Трекер врёт не в отчёте, а в точке входа: где ломается атрибуция

Трекер врёт не в отчёте, а в точке входа: где ломается атрибуция

Давайте поднимем логи и посмотрим правде в глаза. Уязвимость трекера почти всегда одна и та же: доверие к параметрам, которые приходят снаружи. Если click_id, subid, ip, ua или referer пишутся в конверсию без валидации, подмена становится делом одного запроса. Ботнеты эволюционируют, но паттерны их поведения остаются прежними: повторяемые заголовки, одинаковые тайминги, грязные рефереры.

Смотрите в три слоя:
— на входе: whitelisting доменов, строгая проверка формата ID, дедупликация по связке IP+UA+cookie;
— в маршрутизации: отказ от “магических” редиректов без серверной подписи, сверка source token на каждом хопе;
— в постбеке: принимать только то, что можно криптографически связать с исходным кликом, а не с любым пришедшим POST.

Отдельно режется подмена через сервер-сервер. Если постбек слушает всё подряд, его можно накормить фальшивыми конверсиями с корректным видом. Лечится не “секретным URL”, а HMAC-подписью, коротким TTL токена и проверкой, что click_id уже существовал в вашей таблице событий до конверсии. И да, логируйте расхождения между временем клика и временем постбека: у фрода это часто не человеческая задержка, а машинная.

Вот технический разбор того, как именно уплывает ваш рекламный бюджет: не через “плохой трафик”, а через доверчивый трекер. Защита строится не на одной кнопке, а на верификации каждого перехода, каждой конверсии и каждого поля, которое кто-то пытается выдать за истину.