En août, Manish Arora publie sur son blog un mode d’emploi pour détourner les revenus des publicités du réseau Google AdSense. Le magazine indien Digit le prend au sérieux et publie une enquête dans son numéro de novembre.

Arora, spécialiste de la sécurité informatique, commence à s’intéresser aux mécanismes d’AdSense fin 2006. Joint par téléphone, il raconte comment il a étudié le fichier Javascript qui génère les publicités (comme celles qui apparaissent sur Rue89, dans la colonne de gauche ci-contre) et décrypté les déterminants essentiels du processus. En quelques lignes de Javascript et de PHP, il est parvenu à générer des clics rémunérateurs sans afficher aucune pub. Total des gains : 5000 dollars en trente-cinq jours.

Selon lui, il n’a jamais imaginé récolter la somme. Au contraire, il avertit Google dès novembre 2006 et leur propose son code. En retour, Google clôture son compte automatiquement et assure mener l’enquête , affirmant que tout se passe exactement comme prévu.

D’après l’article de Digit, Google prétend que les chiffres et les captures d’écran présentés par Arora sont tout simplement faux. Google aurait même fait état d’une tentative de chantage de sa part. Pourtant, il affirme avoir reçu pour Noël (2006) le cadeau réservé aux meilleurs éditeurs, un lecteur MP3/MP4 aux couleurs de Google. Il l’a même pris en photo.

Grâce à sa méthode, pas besoin de posséder de site pour bénéficier des revenus publicitaires. Il suffit d’ouvrir un compte AdSense avec une URL bidon. Après qu’il m’ait communiqué le code, j’ai pu réitérer l’expérience en quelques minutes. Tout se passe sur cette page, qui reprend une vidéo de notre meilleur président. Vous n'y verrez rien de spécial, mais le code va faire croire à Google que certains visiteurs cliquent sur des liens sponsorisés (le taux de clic est maintenu à moins de 5% pour ne pas éveiller les soupçons).

Pour attirer du trafic, j’en ai fait la promotion sur certains Google groupes aux noms sulfureux :

La manip’ fonctionne toujours, apparemment. Quatre jours après, mon compte reste opérationnel et (faiblement) rémunérateur.

La fraude au clic, tout le monde en fait, du hacker mafieux au blogger qui demande à mémé de cliquer sur ses pubs. Selon les estimations, elle représenterait entre 2% et 50% du total.

L’histoire d’Arora révèle surtout à quel point Google se moque de ce problème. En l’espace de douze mois, Google n’a rien fait pour combler la faille exploitée ici. Arora affirme qu’il a mis le doigt sur un défaut fondamental du système. Peut-être. Mais quand on pèse 200 milliards de dollars en Bourse, et qu’on prétend employer les meilleurs informaticiens du moment, améliorer un morceau de Javascript ne devrait pas être insurmontable.

Les tribunaux américains se sont déjà penchés sur la question. Des annonceurs floués attaquent régulièrement Google et Yahoo pour facturation de faux clics. Les deux géants calment généralement le jeu en lâchant quelques millions aux plaignants.

En mars 2006, Google s’est sorti à l’amiable d’un recours en class action pour 90 millions de dollars. Pas cher payé, si l’on estime que les faux clics représentent un milliard de dollars de son revenu (en imaginant que 10% de faux clics produisent 10% du chiffre d’affaires).

A l’issu de ce procès, les parties ont demandé à un expert indépendant de juger si, oui ou non, Google combattait raisonnablement » la fraude. La réponse : oui ! (la réponse version longue existe, en PDF).

Malgré les procès à répétition, Google n’a que peu d’intérêt à combattre les fraudeurs. Lorsqu’un clic est enregistré, l’annonceur paye, puis Google partage la somme avec les éditeurs de sites. On comprend dès lors leur empressement modéré à ralentir le plumage des pigeons.

Chez ValleyWag, un site recensant les rumeurs qui trainent sur le web, Nicholas Carlon commentait l’affaire d’un laconique : La presse indienne découvre la fraude au clic . Joint par téléphone, il affirme que la fraude est un problème du passé. Il explique que Google l’a sérieusement briefé après un article sur le sujet. Les annonceurs victimes de la fraude seraient automatiquement remboursés et les comptes des fraudeurs fermés.

Dans un enregistrement qu’il m’a transmis, un membre de la team anti-click-fraud de Google explique à quel point les clics sont vérifiés et revérifiés par des algorithmes formidables. Pas mal. Mais il faut se rappeler, comme le fait cet excellent article de Business Week, que Google facturait deux fois les doubles-clics jusqu’en mars 2005. On a fait plus proactif.

Carlon s’est néanmoins montré surpris du comportement désinvolte de Google auprès des journalistes de Digit.

Contacté lundi matin, Google France assure que la faille découverte par Arora, si elle existait, serait très bizarre . Pas assez bizarre cependant pour y remédier et réagir aux problèmes de fond qu'elle soulève. On m'a garanti que l'équipe d'AdSense se penchera sur la question.

Si elle est avérée, une telle indifférence face aux fraudeurs risque de rendre la publicité en ligne aussi inefficace que la publicité traditionnelle. Hors ligne, impossible de savoir si le téléspectateur reste sagement assis pendant le tunnel de pub ou s’il en profite pour aller chercher un autre pack à la cuisine.

La vente au clic représente la moitié du budget pub en ligne. Las de la fraude, les annonceurs cesseront peut-être un jour de faire confiance au pay per click » . Google verrait alors ses revenus fondre, tout comme, et c’est plus grave, les éditeurs.

[Avant de poster un commentaire du type la pub, c’est mal, ça rend con , merci de transférer votre contribution à l’enquête sur mon compte Paypal. Montant à la discrétion du lecteur.]