Bid Stuffing, Pixel Stuffing и Domain Spoofing: как режется фрод в programmatic на уровне логов

Bid Stuffing, Pixel Stuffing и Domain Spoofing: как режется фрод в programmatic на уровне логов

Давайте поднимем логи и посмотрим правде в глаза. В programmatic чаще всего ломают не креатив, а цепочку сигналов: impression, viewability, referrer, iframe, auction id. Ботнеты эволюционируют, но паттерны их поведения остаются прежними.

— Bid Stuffing: в логах видно всплеск bid requests без нормального user path, с одинаковыми device fingerprint и коротким TTL между запросами.
— Pixel Stuffing: iframe 1x1, скрытый контейнер, резкий рост impressions при почти нулевом времени на странице.
— Domain Spoofing: в bid request заявлен premium-паблишер, а в сетевых следах — другой host, кривой referrer и несостыковка app-ads.txt / sellers.json.

Фильтрация начинается не с “банить всё подряд”, а с корреляции. Сшивайте auction id, IP/ASN, UA, cookie age, viewability, scroll depth и цепочку редиректов. Если impression приходит без реального render event, если частота кликов выше физически возможной, если совпадают сегменты IP/UA/часовые окна — это не трафик, это маскировка.

Практический минимум: жёсткий allowlist по доменам и seller id, отсечение подозрительных iframe-цепочек, дедупликация по device graph, отдельный скоринг для low-trust inventory. И обязательно храните сырые логи до уровня request headers: без них вы будете спорить с фродом, а не резать его.