Серверные логи: как поймать скликивание в поиске до того, как бюджет сгорит

Серверные логи: как поймать скликивание в поиске до того, как бюджет сгорит

Давайте поднимем логи и посмотрим правде в глаза. В поисковой рекламе фрод редко выглядит как «бот кликнул и ушёл»: чаще это серия запросов с одинаковым fingerprint, коротким временем до отказа и повторяемыми маршрутами через одни и те же IP/ASN.

Ищите не CTR, а аномалии на уровне событий: — всплеск кликов без роста глубины сессии; — одинаковый user-agent при разных IP, но одном cookie; — TTL/RTT, похожие на прокси-ферму; — массовые клики в узком временном окне с одинаковым referrer-паттерном.

Дальше поднимайте серверные поля: `ip`, `x-forwarded-for`, `request_id`, `session_id`, `user_agent`, `accept_language`, `js_enabled`, `time_to_first_action`. Если `click -> landing -> 0 действий` стабильно укладывается в 1–3 секунды, а источник гонит повторяемую сетку запросов, это не «плохая аудитория», а механика скликивания. Ботнеты эволюционируют, но паттерны их поведения остаются прежними.

Фильтр строится на корреляции, а не на одном признаке: вводите скоринг по IP-репутации, частоте кликов, совпадению fingerprint и аномальному поведению после клика. Вот технический разбор того, как именно уплывает ваш рекламный бюджет: сначала собирается клик-цепочка, потом она маскируется под живую сессию, а в логах остаётся только ровный след из пустых заходов.

Не верьте одному метрику, верьте следу в логах. Если у события нет поведения, у него почти всегда есть злоумышленник.