La mauvaise nouvelle d’abord
Google Ads ne vous communique pas les adresses IP des personnes qui cliquent sur vos annonces. Ni dans l’interface, ni dans les rapports, ni via l’API. C’est une décision de conception liée à la protection des données des utilisateurs, et il n’existe aucun moyen de l’obtenir depuis la plateforme.
Paradoxe frustrant : Google Ads vous permet d’exclure jusqu’à 500 adresses IP par campagne, mais ne vous dit pas lesquelles exclure. C’est précisément ce vide que les outils anti-fraude comblent.
Méthode 1 : les journaux de votre serveur web
Votre hébergeur enregistre chaque requête reçue avec l’adresse IP source, la date, la page demandée et le référent. Sur un hébergement mutualisé, ces journaux sont accessibles depuis le panneau de contrôle, souvent dans une section « Statistiques » ou « Logs bruts ».
Pour isoler le trafic publicitaire, cherchez les requêtes dont l’URL contient le paramètre gclid : c’est l’identifiant que Google ajoute automatiquement à chaque clic sur une annonce.
Limites : les journaux sont volumineux et pénibles à exploiter manuellement, ils sont souvent purgés au bout de quelques jours, et ils ne vous disent rien du comportement du visiteur sur la page. Vous saurez qu’une adresse est venue, pas si elle s’est comportée comme un humain.
Méthode 2 : Google Analytics — ce qui est possible et ce qui ne l’est pas
Google Analytics n’affiche pas les adresses IP. C’est une limitation volontaire et définitive : elles sont collectées pour la géolocalisation puis écartées, et aucun réglage ne permet de les faire apparaître dans les rapports.
Ce qu’Analytics vous donne en revanche : le fournisseur d’accès, la ville, la durée de session, le nombre de pages vues et le taux de rebond. C’est insuffisant pour bloquer quoi que ce soit, mais suffisant pour repérer une anomalie et savoir qu’il faut creuser.
Méthode 3 : un script de suivi sur vos pages
C’est la seule approche qui capture à la fois l’adresse et le comportement. Une balise JavaScript placée sur vos pages enregistre, à chaque visite issue d’une annonce, l’adresse IP, l’empreinte du navigateur, les mouvements de souris, le temps passé et la profondeur de défilement.
C’est le principe de Cerbads : le script identifie les visiteurs porteurs d’un gclid, calcule un score de risque à partir de sept familles de signaux, et transmet automatiquement les adresses au-delà du seuil vers votre liste d’exclusion Google Ads via l’API officielle.
L’avantage décisif sur les journaux serveur : une adresse n’est bloquée que si son comportement est anormal, pas parce qu’elle est apparue plusieurs fois.
Ce que le RGPD autorise
Une adresse IP est une donnée à caractère personnel au sens du RGPD. Vous pouvez néanmoins la traiter pour prévenir la fraude, sur la base de l’intérêt légitime, à quatre conditions :
- La finalité est précise et limitée — ici, la protection contre la fraude publicitaire.
- La durée de conservation est proportionnée. Cerbads anonymise les adresses après 24 heures et ne conserve ensuite qu’une empreinte non réversible.
- Le traitement figure dans votre politique de confidentialité.
- Les données ne sont pas réutilisées à d’autres fins, notamment publicitaires.
La détection de fraude est un cas d’usage explicitement reconnu comme intérêt légitime. Ce qui ne l’est pas : conserver indéfiniment des adresses identifiables ou les croiser avec d’autres fichiers pour profiler des individus.
Une adresse seule ne prouve rien
Même en disposant des adresses, la décision d’exclusion reste délicate. Les connexions résidentielles changent d’adresse régulièrement, les réseaux mobiles partagent une même adresse entre des milliers d’abonnés, et une entreprise entière peut sortir par une seule adresse publique.
Exclure sur la seule répétition d’une adresse vous fera perdre de vrais clients. C’est pourquoi le nombre de clics ne doit jamais être le seul critère. Si vous voulez analyser une adresse précise repérée dans vos journaux, notre vérificateur d’adresse IP vous indique gratuitement s’il s’agit d’un VPN, d’un proxy ou d’un centre de données.
À retenir
Google Ads ne vous donnera jamais ces adresses. Les journaux serveur les contiennent mais sans contexte comportemental. Un script de suivi reste la seule méthode qui relie une adresse à un comportement — et c’est le comportement, pas l’adresse, qui distingue un robot d’un client.
