Как собрать доказательства ботового трафика и не утонуть в мнениях подрядчика

Как собрать доказательства ботового трафика и не утонуть в мнениях подрядчика

Давайте поднимем логи и посмотрим правде в глаза. Для аудита нужны не эмоции, а цепочка артефактов: raw clicks, server-side events, fingerprint, user-agent, IP, ASN, referrer, время между кликом и событием. Если подрядчик «льёт нормально», у него не будет проблем с расхождением между кликом и реальным поведенческим следом.

Собирайте три слоя проверки:
• тайминг: слишком короткий click-to-conversion, одинаковые интервалы, всплески в ровные секунды;
• сеть: повторяющиеся IP, одинаковые подсети, дата-центровые ASN, прокси-подписи;
• браузер: пустой или повторяющийся fingerprint, старый headless-след, несостыковки UA и screen metrics.

Дальше смотрите на последовательность событий. У живого пользователя есть дрейф: скролл, hover, паузы, возвраты, промежуточные page_view. У бота маршрут часто линейный: landing -> form_start -> lead, без лишнего шума. Если подрядчик спорит, просите выгрузку в разрезе session_id и сверяйте не средние значения, а распределения: медиану, p95, долю однотипных сессий, процент дубликатов по IP+UA+timestamp.

Что прикладывать к претензии: сырые логи, SQL-выборку аномалий, скриншоты графиков по ASN и времени жизни сессии, список повторяющихся fingerprint. Ботнеты эволюционируют, но паттерны их поведения остаются прежними: дешёвый трафик почти всегда палится на уровне сетевого следа и синтетической синхронности.