Installer un captcha ne suffit pas à protéger un formulaire des faux leads. La protection commence à l’envoi, avec un filtre qui garde la trace de chaque refus, et se poursuit dans le suivi de la qualité des leads.
Commencez par vérifier que votre site contrôle vraiment le captcha. Un captcha comme reCAPTCHA v3 ne bloque rien par lui-même : il remet au formulaire un jeton, un code à usage unique. Le serveur le vérifie auprès de Google, récupère la note de risque et contrôle l’action attendue. Il applique ensuite votre règle de rejet ou de mise de côté.
Sans cette vérification, un robot peut envoyer ses données directement au serveur, sans passer par la page. Le badge reCAPTCHA affiché ne protège alors rien.
D'où viennent les faux leads ?
Chaque source de faux leads demande une correction différente. Deux protections reviennent dans le tableau : le code SMS, et le champ piège (honeypot), un champ invisible pour le visiteur que certains robots remplissent.
| Source | Comment la repérer | Ce qu'elle contourne | Correction prioritaire |
|---|---|---|---|
| Robot | Envoi très rapide, e-mail généré, champs remplis d’un coup | Parfois le champ piège ; le captcha non vérifié par le serveur | Champ piège, vérification serveur, temps de saisie |
| Humain malveillant | Coordonnées plausibles, incohérences répétées, envois groupés sur une même plage horaire | Le champ piège ; le code SMS ajoute un effort sans prouver l’origine | Contrôles à l’envoi, recherche des répétitions par adresse IP ou coordonnée, puis verdict commercial |
| Curieux ou farceur | Saisie à la main, e-mail fantaisiste sur un domaine valide, un seul envoi | Tout : c’est un comportement humain | Tri après l’envoi |
| Erreur de saisie | Faute dans l’e-mail, mauvais indicatif, champ obligatoire mal compris | Tout : l’intention était réelle | Contrôle du format, message d’aide près du champ |
Les robots sont parfois les plus faciles à filtrer, mais leur coût dépend de leur volume et du moment où vous les arrêtez. Sans ce classement par source, votre filtre risque d’écarter de vrais prospects.
Comment les faux leads faussent vos enchères
Un faux lead peut d’abord vous coûter un clic, s’il provient d’une annonce et que ce clic est facturé. Il peut ensuite fausser vos enchères, avec un effet qui dure au-delà de l’envoi.
Si vous suivez l’envoi du formulaire comme conversion principale, il sert aux enchères lorsque son objectif est retenu. Une action secondaire sert aux rapports, sauf si un objectif personnalisé l’utilise pour les enchères.
Si le faux lead est compté comme conversion principale, il entre dans l’historique qui aide Google à estimer la probabilité et la valeur d’une conversion. Les enchères peuvent alors favoriser des clics qui mènent à des envois faciles, mais sans valeur commerciale.
Bloquer le spam, mais garder une trace
Rejeter un envoi sans noter sa source ni son motif donne une boîte de réception propre. Mais personne ne sait alors quelle campagne amène ces faux envois, ni quel filtre écarte de vraies demandes.
Rejetez l’envoi suspect ou mettez-le de côté avant qu’il n’entre dans votre CRM, et avant qu’une conversion principale ne se déclenche. En parallèle, un journal minimal note :
- l’heure de l’envoi ;
- la campagne ou la source, si elle est connue ;
- la règle qui s’est déclenchée ;
- la décision finale.
Vous mesurez ainsi le coût du spam sans le laisser devenir un lead.
Protéger le formulaire en trois étapes
La première étape protège le formulaire, la deuxième examine chaque envoi et la troisième retire de Google Ads une conversion déjà comptée. Le point de départ est ce que fait vraiment votre outil.
Ce que votre extension de formulaire ne fait pas
Sur WordPress, WPForms, Gravity Forms, Contact Form 7 ou Akismet sont des outils, pas une protection complète. Leurs fonctions varient selon la version, les modules ajoutés et le captcha choisi. Dans votre outil, contrôlez :
- la configuration réellement active ;
- la vérification réellement faite par le serveur ;
- ce qui se passe quand un contrôle échoue ;
- la tenue d’un journal des refus.
Un outil sans code ou un site fait sur mesure suivent la même règle. Avant de régler reCAPTCHA, hCaptcha, Cloudflare Turnstile ou un autre captcha, notez le seuil s’il y en a un, l’action en cas de rejet et les données conservées. Si vous acceptez des pièces jointes, bloquez les formats dangereux et analysez les fichiers avant de les stocker.
Adresses IP, empreintes d’appareil, numéros de téléphone et journaux de rejet peuvent être des données personnelles, ou reposer sur des traceurs. Documentez le but du traitement, sa base légale, les personnes qui y accèdent et la durée de conservation. Pour le captcha, relevez les traceurs réellement déposés : ce sont eux que visent les règles de consentement de la CNIL. La sécurité ne justifie pas de tout garder sans limite.
Étape 1 : champ piège, captcha et contrôle serveur
Cette première étape filtre des envois automatiques en combinant :
- Un champ piège, invisible et inaccessible pour le visiteur, qui repère certains robots remplissant tous les champs.
- Une vérification par le serveur, en plus du contrôle fait dans le navigateur.
- Un captcha, comme reCAPTCHA ou Cloudflare Turnstile, dont le jeton est systématiquement vérifié par le serveur.
Ces contrôles réduisent les envois automatiques, sans établir l’intention commerciale. ReCAPTCHA et Turnstile exigent tous deux une vérification par le serveur, qui doit refuser toute requête sans jeton valide. Le serveur doit aussi vérifier et nettoyer les autres champs avant tout traitement.
Étape 2 : vérifier chaque envoi
Le format des champs et le champ piège ne suffisent pas à juger un envoi. Au clic sur « Envoyer », plusieurs contrôles se combinent.
Repérez les adresses e-mail jetables en comparant leur domaine à une liste de services temporaires tenue à jour. Une extension comme .top ou .xyz ne prouve rien à elle seule, et rejeter sur ce critère écarterait de vraies demandes. Le domaine se juge avec les répétitions, le contenu et le verdict commercial.
Mesurez le temps de saisie entre l’affichage de la page et l’envoi, puis fixez l’alerte d’après les délais réels de votre formulaire. Le remplissage automatique du navigateur peut accélérer un humain, tandis qu’un robot peut attendre. Ce temps ne s’interprète donc qu’avec les répétitions et la cohérence des champs.
Regardez le pays déduit de l’adresse IP si votre activité est locale, sans rejeter un envoi sur ce seul critère. Un VPN ou un déplacement légitime brouille cette information. Comparez-la à la zone déclarée et à la langue du formulaire. Mesurez les vraies demandes écartées avant d’activer un filtre par pays.
Réservez le code SMS aux leads à fort enjeu. Envoyé avant l’enregistrement, il vérifie l’accès au numéro à cet instant et repère certaines erreurs de saisie. Il ne prouve ni une intention d’achat ni une réponse au prochain appel. L’effort demandé au visiteur est réel : gardez-le pour les cas où la qualité compte plus que le volume.
Testez enfin le formulaire au clavier et avec un lecteur d’écran, y compris l’expiration du défi et la possibilité de réessayer. Un contrôle qui bloque sans souris ou expire trop vite écarte des personnes légitimes, notamment en situation de handicap. Le message d’erreur doit être lu par le lecteur d’écran, et une solution de rechange accessible doit exister.
- À l’affichage, notez l’heure d’ouverture de la page.
- À l’envoi, le serveur vérifie le jeton, puis applique votre seuil de temps. Une alerte isolée met l’envoi de côté, sans rien prouver.
- Sur le serveur, le domaine de l’e-mail et le format du téléphone sont contrôlés selon l’indicatif.
- Si besoin, envoyez le code SMS et ne comptez la conversion que s’il est confirmé.
- Pour corriger plus tard, donnez un identifiant unique au lead et transmettez-le comme identifiant de transaction avec la conversion, en gardant les identifiants de clic disponibles.
Étape 3 : retirer une conversion déjà comptée
Quand un lead déjà compté se révèle faux, un ajustement de type RETRACTION retire la conversion et sa valeur des rapports Google Ads. Pour que les enchères en tiennent compte, Google indique un délai de sept jours après le premier enregistrement. Les rapports restent ajustables au-delà, dans le délai autorisé.
Ce retrait se prépare dès l’envoi, parce qu’il dépend de l’identifiant enregistré avec la conversion d’origine. Pour ajuster une conversion de site web, Google Ads exige un identifiant de transaction unique (order_id). Pour une conversion hors ligne sans identifiant de transaction, le GCLID et l’heure de conversion peuvent suffire. Une conversion liée à un GBRAID exige l’identifiant de transaction. Le WBRAID n’est pas accepté pour cet ajustement.
Sans identifiant compatible, votre suivi des conversions ne peut pas corriger proprement la conversion. Stockez donc l’identifiant de chaque lead dans le CRM, et vérifiez la méthode réellement utilisée avant de compter sur un retrait.
Cinq erreurs à corriger sur vos formulaires
- Prendre le champ piège pour une preuve. Un robot ciblé peut l’ignorer, et le remplissage automatique peut le remplir par erreur. Servez-vous-en pour rejeter ou mettre de côté selon vos tests, pas pour conclure seul.
- Ne pas limiter le nombre d’envois. Sans plafond par adresse IP, session ou appareil sur une période donnée, une même personne peut répéter les envois jusqu’à saturer votre liste de leads.
- Laisser le champ piège lisible par un lecteur d’écran. Un champ seulement masqué à l’écran, mais encore atteignable au clavier ou lu à voix haute, peut bloquer un vrai visiteur. Masquez ce champ avec
hiddenoudisplay:none, puis testez son absence au clavier et au lecteur d’écran, en plus de la vérification serveur. - Confondre l’apparence et la protection réelle. Un badge ou un logo Akismet ne dit pas quels contrôles sont actifs. Vérifiez la configuration réelle de l’outil.
- Oublier le test en conditions réelles. Le test couvre un envoi valide, un jeton absent, un jeton expiré et un rejet commercial, chacun suivi jusqu’au journal et à la conversion Google Ads.
Repérer la campagne qui amène les faux leads
Avant d’accuser le formulaire ou une campagne, classez les envois suspects dans votre CRM par formulaire, campagne, réseau et pays. Deux sources sont à examiner à part, sans les condamner d’avance.
Les partenaires du Réseau de Recherche : la part de faux leads y est-elle nettement plus forte, à période et ciblage comparables ? Coupez alors ce réseau un temps sur une campagne et comparez. Reliez l’écart aux leads rejetés dans le CRM, pas à un ressenti.
Performance Max : son rapport des emplacements sert à vérifier que les contenus qui affichent vos annonces conviennent à votre marque. Google précise qu’il n’est pas exhaustif : il aide à repérer un contexte indésirable, pas à désigner seul la cause d’un faux lead.
La preuve utile reste le rapprochement entre la campagne, l’identifiant du lead et le verdict commercial. Isolez une source seulement si l’écart est net, puis renforcez le formulaire.
Mesurer votre vrai taux de faux leads
Le journal donne le chiffre que le blocage silencieux faisait disparaître, et montre où se concentre le problème.
Les deux taux à suivre
- Le taux de rejet technique correspond aux envois arrêtés ou mis de côté, divisés par tous les envois.
- Le taux de faux leads confirmés correspond aux leads confirmés comme faux après qualification, divisés par les leads transmis à votre équipe commerciale.
Suivez-les chaque mois, par source, sans les confondre. Le seuil d’alerte se fixe selon votre secteur, votre volume et la valeur d’un lead. Ce qui compte, c’est l’écart dans le temps et entre sources : une hausse soudaine déclenche une enquête, pas une conclusion.
Recalculez aussi le coût par lead de chaque source après qualification. Par exemple, si une campagne coûte 1 000 € et amène 20 leads dont 5 faux, son coût par lead passe de 50 € à environ 67 €. Le coût par lead global du formulaire ne suffit plus dès qu’une source concentre les rejets.
Quand la protection de base suffit
Si les envois suspects sont rares, un champ piège, un captcha vérifié par le serveur, des contrôles stricts et un journal peuvent suffire. Même bien réglée, la protection laisse passer quelques robots et humains malveillants. Le but n’est donc pas zéro faux lead, mais des faux leads repérés et écartés des conversions utilisées pour les enchères.
Choisir un outil de protection contre le spam
Choisissez vos outils après avoir défini les trois étapes, les motifs de rejet et les traces conservées. Pour le visiteur, la protection doit ajouter le moins d’effort possible ; côté serveur, chaque décision doit rester vérifiable. Un tri plus fin après l’envoi, par la notation des leads dans le CRM, classe ensuite chaque demande selon ses chances de devenir un client.
