Comment identifier le trafic invalide d’un site web à l’étranger à partir des journaux d’accès

Lorsque le trafic de votre site web à l’international augmente sans entraîner davantage de demandes de renseignements, commencez par rechercher les requêtes anormales dans les journaux d’accès : quelles sources visitent le site de façon répétée, quelles pages elles demandent, si leurs intervalles sont réguliers et si elles atteignent des points de conversion tels que les formulaires. Pour identifier le trafic non valide d’un site web à l’international, il faut croiser plusieurs indices. Une adresse étrangère, une fréquence de visite élevée ou l’absence de demandes de renseignements ne suffisent pas, à elles seules, à conclure que le trafic n’est pas valide. Les visites réelles, les robots d’exploration légitimes, les scans malveillants et la fraude publicitaire laissent des indices différents dans les journaux.

Délimiter d’abord la portée des journaux pour ne pas confondre différences de mesure et anomalies

Les journaux d’accès enregistrent des requêtes, et non des visiteurs. Le chargement d’une page peut entraîner des requêtes pour des images, des scripts et des feuilles de style ; les outils d’analyse de pages dépendent, quant à eux, de l’exécution des scripts et des autorisations accordées. Une différence entre les chiffres des deux sources ne prouve pas qu’il y a eu génération artificielle de trafic.

Lorsqu’un réseau de diffusion de contenu est utilisé, les journaux du serveur d’origine peuvent ne consigner que les requêtes de récupération depuis l’origine et omettre les visites servies depuis le cache. Si l’adresse réelle du client n’est pas correctement configurée, l’adresse figurant dans les journaux peut également être celle d’un nœud proxy. Avant toute analyse, vérifiez la portée des journaux et ne faites confiance aux adresses client transmises que par les sources proxy configurées ; ne vous fiez pas directement aux champs de transfert présents dans des requêtes quelconques.

Conservez au minimum l’heure de la requête et son fuseau horaire, l’adresse client, la méthode de requête, le chemin, le code d’état, le nombre d’octets de la réponse, la page référente et l’identifiant du client. Si possible, ajoutez la durée de la requête, la décision du nœud périphérique et un identifiant de requête. Les paramètres de requête peuvent servir à suivre la source d’une campagne, mais évitez d’inscrire dans les journaux le contenu des formulaires, les mots de passe ou des informations personnelles complètes.

Des comportements de visite similaires ne nécessitent pas forcément le même traitement

Ces indices ont tous leurs limites. Le cache du navigateur réduit le nombre de requêtes de ressources statiques, et les programmes automatisés peuvent aussi exécuter des scripts. Dans un espace de travail partagé, plusieurs personnes peuvent utiliser la même adresse de sortie. L’identité d’un robot d’exploration peut également être usurpée : vérifiez-la en la comparant à ses plages d’adresses publiques ou en suivant la méthode de résolution DNS inverse et directe qu’il publie.

Analyser les anomalies à partir de trois catégories d’indices : fréquence, parcours et source

La fréquence doit être comparée aux références propres au site. Examinez d’abord le volume historique de requêtes pour le même jour de la semaine et une période horaire similaire, puis repérez les intervalles où il augmente brusquement. Après avoir comptabilisé les requêtes par adresse client, examinez aussi l’identifiant du client, les chemins demandés et les indices de session disponibles. Un grand nombre de requêtes vers des pages de produits en peu de temps depuis une même adresse peut correspondre à une collecte automatisée comme à des visites légitimes passant par une adresse de sortie partagée ; des intervalles fixes, des séquences répétées et une activité continue renforcent les soupçons d’automatisation.

Les chemins permettent de comprendre la nature du trafic. Des tentatives répétées d’accès à des interfaces d’administration inexistantes n’ont manifestement pas la même signification qu’une navigation entre des pages de catégories, des pages de produits et des pages de contact. Analysez séparément les requêtes de pages, de fichiers statiques et d’interfaces de programmation : le chargement d’images peut sinon gonfler la fréquence, et l’interrogation répétée d’une interface peut être confondue avec une navigation récurrente.

L’évaluation de la source nécessite des vérifications croisées. Le champ de la page référente peut être absent ou falsifié, et la localisation associée à une adresse ne prouve pas la position réelle du visiteur. Une visite provenant d’une zone située hors du ciblage d’une campagne peut s’expliquer par un réseau proxy, le transfert d’un lien ou une erreur de géolocalisation. Ce n’est qu’en y ajoutant des intervalles anormaux, des chemins sans rapport ou des comportements répétés à grande échelle qu’il convient d’augmenter le niveau de risque.

Les journaux peuvent repérer les visites suspectes, mais ne suffisent pas à prouver une fraude publicitaire

La présence de paramètres publicitaires dans une requête vers une page de destination indique uniquement que cette requête contenait ces marqueurs. Un lien copié, l’exploration par un robot ou le préchargement d’une page peuvent produire des enregistrements similaires. Pour évaluer la qualité du trafic payant, faites correspondre l’heure de visite de la page de destination, les paramètres de canal, l’identifiant de clic et les rapports publicitaires, puis associez ces données aux soumissions de formulaires, aux demandes de renseignements qualifiées ou aux commandes.

Pour aligner les heures, utilisez un fuseau horaire commun et distinguez l’heure du clic, l’heure d’arrivée sur le site et l’heure de conversion. Si un groupe de sources visite principalement une seule page de destination sans générer de requêtes ultérieures, vous pouvez le placer sous surveillance. Toutefois, le blocage des scripts, l’échec du chargement de la page ou l’interruption du suivi interdomaines peuvent également rompre la chaîne de comportement. Vérifiez d’abord que la page et la configuration de mesure fonctionnent correctement avant d’évaluer la qualité du trafic.

Les journaux ne permettent pas non plus de calculer directement la durée exacte de consultation. Après la dernière requête, le visiteur peut continuer à lire ; de même, un code d’état indiquant la réussite ne signifie pas que le contenu s’est affiché intégralement. « Une seule requête » ou « aucune conversion » peut servir de critère de sélection, mais pas de motif suffisant pour bloquer l’accès.

Valider les règles avant d’étendre le périmètre de blocage

Commencez par définir des règles de surveillance visant des chemins de scan clairement identifiés ou des fréquences durablement anormales. Consignez les requêtes qui déclenchent ces règles, puis décidez s’il convient de limiter le débit, d’imposer un contrôle d’accès ou de bloquer les requêtes. Pour les sources soupçonnées de générer du trafic artificiel, conservez les périodes concernées, des exemples de requêtes et les identifiants associés afin de pouvoir les comparer aux données de campagne. Ne bloquez pas une région entière au seul motif que son taux de conversion est faible.

Après l’activation des règles, vérifiez simultanément si les requêtes anormales diminuent, si les pages restent accessibles aux visiteurs légitimes, si l’exploration par les robots vérifiés n’est pas entravée et si les soumissions de formulaires fonctionnent normalement. Si le volume de requêtes diminue mais que les demandes de renseignements qualifiées baissent également, recherchez d’éventuels faux positifs. Prévoyez une méthode de désactivation pour toute nouvelle règle afin que chaque intervention puisse être reliée aux éléments qui l’ont justifiée.