La problématique des faux clics

Photo de Christian Wagner sur Unsplash.com.

« L’attaque des robots cliqueurs », c’est ainsi qu’aurait pu s’appeler un film sur ce sujet. Le pitch ? « Une armée de robots attaquent vos e-mailings et gonflent artificiellement vos statistiques ». Vendeur, non ?

Nous allons aborder dans cet article un sujet méconnu du grand public qui concerne les résultats de vos campagnes d’e-mailing. Nous allons vous expliquer comment et pourquoi des robots viennent polluer vos statistiques, et comment vous en prémunir autant que possible. Vous êtes prêts ? C’est parti.

Un petit rappel avant de commencer

L’e-mailing, c’est génial : vous pouvez contacter, pour un budget limité et très facilement, des milliers d’abonnés en quelques clics. Encore mieux : après l’envoi, vous obtenez tout un ensemble de statistiques extrêmement intéressantes qui, bien exploitées, permettent d’améliorer vos résultats, campagne après campagne.

Cela vous surprendra peut-être mais les techniques utilisées pour récupérer les statistiques sur vos envois n’évoluent que très peu. Nous allons ici nous intéresser au tracking des clics (qui a cliqué et sur quoi ?). Eh bien, sachez que la technique de comptabilisation des clics n’a quasiment pas changé ces dernières années. Il y a bien eu quelques améliorations à la marge (pour remonter plus d’informations notamment) mais la technique est toujours la même : la redirection.

Voici comment sont comptabilisés les clics sur les liens de vos e-mails :

Un lien présent dans votre e-mail comme celui-ci : https://www.monsite.com/contact est transformé, par votre routeur, à l’envoi en : https://www.domainedetracking.com/script_de_tracking?[paramètres_du_routeur]&url=https://www.monsite.com/contact (C’est très schématique, en réalité l’URL est souvent chiffrée et / ou encodée mais le principe est là)

Cela permet, lorsqu’un utilisateur clique sur l’un de vos liens, d’enregistrer le clic sur le serveur de tracking et de rediriger ensuite l’utilisateur instantanément sur votre site internet. C’est transparent et quasi invisible pour le destinataire. Bref, rien de bien compliqué. Et c’est justement parce que c’est très simple que cela peut facilement être perturbé, d’autant plus si des milliers de robots s’y mettent. Intrigués ? Lisez la suite !

L’armée de l’ombre des robots

Quand je parle de robots, certains voient la boîte de conserve motorisée. Ce n’est pas du tout cela. Ce que nous appelons les robots, ce sont des processus automatisés (sacrément moins vendeur le nom … du coup, on va garder « robots ») qui effectuent des actions sur vos messages. La plupart ne le font pas dans le but de nuire : il s’agit presque exclusivement de robots intégrés aux antispams qui équipent les destinataires de vos campagnes.

Pour s’assurer que derrière vos liens ne se cachent pas un site de phishing, d’arnaque ou même un virus, certains antispams vont vérifier les liens de votre message en « cliquant » dessus. Et là, vous voyez où je veux en venir : les systèmes de tracking des routeurs vont comptabiliser les clics sur vos campagnes, alors qu’il n’y a pas d’action « réelle ». Du coup, les statistiques sont gonflées artificiellement…

Pas de panique pour autant, les routeurs ont mis en place des techniques qui permettent de s’assurer que les « dégâts » soient minimisés. Deux techniques souvent utilisées :

1. La détection d’une « signature » : Certains antispams ont la délicatesse de s’annoncer techniquement comme tel au moment du clic (via un user-agent pour ceux que ça intéresse). Les routeurs peuvent donc les identifier et, par exemple, les laisser aller sur la page de destination sans enregistrer le clic.
2. La détection d’une modification de l’URL de tracking : Certains antispams modifient l’adresse de tracking en changeant les paramètres. Les routeurs disposent de techniques qui leurs permettent de détecter cela et de ne pas enregistrer le clic.

Ces techniques (et plusieurs autres) permettent aux routeurs de limiter les dégâts occasionnés par ces robots mais, vous l’aurez compris en regardant les deux exemples ci-dessus, cela nécessite que les robots soient suffisamment « gentils » pour qu’ils nous permettent de les détecter. Et, gentils, les robots le sont de moins en moins…

Le robot nouvelle génération (aka « le robot contre-attaque »)

Alors, autant le dire tout de suite… ce robot n’est pas très cool. Les éditeurs de solutions antispams se sont rendu compte qu’en étant « sympas » avec les routeurs, ils l’étaient également, de facto, avec certains spammeurs / arnaqueurs (j’ai d’autres qualificatifs mais restons polis).

Ils ont donc durci le ton ces dernières années. Aujourd’hui, ces robots deviennent, à priori (lire la suite, quel suspens !), indétectables :

• Ils ne modifient plus les liens de tracking.
• Ils ne s’annoncent plus techniquement.
• Pire, ils ont tendance à se présenter comme un internaute « lambda » différent à chaque appel (ils modifient leur comportement pour ne pas se faire repérer facilement).

Cela rend bien évidement la tâche plus ardue aux spammeurs pour les contourner… mais, du coup, les routeurs ont beaucoup plus de mal à faire le tri et les statistiques des utilisateurs se retrouvent plus facilement faussées par ces solutions. Et si certains éditeurs acceptent de nous communiquer des solutions pour les identifier, c’est loin d’être le cas de la majorité, ce qui est, ceci dit, parfaitement compréhensible (à chacun ses petits secrets).

Le retour du routeur

Malgré tout le respect que nous portons à ces solutions de sécurité et leur rôle indispensable pour assurer la protection des boites e-mails, les solutions d’e-mailing ont dû s’adapter face à la menace que représente la pollution des statistiques des utilisateurs (si vous trouvez que « menace » est un peu fort, lisez le dernier paragraphe de cet article). Pas toutes, ceci-dit. Certaines ont ignoré le problème, d’autres ont clairement annoncé que vu l’ampleur de la tâche et la difficulté, ils abandonnaient (et je ne vous parle pas de petits routeurs – https://mailchimp.com/fr/help/troubleshooting-click-tracking/).

Pour notre part, chez Oxemis, nous avons décidé de lutter contre. Belle décision, bravo ! Mais dans la pratique… Vous trouverez ci-dessous notre retour d’expérience sur le sujet, en espérant que cela puisse servir à d’autres !

Il y a les bons et les mauvais chasseurs

Comment détecter qu’un robot qui essaye de se faire passer pour un destinataire légitime n’en est pas un ? Nous avons longtemps réfléchi à cette question et avons finalement décidé d’exploiter notre mine d’or : l’ensemble des données statistiques générées par notre plateforme. En l’espace de plusieurs mois, nous avons analysé des millions d’enregistrements pour essayer d’en détecter des patterns (modèles comportementaux), des signatures… bref, des indices qui semblaient indiquer la présence d’un robot.

1. Première conclusion de notre recherche (et c’est la base de tout) : il très difficile, lors du premier clic du robot, de le détecter en tant que tel. Lorsqu’il se présente, il agit comme un internaute, nous devons donc enregistrer son premier clic et potentiellement les suivants, jusqu’à disposer d’assez de données pour détecter un comportement « anormal » ou « suspect ». Cela signifie donc que, en plus de détecter des robots, il nous faut, a posteriori, détecter les « faux-clics » générés précédemment par ces robots et les retirer des statistiques de nos utilisateurs.
2. Deuxième conclusion : certains robots sont très élaborés. Nous avons rapidement réussi à exclure les robots de type « speedy gonzales » qui cliquent sur l’ensemble des liens du message en moins d’une seconde. Par contre, d’autres sont beaucoup plus « vicieux » (ou élaborés selon le point de vue) et vont « cliquer » sur certains liens du message, à une fréquence plus « humaine »… Cette deuxième conclusion nous a amenés à réaliser une analyse des sources des clics enregistrés sur les centaines de millions de messages que nous avons envoyés durant une période donnée. Et là, magie des analyses croisées (et du cerveau brillant de nos ingénieurs !), nous avons réussi à constituer une base de sources (adresses IP, réseau…) représentant plusieurs milliers de robots. Les connaissant, il nous a été possible, grâce aux registres des IP notamment, de remonter aux différents éditeurs et d’en « cartographier » les robots.

« On ne va quand même pas faire ça à chaque fois ? »

Réaction légitime de l’équipe quand les premiers résultats sont tombés. Bien sûr que non, nous n’avons pas que cela à faire et après tout, on travaille dans l’informatique alors autant faire bosser d’autres robots ! Nous avons donc développé des processus automatisés qui analysent ces quantités phénoménales de données que représentent les statistiques de tracking pour identifier de nouveaux robots.

Mais ce n’est pas tout, il faut aussi s’assurer, régulièrement, que les machines que nous avons identifiées comme étant des robots le sont toujours. Bref, un travail titanesque qui ne peut être réalisé que par des algorithmes que nous avons écrits mais qui agissent sous la supervision d’un membre de notre équipe (l’IA c’est bien, l’humain c’est bien aussi…).

Quelques conclusions importantes

Les « faux-clics » sont véritablement un problème pour l’e-mailing. Non seulement car cela perturbe les résultats des expéditeurs mais aussi parce qu’ils ont pour effet de rendre caduques certaines « bonnes pratiques » que nous inculquons à nos utilisateurs. Un exemple concret : nous insistons auprès de nos utilisateurs pour qu’ils ne conservent que les destinataires qui réagissent positivement à leurs messages, autrement dit ceux qui cliquent régulièrement sur les liens de leurs e-mails.

Et là, vous l’aurez compris, sans traitement des faux-clics, cette stratégie, pourtant dans les « best practices » de la profession, perd tout son sens. Si un robot « s’amuse » à cliquer sur les liens d’un message et qu’il n’est pas identifié en tant que tel, l’e-mail qu’il est sensé protéger est considéré comme « réactif » et continuera à recevoir des messages alors qu’il aurait été supprimé de la base des destinataires si le robot n’avait pas été là. Donc, en protégeant l’utilisateur, le robot empêche l’expéditeur de suivre une des bonnes pratiques les plus unanimement recommandées.

Un autre exemple ? Le lien de désabonnement… Jusqu’à il y a peu, nous proposions deux méthodes de désabonnement à nos utilisateurs : avec ou sans confirmation. Sans confirmation le désabonnement se réalisait en 1 clic sur le lien. Même si nous avons constaté que la plupart des robots essayent d’éviter le lien de désabonnement, ils n’y arrivent pas toujours et peuvent désabonner certains destinataires sans raison. Nous avons donc, par précaution, supprimé le désabonnement sans confirmation et l’internaute doit maintenant valider sa demande en cliquant sur un bouton…

Bref, même si l’intention est bonne, les conséquences peuvent-être désastreuses. Raison pour laquelle nous recommandons fortement à nos confrères de mettre en place une stratégie similaire pour réduire au maximum ces faux clics. Il faut dire que ce n’est pas non plus très vendeur, certains de nos utilisateurs qui étaient très impactés par les clics de robots ont vu leur taux de clic baisser et parfois fortement… Mais qu’est-ce qui est préférable ? Se féliciter de résultats faussés ou affronter la réalité ?