Как технически доказать ботовый трафик подрядчика, а не спорить на уровне «мне кажется»

Как технически доказать ботовый трафик подрядчика, а не спорить на уровне «мне кажется»

Давайте поднимем логи и посмотрим правде в глаза. Для аудита подрядчика нужны не эмоции, а связка из clickstream, server-side логов и postback-атрибутов. Ищите не один «плохой» сигнал, а совпадение нескольких: одинаковый IP/ASN при разных кликах, аномально короткий time-to-action, нулевая глубина сессии, одинаковые user-agent строки с разными устройствами. Ботнеты эволюционируют, но паттерны их поведения остаются прежними.

Смотрите на распределения, а не на средние:
— время от клика до события в минутах и секундах
— доля кликов без скролла, mousemove и keypress
— повторяемость cookie, fingerprint и referrer
— джиттер между click_id и postback: у живого трафика он шумный, у фрода подозрительно ровный

Если подрядчик «льет» много, но все конверсии идут с одних и тех же сегментов сети, копайте глубже. Сырые логи должны показывать редкие переходы между доменами, нормальную вариативность path и realistic session length. Когда трафик массово приходит с пустым referer, одинаковыми Accept-Language и шаблонными burst-окнами по 20–50 запросов — это не поведение аудитории, это автоматика.

Фиксируйте доказательство в виде таблицы: timestamp, IP, ASN, UA, device_id, referrer, click_id, event_time, session_duration. На этой базе легко строится правило фильтрации и акт расхождения: где трафик не проходит контроль по независимым метрикам, там и бюджет утекает. Не спорьте с подрядчиком на словах — вытаскивайте пачку логов и сравнивайте их построчно.