La rédaction en direct
AFFHOUSE
Recevoir le brief
À la une
Interdiction des casinos sweepstakes : opérateurs, affiliésCas du sponsoring Stake : Everton, UFC, F1 et KickDépenses marketing des sportsbooks : DraftKings et FanDuelAffiliation SaaS : le cas Semrush à 680 k$ d’un blogueurJeux d’argent en Robux : pourquoi les affiliés sont exposésPrizePicks : le pick’em DFS devenu un business de 2,5 Md$Publicité popunder : 30 K$ en MENA, 1 536 FTD iGamingValeur vie du joueur : 9 125 $ de CPA, 61 376 $ de GGR
Base de connaissances11 min de lecture

Cookie stuffing : définition et vol de commissions d'affilié

Le cookie stuffing dépose un cookie d'affilié sans vrai clic et s'attribue le dernier clic sur des ventes qu'il n'a pas générées. Mécanique, affaires, droit et détection.

Publié Mis à jour

Cookie aux pépites de chocolat cassé révélant un circuit imprimé caché, sous les mots Cookie Stuffing Steals

Le cookie stuffing consiste à placer un cookie de tracking d'affilié dans le navigateur d'un visiteur sans vrai clic ni intention d'achat, afin que l'auteur encaisse la commission au dernier clic sur des ventes qu'il n'a pas générées. Le marchand paie pour un client qu'il aurait gagné de toute façon, et l'affilié qui a réellement apporté l'acheteur perd sa commission.

C'est une forme ancienne de fraude à l'affiliation, passée du code caché dans les pages aux extensions de navigateur.

En marketing d'affiliation et en publicité à la performance, un cookie de tracking devrait enregistrer un seul fait : une personne a choisi de cliquer sur le lien d'un partenaire. Le cookie stuffing rompt le lien entre ce choix et l'attribution. Le cookie, ou le tag qui remplit son rôle, est posé par du code que le visiteur ne voit jamais.

Comme définition de travail, cela couvre toute méthode qui dépose ou écrase un identifiant d'affilié sans action réelle de l'utilisateur. On parle aussi de cookie dropping ou de cookie forcing.

Les dégâts dépassent une vente isolée : les rapports du programme récompensent le mauvais partenaire, si bien que le budget et les meilleures conditions vont à la fraude.

Comment fonctionne l'attribution en affiliation, et pourquoi le stuffing rapporte

Le visiteur clique sur un lien de tracking qui porte l'ID de l'affilié. Le serveur de tracking enregistre le clic et stocke l'ID dans un cookie ou sous forme de click ID. Si le visiteur achète ou s'inscrit pendant la fenêtre d'attribution du programme, la vente est rattachée à cet ID. Que l'accord soit un CPA fixe ou un revenue share (en quoi ces modèles diffèrent), c'est cet enregistrement qui décide qui est payé.

Beaucoup de programmes ne créditent que le dernier clic d'affilié avant la vente : un cookie plus récent remplace donc l'ancien. C'est ce qui rend le stuffing rentable. Son auteur ne convainc personne ; il lui suffit que son ID soit dans le navigateur avant un achat qui allait avoir lieu.

Imaginons qu'un lecteur choisisse un opérateur de paris sportifs dans le tableau comparatif d'un site d'avis et commence à s'inscrire. À l'étape du dépôt, une extension de codes promo déclenche discrètement son propre lien d'affilié. Au dernier clic, le propriétaire de l'extension est payé pour le dépôt et le site d'avis ne touche rien.

Le cookie stuffing se cache dans le code des pages, les widgets, les redirections et des logiciels que le visiteur ne remarque jamais. Voici les schémas que surveillent les équipes conformité, décrits pour pouvoir les reconnaître, pas pour les copier.

  • Éléments de page cachés. Images invisibles, frames de taille nulle ou scripts qui appellent une URL de tracking en arrière-plan.

  • Outils et widgets gratuits. Du code intégré à un widget que d'autres éditeurs de sites embarquent, de sorte que les visites sur leurs pages déclenchent le lien du fraudeur. C'était la méthode de l'affaire eBay.

  • Redirections forcées, pop-ups et pop-unders. Le visiteur passe par un lien de tracking qu'il n'a jamais choisi.

  • Extensions de navigateur et applications. Des logiciels qui ajoutent un tag d'affilié, ou remplacent un tag existant par le leur, sur une page de boutique ou au checkout. Les accusations visant Honey et Phia portent sur ce schéma.

  • Domaines sosies et spam de liens. Des domaines à faute de frappe et des liens dans des forums ou des commentaires qui passent par une URL de tracking.

Les trois sont souvent mis dans le même sac, mais ils n'apparaissent pas de la même façon dans les données.

Cookie stuffingClick spammingClick injection
Ce qui se passeUn cookie ou tag d'affilié est posé ou remplacé sans vrai clicDes masses de faux clics sont déclarées dans l'espoir que certains utilisateurs convertissent plus tard d'eux-mêmesDu code malveillant dans une application déclenche un clic juste avant la fin d'une installation
OùProgrammes d'affiliation web, extensions de navigateurCampagnes d'installation d'applications et webCampagnes d'installation d'applications
Dans les donnéesClics sans impressions ni référents ; conversions quelques minutes après un clic, venant d'acheteurs déjà présents sur le siteRafales de clics presque sans conversions, sans regroupement autour d'un délai clic-conversion typiqueInstallations qui surviennent presque instantanément après le clic crédité

Les affaires documentées vont de peines de prison (eBay) à une action en justice en cours (Honey) et à un article de presse (Phia).

eBay : l'affaire qui s'est terminée par des peines de prison

Selon le US Attorney's Office du district nord de Californie, Brian Dunning a reconnu avoir mené, entre mai 2006 et juin 2007 environ, un système de cookie stuffing contre le programme d'affiliation d'eBay via sa société, Kessler's Flying Circus. Des applications gratuites sur deux de ses sites contenaient du code qui déposait dans le navigateur des visiteurs un cookie portant l'ID d'affilié de la société, alors qu'ils n'avaient pas cliqué sur un lien eBay.

Il a plaidé coupable de fraude électronique en avril 2013. Les commissions eBay de la société sur la période s'élevaient à environ 5,2 millions de dollars, et les deux parties ont convenu que 200 000 à 400 000 dollars provenaient du système. En août 2014, il a été condamné à 15 mois de prison ; aucune restitution n'a été ordonnée en raison d'un règlement civil distinct avec eBay.

Shawn Hogan, un autre affilié d'eBay poursuivi pour cookie stuffing, a plaidé coupable de fraude électronique et a été condamné en mai 2014 à cinq mois de prison fédérale, selon la presse.

Honey (PayPal) : des accusations dans une action en cours

À partir de fin 2024, des créateurs de contenu ont poursuivi PayPal devant un tribunal fédéral de Californie (affaire désormais jointe sous le nom In re PayPal Honey Browser Extension Litigation, n° 5:24-cv-09470). Ils affirment que l'extension Honey remplaçait leur tracking d'affilié par celui de PayPal au checkout, s'attribuant le dernier clic sur des ventes qu'ils avaient apportées. Leur plainte modifiée qualifie cela de cookie stuffing par redirections. PayPal conteste ces accusations.

En 2025, le tribunal a rejeté la première plainte en autorisant sa modification. Le 22 juin 2026, la juge Beth Labson Freeman a refusé la requête de PayPal visant à rejeter la deuxième plainte modifiée. Aucune de ces décisions ne tranche sur la véracité des accusations.

Phia : un article de 2026

En juillet 2026, Bloomberg a rapporté, selon Engadget qui a relayé l'information, que Phia, une application de shopping à base d'IA et extension de navigateur cofondée par Phoebe Gates et Sophia Kianni, avait associé son code d'affilié à des ventes qu'elle n'avait pas générées. Engadget a décrit une vidéo du chercheur Ben Edelman montrant le lien d'affilié de Phia « chargé de manière invisible dans un second onglet » sur iOS après qu'un utilisateur a visité le site d'un marchand. Phia a déclaré à Bloomberg que « dans une version récente, notre code provoquait des erreurs d'attribution » pour une partie des utilisateurs, et a indiqué que le problème était résolu. Il s'agit d'un article de presse, pas d'une décision de justice.

Le cookie stuffing peut être illégal, et sa gravité dépend du niveau : contrat, règles des plateformes, actions civiles ou droit pénal.

  • Conditions du programme. Les contrats d'affiliation l'interdisent généralement ; une infraction entraîne le plus souvent l'annulation des commissions et la fermeture du compte. Certains le nomment explicitement, comme un contrat Staples cité dans la plainte contre Honey. Les Associates Program Policies d'Amazon interdisent d'ouvrir une page Amazon autrement que par le clic d'un client sur un Special Link, ainsi que les Special Links dans des pop-ups ou pop-unders, les clics générés artificiellement et les Special Links dans des extensions de navigateur.

  • Règles des plateformes. La politique de Chrome Web Store sur les annonces d'affiliation, mise à jour en mars 2025, exige une action liée de l'utilisateur avant qu'une extension ajoute chaque code, lien ou cookie d'affilié, et interdit de remplacer un code d'affilié existant sans que l'utilisateur en ait explicitement connaissance.

  • Actions civiles. Les marchands ou les affiliés évincés peuvent poursuivre pour fraude, rupture de contrat ou concurrence déloyale. eBay a conclu un règlement civil avec Dunning, et les créateurs qui poursuivent Honey s'appuient en partie sur la loi californienne sur la concurrence déloyale.

  • Droit pénal. Dans l'affaire eBay, le parquet a poursuivi le cookie stuffing comme fraude électronique fédérale au titre du 18 U.S.C. 1343. Les affaires pénales restent l'exception ; la plupart des litiges se règlent au niveau du programme ou au civil.

Ceci est un résumé général, pas un conseil juridique.

Le cookie stuffing se détecte à travers des tendances sur de nombreuses conversions, pas sur une vente isolée qui semble étrange. Les programmes et les réseaux vérifient :

  • Délai clic-conversion. Des conversions groupées quelques secondes ou minutes après le clic, surtout quand la session a commencé sur le site du marchand via un autre canal.

  • Clics sans exposition. Aucune impression correspondante, aucun référent, ou une page référente sans lien visible.

  • Taux de conversion incohérents. Le taux de conversion ou l'EPC d'un partenaire bondit sans changement de trafic. Le stuffing à grande échelle montre l'inverse : un nombre de clics sans aucune proportion avec les ventes.

  • Schémas d'écrasement. Un même partenaire apparaît sans cesse comme dernier clic quelques minutes après le clic d'un autre partenaire.

  • Profil clients et regroupements. Une part anormalement élevée de clients récurrents, ou des clics concentrés sur les mêmes plages d'IP, user agents ou data centers.

  • Parcours de test. Des achats dans des navigateurs vierges et avec des extensions de codes promo populaires installées, en vérifiant quel ID arrive au checkout.

Les programmes de casino et de paris sportifs paient au premier dépôt ou en part des revenus du joueur : un cookie forcé fait donc payer à l'opérateur un coût d'acquisition pour un joueur que sa propre publicité de marque lui aurait apporté. Les conditions d'affiliation d'autres secteurs, comme celles d'Amazon et de Staples citées plus haut, interdisent ces méthodes, et les programmes iGaming suivent généralement le même modèle. Vérifiez les clauses sur le trafic interdit et l'annulation des commissions de chaque programme que vous rejoignez.

Dans les États américains régulés, l'affilié est lui aussi une partie régulée. La Division of Gaming Enforcement du New Jersey enregistre ou délivre une licence aux affiliés qui font du marketing pour les casinos en ligne, et la Pennsylvanie exige des affiliés de casinos en ligne une certification ou un enregistrement, selon leur mode de rémunération. Là-bas, un constat de fraude peut devenir une question de licence, et pas seulement un litige contractuel.

La première étape, ce sont les preuves : horodatages, click IDs et parcours de test qui montrent quel tag est arrivé au checkout.

Si vous êtes affilié :

  • Suivez la commission par marchand par rapport aux clics. Des commissions en baisse avec des clics stables sont le premier signe que vous êtes écrasé.

  • Testez vos liens avec des extensions courantes de codes promo et de cashback installées, et vérifiez que votre tag arrive au checkout.

  • Conservez horodatages, click IDs et captures d'écran, et envoyez-les à l'affiliate manager ou à l'équipe conformité du réseau.

Si vous gérez un programme :

  • Passez en revue chaque mois vos principaux partenaires sur le délai clic-conversion, la part de nouveaux clients et les référents.

  • Listez les méthodes interdites dans vos conditions, y compris les logiciels qui ajoutent ou remplacent des tags sans action de l'utilisateur.

  • Retenez les paiements assez longtemps pour pouvoir les vérifier, et auditez séparément les partenaires codes promo et cashback.

Oui, car la cible est l'enregistrement du clic, pas le cookie. Les navigateurs durcissent les règles sur les cookies depuis des années, et beaucoup de programmes stockent désormais un click ID et confirment les conversions via le tracking par postback. Cela change la mécanique, pas l'incitation. Un logiciel qui ouvre un lien de tracking dans un onglet caché, le schéma décrit plus haut dans l'article sur Phia, produit un clic qui paraît réel au tracker.

Questions fréquentes

Le cookie stuffing enfreint les conditions des programmes d'affiliation et peut fonder des actions civiles. Dans l'affaire eBay, le parquet américain l'a poursuivi comme fraude électronique fédérale et deux affiliés ont été condamnés à de la prison.

L'exemple de cookie stuffing le plus connu est l'affaire eBay : en 2006 et 2007, les outils web gratuits d'un affilié déposaient le cookie eBay de sa société dans le navigateur des visiteurs sans aucun clic sur un lien eBay. Il a plaidé coupable de fraude électronique en 2013.

Le cookie stuffing se manifeste par des conversions quelques secondes après un clic, des clics sans impressions ni référents, et un partenaire qui en écrase un autre à répétition juste avant le checkout.

Le cookie dropping est généralement un autre nom du cookie stuffing. Le click spamming inonde un tracker de faux clics pour revendiquer des conversions plus tard, surtout dans les campagnes d'applications.

Les extensions de navigateur peuvent faire du cookie stuffing en ajoutant ou en remplaçant des tags d'affilié au checkout, ce que la politique de Chrome Web Store interdit sans action liée de l'utilisateur.

Le cookie stuffing s'adapte à un monde sans cookies tiers. Avec les click IDs et le tracking server-to-server, l'attaque se déplace vers la génération de clics via des onglets cachés, des redirections ou des extensions.

Sources

À lire aussi

Tout dans Base de connaissances →