Guides

Comment éviter l'abus d'essai gratuit sans bloquer les vrais utilisateurs

Pourquoi des gens relancent votre essai gratuit avec de nouveaux comptes, les signaux qui relient ces comptes et un parcours de décision qui stoppe les essais répétés tout en laissant aux utilisateurs honnêtes un essai sans carte.

8 min de lecture · Mis à jour le 2026-10-31 · Attrelix

À quoi ressemble vraiment l'abus d'essai gratuit

L'abus d'essai gratuit, c'est une personne qui relance votre essai encore et encore avec de nouveaux comptes pour ne jamais payer. Cela ressemble rarement à une attaque : pas de vague de trafic, pas de carte volée. Vous voyez un flux régulier de comptes qui, un par un, semblent normaux :

• Une nouvelle boîte jetable. Une adresse temporaire issue de l'un des dizaines de milliers de domaines jetables, utilisée une fois pour confirmer le compte, puis jamais plus.
• Le même Gmail, écrit autrement. jane.doe@gmail.com, janedoe+2@gmail.com et j.a.n.e.doe@gmail.com arrivent tous dans la même boîte.
• Le même ordinateur et la même connexion à la maison. Le navigateur, l'écran, les polices et l'adresse IP sont identiques à ceux d'un compte créé il y a un mois.

Tous ces comptes passent la vérification d'e-mail : un simple « confirmez votre adresse » ne sert donc à rien. La question à se poser à l'inscription n'est pas « cet e-mail est-il réel ? » mais « avons-nous déjà vu cette personne ? ».

Pourquoi les solutions habituelles font plus de mal que de bien

Exiger une carte pour chaque essai

Un mur de carte bancaire bloque la plupart des essais répétés, mais aussi une bonne partie des visiteurs honnêtes qui veulent simplement essayer le produit d'abord. Vous échangez un problème d'abus contre un problème de conversion. Et une carte peut être réutilisée sur plusieurs comptes : seule, elle ne prouve pas non plus qu'il s'agit d'une nouvelle personne.

Bloquer uniquement par domaine d'e-mail

Une liste de domaines jetables arrête les abuseurs les plus paresseux. Elle ignore totalement les alias Gmail, et une liste copiée dans votre code vieillit vite, car de nouveaux domaines jetables apparaissent sans cesse. Nous détaillons cela dans Comment bloquer les e-mails jetables à l'inscription.

Bloquer par adresse IP

Le blocage par IP est l'outil le plus grossier. Bureaux, universités et opérateurs mobiles entiers partagent des adresses, et un abuseur déterminé change de réseau en quelques secondes. L'IP est un signal utile dans un score, pas une raison de refuser à elle seule.

Les signaux qui relient un nouveau compte à un ancien

Au lieu d'une règle stricte, observez plusieurs signaux faibles et additionnez-les. Aucun ne doit décider seul, mais ensemble ils rendent l'essai répété évident.

Le schéma est clair : les signaux à faible risque de faux positif peuvent peser lourd, et ceux qui touchent aussi des utilisateurs honnêtes ne doivent faire monter le score que légèrement.

Un parcours de décision qui ménage les utilisateurs honnêtes

Les configurations les plus efficaces que nous voyons bloquent peu. Elles offrent un essai sans carte à presque tout le monde et n'ajoutent de la friction que lorsque le score est élevé :

1. Notez l'inscription côté serveur, après l'envoi du formulaire et avant le début de l'essai.
2. Autoriser (score faible) : lancez l'essai normal. Cela doit concerner la grande majorité.
3. Examiner (score moyen) : lancez l'essai, mais demandez quelque chose qui coûte plus à un abuseur qu'à un vrai utilisateur — une carte, un numéro de téléphone ou un quota réduit jusqu'à vérification.
4. Bloquer (score élevé) : ne lancez pas l'essai. Proposez l'offre payante ou un lien de contact plutôt qu'une impasse, car un score est une probabilité, pas une preuve.

Règle simple : quelqu'un qui partage son ordinateur avec sa sœur ne doit jamais être bloqué pour cette seule raison. N'additionnez les signaux d'appareil partagé qu'avec quelque chose de plus fort, comme une boîte identique.

Comment l'intégrer à votre inscription

Il vous faut deux choses : de quoi reconnaître le navigateur sur la page d'inscription, et une vérification côté serveur avant d'accorder l'essai. Avec Attrelix, c'est une balise script et un appel d'API :

<!-- page d'inscription -->
<script src="https://attrelix.com/v1.js" data-key="pk_live_…" async></script>

# serveur, avant de lancer l'essai (Python)
r = requests.post("https://attrelix.com/v1/check", timeout=3,
    headers={"Authorization": f"Bearer {SECRET}"},
    json={"email": email, "ip": ip, "visitor": form["attrelix_visitor"]})
decision = r.json().get("decision", "allow") if r.ok else "allow"

if decision == "allow":
    start_trial(user)
elif decision == "review":
    start_trial(user, require_card=True)
else:
    offer_paid_plan(user)

Notez le repli : si la vérification expire, l'utilisateur passe. Une vérification anti-fraude ne doit jamais être la raison pour laquelle votre inscription est en panne.

Mesurez avant de durcir

Commencez en mode observation : enregistrez la décision pendant une ou deux semaines sans agir, puis examinez les comptes qui seraient partis en examen. S'il s'agit surtout d'essais répétés, activez la conséquence. Si vous y voyez des utilisateurs honnêtes, relevez le seuil ou baissez le poids du signal qui les y a placés. Réglez sur vos propres données, pas sur les valeurs par défaut de quelqu'un d'autre.

En résumé

• Les essais répétés paraissent propres compte par compte. Cherchez plutôt les liens avec les comptes précédents.
• Normalisez les e-mails, vérifiez les domaines jetables et reconnaissez l'appareil.
• Additionnez les signaux dans un score ; seuls les signaux forts décident seuls.
• En examen, ajoutez de la friction plutôt que de bloquer, et laissez passer en cas de panne.