déviation, par exemple deux ou trois écarts-types lorsque la distribution est à peu près normale, ou un percentile 95 lorsque les données sont asymétriques. En pratique, une source dont le taux de clic, le délai clic-conversion ou le ratio clic-install se situe au-delà du percentile 95 de sources comparables doit déclencher une revue.
Pour des campagnes à faible volume, les seuils doivent intégrer l’incertitude statistique. Une source générant 6 conversions dont 3 suspectes affiche 50 % d’anomalies, mais le volume est trop faible pour conclure. À l’inverse, une source générant 18 000 conversions avec 8 % d’anomalies stables peut représenter un risque économique majeur. Il est donc utile de combiner seuil relatif et seuil absolu : par exemple, alerte jaune à partir de 15 % d’événements suspects si le volume dépasse 100 conversions, alerte rouge à partir de 10 % si le volume dépasse 1 000 conversions et que la valeur média exposée excède 20 000 euros.
La baseline doit aussi exclure les données déjà contaminées. Si l’historique inclut des partenaires frauduleux, le seuil moyen sera trop permissif. Une bonne pratique consiste à établir une baseline sur des sources contrôlées : trafic direct, CRM, search marque, partenaires premium, deals directs, campagnes géographiques testées ou cohortes validées par le CRM. Ces sources ne sont pas parfaites, mais elles donnent une référence plus crédible des délais, taux de conversion, taux de qualification et comportements post-conversion.
Les seuils d’alerte prioritaires : clics, délais, post-view et ratios de conversion
Un dispositif opérationnel doit commencer par une scorecard limitée, compréhensible et actionnable. Trop d’indicateurs diluent la responsabilité. Les seuils les plus utiles pour détecter la fraude à l’attribution se regroupent en quatre familles : anomalies de clic, anomalies temporelles, anomalies post-view et anomalies de qualité business.
Premier indicateur : le taux de clic anormal. Le CTR, click-through rate, ratio entre clics et impressions, varie fortement selon les formats. En display programmatique standard, un CTR au-dessus de 1 % sur prospection froide doit être investigué, sauf contexte très particulier. Au-dessus de 2 % ou 3 %, le risque de clics accidentels, incités ou artificiels devient élevé. En retargeting, les niveaux peuvent être supérieurs, mais un CTR trois à cinq fois plus élevé que la médiane du segment mérite une alerte. Sur mobile in-app, il faut distinguer clic intentionnel, tap accidentel et clic généré par SDK, software development kit, bibliothèque technique intégrée dans une application.
Deuxième indicateur : le délai clic-conversion. Pour une installation d’application, un délai inférieur à 10 secondes entre clic et install peut signaler du click injection si le volume est significatif. Pour un achat e-commerce, une conversion en moins de 5 secondes après clic est suspecte sauf réachat très fluide ou paiement enregistré. À l’autre extrême, une concentration anormale de conversions juste avant l’expiration de la fenêtre d’attribution, par exemple au jour 6 ou 7 sur une fenêtre post-click de 7 jours, peut indiquer une captation opportuniste.
Troisième indicateur : le ratio post-view sur conversions totales. Le post-view n’est pas frauduleux en soi. Il est indispensable pour mesurer certains leviers de notoriété, vidéo, display haut de funnel ou CTV. Mais un partenaire qui revendique 70 % à 90 % de ses conversions en post-view, avec faible visibilité, faible fréquence utile et absence d’incrémentalité, doit être questionné. En acquisition performance, une alerte jaune peut être fixée au-delà de 40 % de conversions post-view, et une alerte rouge au-delà de 60 %, sauf justification par le rôle du canal dans le funnel et validation par test de lift.
Quatrième indicateur : le taux clic-conversion ou impression-conversion trop élevé. Une source froide qui convertit cinq fois mieux que le benchmark sans différence d’audience, d’offre ou de créatif peut être excellente, mais elle peut aussi capter des conversions organiques ou proches de l’achat. Les seuils doivent être comparatifs : si la médiane des partenaires est à 1,2 % de clic-conversion et qu’une source atteint 8 % avec un délai médian de 20 secondes, l’anomalie est plus forte que si elle atteint 2,5 % avec un parcours utilisateur cohérent.
Un exemple concret : un annonceur e-commerce observe sur son programme d’affiliation un CPA moyen de 18 euros, contre 32 euros sur le paid search générique et 26 euros sur le display retargeting. À première vue, l’affiliation semble performante. L’analyse révèle pourtant qu’un sous-affilié génère 42 % des conversions, avec 86 % de conversions dans les 30 secondes suivant un clic, un taux d’usage de codes promotionnels déjà publics et une forte superposition avec le trafic direct. Le seuil d’alerte n’est pas seulement le CPA bas ; c’est la combinaison délai court, part disproportionnée, duplication avec canaux propriétaires et faible incrémentalité.
Définir des seuils business : qualité des leads, annulations, marge et nouveaux clients
Les seuils techniques détectent des anomalies. Les seuils business déterminent si elles coûtent réellement de l’argent. C’est une distinction essentielle. Un canal peut générer quelques signaux suspects mais produire des ventes incrémentales et rentables. À l’inverse, une source techniquement propre peut capter des conversions non incrémentales, faibles en marge ou déjà acquises par d’autres leviers.
Pour les campagnes leadgen, le premier seuil business est le taux de leads invalides. Un lead invalide peut être un email inexistant, un numéro non joignable, une identité incohérente, un doublon, un prospect hors cible ou une demande non consentie. Selon les secteurs, un taux de leads invalides supérieur à 10 % doit déclencher une revue. Au-delà de 20 %, le partenaire doit être plafonné ou basculé en quarantaine, sauf si le modèle économique intègre explicitement un tri en amont. Pour le B2B, il faut ajouter le taux de MQL, marketing qualified lead, lead jugé pertinent selon des critères marketing, et le taux de SQL, sales qualified lead, lead accepté par les équipes commerciales.
Pour l’e-commerce, les seuils doivent intégrer annulations, retours et marge. Un partenaire qui génère un ROAS brut de 6 mais un ROAS net de 1,8 après retours, promotions et coûts logistiques ne doit pas être considéré comme performant. Une alerte peut être définie lorsque le taux d’annulation ou de retour dépasse de 50 % la médiane du canal, ou lorsque la marge par commande est inférieure de 30 % au benchmark. Les fraudeurs ou acteurs opportunistes tendent parfois à concentrer des commandes à faible qualité économique : paniers promotionnels, clients déjà captifs, commandes annulées, ou conversions de faible valeur.
Le taux de nouveaux clients est un autre seuil critique. En acquisition, une source qui affiche un CPA attractif mais 85 % de clients existants peut être utile pour la réactivation, mais elle ne doit pas être rémunérée comme un levier de conquête. Une règle simple consiste à définir un seuil minimal de nouveaux clients par objectif : par exemple 60 % pour une campagne acquisition pure, 30 % pour une campagne réactivation, et un indicateur séparé pour le retargeting. Si le partenaire descend sous ce seuil deux périodes consécutives, l’optimisation doit changer ou la rémunération être renégociée.
La LTV doit également entrer dans la matrice. Dans l’abonnement, la banque, l’assurance ou les services, une conversion n’a de valeur que si elle survit au-delà des premières semaines. Un seuil pertinent peut être le taux de rétention à 30, 60 ou 90 jours. Une source dont les clients convertissent fortement mais churnent deux fois plus vite que la moyenne crée un signal trompeur pour le DSP ou la plateforme d’affiliation. Dans ce cas, le seuil d’alerte ne doit pas être appliqué au moment de la conversion, mais au moment où la cohorte révèle sa valeur réelle.
Ces seuils business imposent une réconciliation avec le CRM, le data warehouse ou la finance. L’ad server et les plateformes média sont utiles pour l’attribution opérationnelle, mais ils ne connaissent pas toujours la marge, les remboursements, le statut nouveau client ou la qualification commerciale. Une gouvernance mature relie donc les logs média aux données transactionnelles, même si cette réconciliation est agrégée ou pseudonymisée pour respecter les contraintes de confidentialité.
Adapter les seuils par canal : mobile, affiliation, programmatique et retail media
Les seuils d’alerte doivent être contextualisés par canal, car les mécanismes de fraude et les métriques disponibles diffèrent fortement. Sur mobile app, les indicateurs clés sont le CTIT, click-to-install time, délai entre clic et installation, le taux d’installation par clic, la distribution des installations par source, le taux d’événements post-install, les anomalies de device ID et la rétention. Une concentration d’installs dans les 10 premières secondes après clic, surtout sur Android, peut signaler du click injection. Un volume élevé de clics sans impressions correspondantes peut indiquer du click spamming.
En affiliation, les seuils doivent surveiller la dernière interaction, la contribution incrémentale, le taux de codes promotionnels, les redirections, les sous-affiliés et la part de conversions venant d’utilisateurs déjà engagés. Un partenaire qui intervient dans les 60 dernières secondes avant l’achat sur une majorité des ventes peut être légitime s’il apporte un coupon réellement recherché par l’utilisateur, mais il peut aussi cannibaliser le search marque ou le trafic direct. Une alerte peut être fixée lorsque plus de 50 % des conversions d’un partenaire apparaissent dans les deux dernières minutes du parcours, combinée à une faible part de nouveaux visiteurs.
En programmatique display et vidéo, la fraude à l’attribution se manifeste souvent par des conversions post-view excessives, des impressions non visibles revendiquées, une fréquence anormale ou une proximité artificielle avec la conversion. La viewability, visibilité publicitaire selon les standards de mesure, doit être croisée avec l’attribution. Si un partenaire revendique 10 000 conversions post-view mais que seulement 35 % des impressions sont mesurables et 42 % visibles, le niveau de preuve est faible. Un seuil peut exiger qu’au moins 70 % des conversions post-view attribuées proviennent d’impressions mesurables et visibles, ou que les conversions non mesurables soient exclues des optimisations automatiques.
Dans le retail media, la situation est plus nuancée. Les plateformes retail disposent de signaux transactionnels très puissants, mais peuvent aussi surestimer leur contribution si elles attribuent largement des ventes de clients déjà proches de l’achat. Les seuils doivent inclure le taux de clients nouveaux pour la marque, le délai exposition-achat, la part de ventes sur produits déjà fréquemment achetés et la contribution incrémentale via tests holdout. Un holdout est un groupe comparable volontairement non exposé, utilisé pour mesurer ce qui se serait produit sans campagne. Sans holdout, un ROAS retail élevé peut surtout refléter la proximité de l’utilisateur avec l’acte d’achat.
Pour le search, les alertes portent moins sur la fraude technique que sur la cannibalisation d’attribution. Le search marque capte naturellement des conversions en bas de funnel. Si des partenaires d’affiliation ou display se positionnent systématiquement juste avant le search marque, il faut analyser l’ordre des contacts. Une hausse simultanée des commissions affiliées et du search marque, sans hausse des ventes totales, peut révéler une redistribution de crédit plutôt qu’une croissance réelle.
La recommandation opérationnelle est de maintenir un tableau de seuils par canal, avec trois niveaux : observation, investigation, action. Observation signifie que l’anomalie est suivie mais non bloquante. Investigation implique demande de logs, échantillonnage, comparaison à une cohorte saine ou contrôle par fournisseur tiers. Action signifie plafonnement, suspension, exclusion, renégociation de la fenêtre d’attribution ou retrait des conversions de l’algorithme d’optimisation.
Combiner seuils automatiques et investigation humaine pour limiter les faux positifs
Un seuil d’alerte n’est pas un verdict. C’est un mécanisme de priorisation. Cette nuance évite deux erreurs : laisser passer des fraudes parce que l’on attend une preuve parfaite, ou couper des sources performantes parce qu’un indicateur isolé dépasse une limite. La fraude à l’attribution se détecte rarement avec un signal unique. Elle se prouve par faisceau d’indices : anomalies de clic, distribution temporelle, faible qualité post-conversion, duplication avec canaux propriétaires, absence de visibilité, incohérence géographique, comportements répétitifs et faiblesse de l’incrémentalité.
Une architecture efficace combine règles déterministes et scoring probabiliste. Les règles déterministes bloquent ou signalent des cas évidents : clic après conversion, conversion avant impression, installation en moins de 3 secondes après clic, adresse email invalide, device ID dupliqué à grande échelle, seller non autorisé. Le scoring probabiliste attribue un score de risque à partir de plusieurs variables : délai, fréquence, source, device, historique, qualité de visite, rétention, marge, taux d’anomalies. Une source n’est pas sanctionnée pour un seul écart, mais pour accumulation de signaux.
Les seuils peuvent être structurés selon une logique de feux tricolores. Alerte verte : comportement dans l’intervalle attendu, aucun correctif. Alerte jaune : déviation modérée, suivi renforcé et demande de transparence. Alerte orange : anomalie persistante ou impact financier significatif, plafonnement et test contrôlé. Alerte rouge : risque élevé, suspension temporaire, retrait des conversions suspectes du reporting et revue contractuelle. Cette gradation évite de transformer chaque fluctuation en crise opérationnelle.
Pour réduire les faux positifs, il faut intégrer des tests de réintégration. Une source exclue ou plafonnée peut être retestée sur un périmètre contrôlé, avec budget limité, attribution resserrée, logs complets et KPI business. Si la performance nette revient à un niveau acceptable et que les signaux suspects disparaissent, la source peut être réhabilitée. Si les anomalies réapparaissent, l’exclusion est documentée. Cette discipline est importante car les partenaires évoluent : un sous-affilié peut être supprimé, un SDK corrigé, un inventaire nettoyé, un deal restructuré.
Les seuils doivent aussi être liés aux contrats. Un annonceur peut définir que les conversions associées à certaines anomalies ne sont pas rémunérables : clics hors fenêtre valide, leads invalides, doublons CRM, conversions annulées, installations non ouvertes, ventes retournées ou trafic provenant de sous-partenaires non déclarés. Sans clause contractuelle, la détection crée des débats mais peu d’effet économique. La gouvernance doit préciser qui arbitre : marketing, acquisition, trading, finance, juridique, data ou agence.
Conclusion : une matrice de seuils doit protéger l’algorithme autant que le budget
Définir des seuils d’alerte pour la fraude à l’attribution revient à protéger la chaîne de décision marketing. Le risque ne se limite pas aux commissions indues ou au budget média gaspillé. Il touche la qualité du signal envoyé aux plateformes, la lecture du funnel, la rémunération des partenaires, la confiance dans le reporting et la capacité de l’organisation à investir dans les bons leviers. Une conversion frauduleusement attribuée peut déplacer plus de valeur qu’une impression invalide, car elle influence directement les modèles d’enchères, les budgets et les arbitrages de croissance.
Une approche actionnable peut s’organiser en huit étapes. Premièrement, classifier les formes de fraude à surveiller : click spamming, click injection, cookie stuffing, post-view abusif, attribution hijacking et leads synthétiques. Deuxièmement, construire des baselines par canal, format, device, audience et objectif, plutôt que d’utiliser un seuil global. Troisièmement, définir des seuils techniques sur CTR, délais clic-conversion, part post-view, ratios conversion et anomalies de logs. Quatrièmement, ajouter des seuils business sur leads invalides, annulations, marge, nouveaux clients, rétention et LTV. Cinquièmement, adapter les seuils au mobile, à l’affiliation, au programmatique, au retail media et au search. Sixièmement, combiner règles automatiques et scoring de risque afin de limiter les faux positifs. Septièmement, contractualiser les événements non rémunérables et les obligations de transparence. Huitièmement, mesurer l’incrémentalité avec holdouts, geo-tests ou analyses de cohortes lorsque l’impact financier le justifie.
Les ordres de grandeur utiles ne doivent pas être appliqués mécaniquement, mais ils donnent une base de départ : alerte sur CTR trois à cinq fois supérieur à la médiane du segment, investigation des conversions en quelques secondes après clic, revue des partenaires dépassant 40 % de conversions post-view en performance, alerte forte au-delà de 20 % de leads invalides, contrôle des sources dont les retours ou annulations dépassent de 50 % le benchmark, et plafonnement des partenaires concentrant une part disproportionnée des conversions sans preuve d’incrémentalité.
La maturité consiste à ne pas confondre seuil et sanction. Un seuil doit déclencher une question précise : quelle source crée l’anomalie, quel mécanisme l’explique, quel montant est exposé, quelle preuve manque, quelle action réduit le risque sans dégrader la croissance ? Les organisations les plus avancées ne cherchent pas seulement à détecter la fraude après coup. Elles conçoivent leur attribution, leurs fenêtres, leurs contrats, leurs flux de données et leurs algorithmes pour rendre la captation opportuniste plus difficile. C’est à ce niveau que les seuils d’alerte cessent d’être un reporting de conformité et deviennent un instrument de pilotage économique.
