Почему это вообще сложно
Простые боты видно сразу: одинаковый User-Agent, отсутствие JavaScript, мгновенные клики без паузы. Современные боты сложнее — они запускаются в настоящем браузере, эмулируют движение курсора и держат рекламную страницу открытой несколько секунд, имитируя интерес. Отличить такого бота от человека по одному параметру уже нельзя: нужен набор признаков, которые вместе складываются в картину «живой человек» или «автоматика».
Задачу усложняет и то, что определять бота нужно быстро — в идеале до того, как рекламная система спишет деньги за клик, а не через день, когда анализировать логи постфактум. Это смещает подход от разового «расследования» к системе, которая непрерывно считает признаки по каждому клику и принимает решение сразу, пока ещё можно на что-то повлиять.
Поведенческие признаки
Поведение на странице — самый устойчивый источник сигнала, потому что имитировать его дорого и сложно масштабировать на тысячи кликов сразу. Простому боту достаточно перейти по ссылке и, возможно, кликнуть ещё раз внутри страницы — воспроизвести естественную неторопливость и хаотичность живого человека технически сложнее и дороже, особенно если это нужно делать массово.
| Признак | О чём говорит |
|---|---|
| Скорость от клика до первого действия | человек осматривается и медлит, бот часто действует по таймеру |
| Траектория движения курсора | у человека курсор нелинеен и с паузами, у примитивного бота — прямые линии или его вовсе нет |
| Глубина просмотра страницы | человек скроллит и задерживается на блоках, бот часто не взаимодействует со страницей вовсе |
| Повтор одинакового сценария | один и тот же путь по сайту раз за разом — признак скрипта, а не живого интереса |
| Время между кликами с одного источника | слишком регулярные интервалы нетипичны для человека |
Технические признаки
Технические сигналы дополняют поведенческие и особенно полезны против менее продвинутых ботов, которым дорого маскировать окружение под настоящий браузер. Они читаются на уровне соединения и параметров устройства ещё до того, как пользователь успел хоть как-то повзаимодействовать со страницей, поэтому отсекать по ним можно быстрее всего — иногда ещё до полной загрузки посадочной страницы.
| Признак | О чём говорит |
|---|---|
| Несоответствие User-Agent и реального поведения браузера | подмена или устаревшая эмуляция |
| Отсутствие или подмена данных о разрешении экрана и часовом поясе | типично для headless-браузеров и эмуляторов |
| Массовые заходы с одного IP или подсети | признак клик-фермы или дата-центра, а не жилого интернета |
| Отключённый JavaScript или cookies при живом клике | нетипично для обычного пользователя рекламы |
| Заход сразу на страницу без реферера при платном клике | может говорить о прямой подмене клика мимо рекламной системы |
Технические признаки первыми ловят самых дешёвых и массовых ботов — тех, что запускаются скриптом без полноценной эмуляции браузера. С развитием более дорогих ботов, которые арендуют настоящие браузеры и проксируют трафик через жилые IP-адреса, чисто технические сигналы становятся слабее, и вес поведенческих признаков в общей оценке растёт. Именно поэтому надёжная система защиты не полагается на один тип признаков, а постоянно пересчитывает баланс между ними. Подробнее о том, как из отдельных признаков собирается общая оценка трафика, — в статье что такое клик-фрод.
Что делать, когда признаки противоречат друг другу
На практике не каждый клик укладывается в чёткую картину «точно бот» или «точно человек» — часть трафика попадает в серую зону, где одни признаки указывают на автоматику, а другие на живого посетителя. В таких случаях разумнее не блокировать клик автоматически, а понижать к нему доверие: не тратить на него повышенные ставки, следить за его дальнейшим поведением на сайте, накапливать по нему больше данных прежде чем принять окончательное решение. Жёсткая блокировка по любому спорному сигналу обходится дороже, чем кажется: за каждым ложно отсечённым кликом может стоять реальный клиент, который просто не дошёл до заявки не из-за фрода, а из-за слишком агрессивного фильтра.
На такую серую зону обычно приходится заметная часть трафика в любой кампании — это нормально и не повод паниковать. Задача системы защиты не свести её к нулю, а не давать ей расти бесконтрольно и регулярно пересматривать, какие из спорных кликов со временем оказались похожи на ботов, а какие — на обычных, просто нетипично ведущих себя пользователей.
Как признаки складываются в решение
На практике ни один сервис защиты не смотрит на признаки по отдельности и не выносит вердикт по одному параметру. Каждому клику присваивается своя оценка риска, которая складывается из суммы совпавших признаков — и поведенческих, и технических. Клик с одним слабым сигналом обычно пропускают: слишком велик риск отсечь живого человека. Клик, где совпало сразу несколько независимых признаков — например, аномальная скорость действий, подозрительный IP и повторяющийся с того же источника сценарий, — с высокой вероятностью относят к боту и блокируют до того, как реклама заплатит за него ещё раз.
Как это применяют на практике
- •Считают несколько признаков по каждому клику, а не полагаются на один параметр,
- •Присваивают клику оценку риска и отсекают только те, что превышают порог,
- •Проверяют решение на реальных кампаниях, а не по разовой выборке логов,
- •Оставляют человеку возможность посмотреть, что именно отсекается, а не действуют вслепую,
- •Пересматривают пороги по мере того, как меняется поведение ботов — статичные правила быстро устаревают.
Важно понимать и границы такого подхода: цель не в том, чтобы отсеять весь подозрительный трафик до нуля — это нереалистично и опасно для конверсии, часть спорных кликов всегда останется. Цель в том, чтобы отсекать явных ботов с высокой уверенностью и не трогать всё остальное, постепенно уточняя пороги по мере накопления данных о том, как ведёт себя трафик именно в ваших кампаниях.
Как в целом понять, что вашу рекламу скликивают, — в статье как понять, что вас скликивают. А если задача не только в рекламе, но и в формах на сайте — сравнение подходов в статье невидимая капча против обычной. Автоматически считать все эти признаки по каждому клику и отсекать подозрительные до списания бюджета помогает защита рекламы Stitex.
Частые вопросы
Можно ли на глаз, по одному клику, понять, бот это или человек?
Нет, по одному клику — почти никогда. Современные боты имитируют браузер и иногда даже двигают мышью. Уверенный вывод даёт только сочетание нескольких признаков сразу: поведенческих и технических, посчитанных одновременно.
Что важнее — поведенческие или технические признаки?
Они дополняют друг друга. Технические признаки (эмуляция браузера, подмена параметров) ловят более примитивных ботов, поведенческие (скорость действий, движение курсора, глубина просмотра) — более продвинутых, которые технически неотличимы от настоящего браузера. Система защиты, которая опирается только на один тип признаков, со временем теряет эффективность против более сложных ботов.
Живой человек может случайно выглядеть как бот?
Да, бывает: человек с мобильного интернета за VPN, с заблокированным JavaScript или просто быстро закрывший неинтересную страницу даст похожую на ботовую картину по отдельным метрикам. Поэтому решение по одному признаку — риск заблокировать реального клиента, а не бота. Именно для этого и нужна совокупная оценка, а не бинарное правило.
Как применить эти признаки на практике, а не только в теории?
Вручную по логам это делать долго и ненадёжно на масштабе — кампания с заметным трафиком генерирует слишком много кликов, чтобы разбирать каждый руками. Практично — включить систему, которая считает эти признаки автоматически по каждому клику и отсекает подозрительные до траты бюджета, не трогая живых посетителей.