Трекер можно обмануть не кликом, а подменой цепочки данных на каждом hop

Трекер можно обмануть не кликом, а подменой цепочки данных на каждом hop

Давайте поднимем логи и посмотрим правде в глаза. Основная атака на трекер почти всегда идёт не через «умный» фрод, а через простую подмену: referrer, click_id, user_agent, IP-цепочку и postback. Если один параметр не сверяется с остальными, в отчёте появляется «живой» трафик, а в реальности — скрипт с заранее собранными токенами.

Типовые дыры выглядят одинаково:
• click_id генерится без привязки к IP/UA и легко переиспользуется;
• postback принимает событие без HMAC-подписи;
• редирект не проверяет тайминг между кликом и конверсией;
• допускается подмена Referrer и X-Forwarded-For без whitelist proxy.

Ботнеты эволюционируют, но паттерны их поведения остаются прежними: одинаковые интервалы, одинаковые TLS-отпечатки, короткий жизненный цикл сессии, повторяемые цепочки URL. Нормальный фильтр должен считать не «факт конверсии», а согласованность сигнала: IP-ASN, устройство, cookie, время, глубину воронки. Любая несовместимость — повод резать событие в quarantine, а не кормить отчёт мусором.

Защита строится на трёх слоях: 1) подписывайте click_id и postback HMAC-ключом; 2) валидируйте связку IP+UA+TTL до отправки лида; 3) ведите риск-скоринг по entropy параметров, частоте дублей и аномалиям цепочки редиректов. Вот технический разбор того, как именно уплывает ваш рекламный бюджет: трекер верит входу, пока вы не заставите его сомневаться.

Если трекер принимает данные на доверии, это не аналитика, а красиво оформленный лог мусора. Включайте верификацию на уровне каждой точки маршрута — и фрод начнёт ломаться о вашу сетевую дисциплину.