<b>Fraud_detection ломается не на «ботах», а на слабой цепочке сигналов</b>

<b>Fraud_detection ломается не на «ботах», а на слабой цепочке сигналов</b>

Чаще всего антифрод проваливается не потому, что не умеет искать бот-трафик, а потому что смотрит на один слой: IP, fingerprint или поведение. В одиночку любой из них шумный. Нужна связка из нескольких слабых признаков, где каждый сам по себе допустим, но вместе дает аномалию.

Собирайте сигналы в три группы:
— сетевые: ASN, прокси-паттерны, частота смены IP, повторяемость подсетей;
— браузерные: canvas, WebGL, timezone, fonts, headless-следы;
— поведенческие: время до клика, микропаузa, траектория, повторяемость сценариев.

Дальше важен не список чекеров, а правило корреляции. Если у сессии идеальный fingerprint, но одинаковый ритм действий на десятках лидов — это уже не «хороший юзер», а шаблон. Если поведение живое, но сеть и устройство слишком часто совпадают с другими конверсиями, ставьте вес выше именно этому совпадению.

Полезная привычка для команды: отдельно хранить «сигнал», «уверенность» и «решение». Тогда можно без боли пересобирать антифрод-логику: не переписывать всё, а менять вес конкретного признака. Так защита остается гибкой, а не превращается в черный ящик.

Главное правило простое: не ищите один идеальный детектор, собирайте систему, где ошибка одного слоя компенсируется другим.