Скликивание в поиске видно не по CTR, а по сырому server log: ищем следы автомата

Скликивание в поиске видно не по CTR, а по сырому server log: ищем следы автомата

Давайте поднимем логи и посмотрим правде в глаза. В поисковой рекламе фрод редко светится красивой метрикой; он прячется в последовательности запросов, редиректов и таймингах. В серверных логах ищите не «плохой трафик», а повторяемость: один и тот же UA, одинаковый referrer, один ASN, пачка IP из соседних подсетей, а между кликом и отказом — 0–2 секунды.

Ключевые признаки:
— burst-pattern: 5–20 кликов в одну минуту с ровным интервалом;
— одинаковый путь: /search → /lp → bounce без скролла и вторичных запросов;
— конфликт гео: IP из одного региона, а язык, часовой пояс и Accept-Language из другого;
— cookie-less цикл: каждый запрос «чистый», без возврата пользователя и без повторных сессий.

Смотрите связку по request_id, click_id, gclid/yclid и timestamp. Если после клика нет последующих статических запросов, preload, favicon, analytics hit или хотя бы нормального RTT-профиля браузера, перед вами не человек, а скрипт или ротация дешёвого прокси. Ботнеты эволюционируют, но паттерны их поведения остаются прежними: короткая жизнь сессии, однообразный стек заголовков, отсутствие джиттера.

Практика простая: строите скоринг по IP/ASN/UA/времени жизни сессии и помечаете клики с нулевой клиентской активностью как подозрительные. Потом сравниваете их с конверсией по тем же кластерам. Если у группы высокий расход и нулевая глубина, бюджет утекает не в спрос, а в имитацию спроса.