Боты и фрод в Яндекс Директе: как проверить подозрение и оценить защиту

Если за ночь приходят заявки с несуществующими номерами, а в записях визитов повторяется один и тот же короткий маршрут, подозрение на ботов выглядит разумно. Но между этим наблюдением и покупкой защиты остаются два вопроса: что именно происходило и какие потери выбранное решение сможет уменьшить.

Расследование начинается с конкретных визитов и обращений. Затем проверяются измерения, альтернативные причины и способ воздействия защиты. Такой порядок позволяет избежать ситуации, когда отчёт стал чище, менеджерам стало легче, а стоимость настоящего клиента выросла.

Сначала назвать событие, которое требуется объяснить

Бот — программа, выполняющая действия автоматически. Автоматический визит может быть связан с проверкой сайта или сбором информации; его наличие ещё не устанавливает злонамеренную цель. Фрод предполагает намеренный обман. Скликивание — один из его вариантов, при котором создаются искусственные клики по рекламе.

Для рекламодателя проблема может находиться на разных участках. Подозрительный переход расходует деньги при оплате за клики. Автоматическая отправка формы создаёт работу менеджеру. Недействительная конверсия особенно существенна при оплате за результат. Эти события не обязательно происходят вместе: форма может быть отправлена без рекламного перехода, а искусственный клик — без заявки.

В актуальном описании антифрода Директа к недействительному трафику относятся как мошеннические, так и случайные взаимодействия. Поэтому «недействительный» шире, чем «ботовый». Реальный посетитель, которому не подошла цена, в отдельную категорию фрода из-за этого не попадает.

Если человек честно интересуется другим товаром, диагностика начинается с рекламы и предложения. Этому посвящена статья о нецелевом трафике РСЯ. Здесь будем разбирать случаи, в которых есть основания подозревать автоматизацию или искусственные действия.

Полезно сразу описать предмет проверки: например, «за определённый период выросли отправки одной формы из конкретного сегмента, а контактные данные повторяются». Формулировка «в РСЯ одни боты» не задаёт ни границы выборки, ни способ проверки. Даже несколько совпавших аномалий повышают обоснованность подозрения, но сами по себе не устанавливают, кто и зачем действовал.

Подозрительный сегмент сравнивают с собственным нормальным трафиком

Редкий браузер кажется странным, пока не выяснится, что им пользуется часть настоящих покупателей этого сайта. Ночной визит подозрителен для одной локальной услуги и привычен для товара, который выбирают по всей стране. Нужна точка сравнения, связанная с бизнесом.

За основу можно взять визиты, после которых получены подтверждённые обращения или заказы. Среди них полезно отдельно посмотреть поиск Директа и органический поиск. Они помогают увидеть технические характеристики и путь реального покупателя. Но разные источники приводят людей с разной готовностью: посетитель из РСЯ может впервые знакомиться с предложением, а человек из поиска уже выбирать поставщика.

Сравнение поэтому ведётся за сопоставимые периоды, с учётом устройств, географии, предмета интереса и доступности предложения. Для локальной доставки мобильный визит из обслуживаемого города разумнее сравнивать с такими же мобильными визитами, чем со всем десктопным трафиком сайта за прошлый год. Небольшая группа покупателей не создаёт норму для каждого будущего посетителя; она даёт опору для проверки конкретной аномалии.

Если задача — понять, откуда начался подозрительный визит, полезна модель атрибуции, отражающая его входной источник, например последний переход. Если задача — оценить вклад рекламы в последующую продажу, потребуется другое сопоставление пути клиента. Один и тот же человек мог сначала прийти из объявления, позже вернуться напрямую и только затем обратиться. Нельзя незаметно сменить модель между периодами и считать получившуюся разницу эффектом защиты.

Технические параметры тоже рассматриваются вместе. Модель устройства, версия браузера, размер экрана, время, география и последовательность событий помогают выделить группу для изучения. VPN способен изменить видимое местоположение; встроенный браузер приложения — привычный путь покупателя; одинаковые экраны встречаются у массовых моделей телефонов. Странное сочетание интереснее одного редкого значения, особенно если у этой группы повторяются одни и те же искусственные действия.

Матрица обоснованности подозрения

Степень в последнем столбце относится к описанной ситуации и дополнительным данным. Это рабочая оценка для расследования, а не вероятность, рассчитанная сервисом.

Признак	Альтернативное объяснение	Дополнительное доказательство	Обоснованность подозрения
Короткие визиты с отказами	Случайное нажатие, неподходящее предложение, ошибка загрузки	Повторяющийся маршрут при исправной странице; связь с другими аномалиями	Низкая по одному показателю
Необычный браузер, модель или размер экрана	Редкое устройство, встроенный браузер, настройки отображения	Устойчивая комбинация параметров вместе с одинаковыми действиями, отсутствующая в качественных визитах	Повышается при подтверждённой повторяемости
Ночной поток или неожиданная география	Часовой пояс отчёта, VPN, поездка, спрос из другого региона	Сверка времени и условий показа; синхронные серии однотипных действий	Низкая до проверки контекста
Много визитов с одним ClientID	Возвращающийся покупатель, общий браузер, ошибка передачи идентификатора	Проверка реализации идентификаторов и журналов; систематические невозможные для обычного пути последовательности	Существенная после исключения ошибок учёта
Заявка без обычных действий перед формой	Событие не записалось, прямая ссылка, другой путь обращения	Серверный журнал отправки и подтверждение исправной записи событий; повторение аномалии в серии	Средняя; отсутствие события само по себе слабое основание
Повторяющиеся несуществующие контакты и шаблонные сообщения	Тесты формы, дубли интеграции, ошибка валидации	Реальные отдельные отправки, отсутствие внутренних тестов, характерная серия в журналах	Высокая для автоматизации при подтверждении серии; умысел требует отдельного обоснования

Матрица помогает не перепутать начало проверки с готовым выводом. Вебвизор может показать повторяемость маршрута, но не сообщает сам по себе, кем был посетитель. Значимее связать запись, технические параметры и реальную отправку формы, чем собрать много внешне необычных характеристик.

Ошибка измерения может выглядеть как атака

Прежде чем интерпретировать серию конверсий, нужно понять, что считает цель. Нажатие на кнопку и успешная отправка формы — разные события. Повторный вызов обработчика, перезагрузка страницы благодарности или дублирование интеграции способны увеличить число целей и записей в CRM без появления новых обращений.

Здесь помогает небольшой разбор конкретных случаев: срабатывание цели, запись в журнале формы, заявка в CRM, результат разговора. Если в Метрике несколько событий, а на сервере одна отправка, проблема прежде всего в учёте. Если отправок несколько и данные действительно разные, появляется предмет для исследования источника активности.

Пометка «не дозвонились» тоже требует аккуратного чтения. Она может означать несуществующий номер, пропущенный звонок, неудобное время или ошибку менеджера. «Заявку не оставлял» — более сильное обстоятельство, но и его нужно связать с конкретной отправкой, а не распространять на всю кампанию. Статусы должны описывать проверенный результат обработки, иначе сама CRM начнёт создавать видимость фейковых заявок.

Почему Директ и Метрика показывают разные числа

Директ считает рекламные взаимодействия, Метрика — визиты на сайт. После одного клика человек может вернуться несколько раз; часть переходов может не попасть в счётчик. Сравнение всех визитов с рекламными кликами не обязано сходиться. Для сверки нужны соответствующие отчёты Метрики по Директу, одинаковые даты и настройки атрибуции.

У Директа и Метрики разные системы определения недействительной активности. Метрика классифицирует роботов по техническим и поведенческим признакам. Отмеченный ею роботный визит не означает автоматически, что Директ списал деньги за недействительный клик. И наоборот, корректировка рекламной статистики не обязана удалить запись о состоявшемся посещении из всех остальных систем.

По текущей справке Директа система работает и до перехода, и после него; признанные недействительными события удаляются из рекламных отчётов, а соответствующие расходы не списываются или возвращаются. В Библиотеке отчётов есть «Недействительный трафик». Клик и конверсия могут получить разные оценки, поэтому эти показатели следует смотреть отдельно. Это описание механизма Яндекса, а не подтверждение, что конкретная серия ваших заявок уже распознана системой.

При сравнении периодов важны фильтры Метрики. Показ отчёта с роботами или без них меняет состав наблюдаемых данных. Включение фильтрации роботов по поведению в настройках счётчика удаляет их из исходных данных с момента включения. Справка предупреждает о невозможности отменить это действие. Такой фильтр не возвращает оплату за рекламу и может лишить расследование части наблюдений; его нельзя включать просто ради красивого отчёта.

Как связать посещение с качеством обращения

ClientID — идентификатор посетителя в Метрике, а не удостоверение личности. Cookies могут измениться, человек — сменить браузер; ошибочная реализация способна записать один идентификатор в разные заявки. Повторяемость ClientID имеет смысл только после проверки того, как он получен и сохранён.

Для сопоставления с результатом обработки используются собранные при обращении идентификаторы и время события. Импорт офлайн-данных поддерживает ClientID, UserID, yclid и PurchaseId, с разными условиями применения. Например, yclid связан с рекламным кликом, а UserID требует настроенного сопоставления с ClientID. В отчёте офлайн-конверсий можно проверить, удалось ли привязать событие к визиту. Загруженный файл ещё не означает, что все обращения успешно сопоставлены.

Для расследования достаточно надёжно соединить нужные случаи с их результатами. Для оптимизации потребуется отдельно выбрать полезный статус: квалифицированное обращение или покупку. Спамные отправки стоит учитывать как диагностическую категорию, чтобы они не выдавались за успешный результат привлечения.

Что именно делает сторонняя защита

Антифрод-сервис может начинать с клиентского скрипта на сайте. Он получает технические и поведенческие сигналы, строит признаки посетителя и относит посещение к определённой категории. Некоторые решения используют fingerprint — совокупность характеристик браузера и устройства, — события мыши или касаний, повторяемость действий и собственные списки.

Дальнейшее действие зависит от реализации. Сервис может только пометить визит в отчёте, заблокировать отправку формы либо передать аудиторию для ограничений будущих показов. Чтобы оценить продукт, нужно увидеть всю цепочку: какой признак собран, как принято решение, куда передано ограничение и что действительно прекратилось.

Fingerprint меняется вместе с настройками и устройством. IP может быть общим для разных людей или меняться у одного посетителя. Пользователь способен очистить cookies. Поэтому устойчивость распознавания и доля настоящих клиентов среди ограниченных визитов — отдельные вопросы к сервису. Обещание «находим ботов» их не закрывает.

В профессиональных материалах встречаются разные подходы. Даниил Мыцык акцентирует работу с целью и собственной статистикой размещений. В руководстве Антона Лаврентьева от Botfaqtor на eLama разобраны признаки и ограничения через антифрод. Второй материал написан представителем поставщика защиты: его описание возможностей полезно, но заявленный эффект продукта требует отдельной проверки на бизнес-результате. Жёсткие пороги CTR, отказов или цены клика из таких публикаций не заменяют сравнения с собственным качественным трафиком.

Установка стороннего скрипта требует решения владельца сайта. До неё нужно выяснить, какие данные уходят сервису, как они используются и хранятся, как код влияет на загрузку, формы и действующую аналитику. Для теста также нужен способ быстро отключить защиту. Эти условия являются частью выбора решения, особенно если сервис получает возможность ограничивать отправку обращений.

От «найдено ботов» до результата для бизнеса

Разные цифры в отчёте сервиса отвечают на разные вопросы:

1. Помечены подозрительные визиты. Появилась классификация. Пока неизвестно, изменились ли расходы или число заявок.
2. Ограничены будущие показы. Мера действует на доступную аудиторию после применения сегмента или исключения. Уже оплаченный клик от этого не становится бесплатным.
3. Сократились оплачиваемые переходы. Это проверяется по расходам и рекламной статистике с учётом корректировок Яндекса. Нельзя повторно засчитать сервису экономию, которую уже обеспечил возврат Директа.
4. Заблокированы отправки формы. Менеджеры могут получать меньше спама, но оплаченный переход мог состояться до блокировки. При оплате за конверсии отдельно проверяются изменение платных событий и их действительность.
5. Изменились подходящие обращения и продажи. Здесь видно, помогло ли ограничение бизнесу и не потеряло ли оно реальных покупателей.

Если сервис формирует сегмент для Директа, нужно проверить, применено ли ограничение и что оно означает в этой кампании. Корректировки доступны с условиями по типам кампаний и стратегиям; уменьшение ставки или целевой цены нельзя автоматически называть прекращением показов. Ограничения по IP тоже не решают задачу при постоянной смене адресов и способны затронуть других пользователей общего подключения.

Самая неудобная проверка — ложные блокировки. Настоящий покупатель может пользоваться VPN, необычным браузером или быстро отправить короткую форму. Если защита отнесла его к подозрительным, красивый процент отсечения способен скрыть потерянный заказ.

Для оценки полезны журнал причин блокировки, безопасное наблюдение без запрета на первом этапе и возможность исследовать спорные случаи. При контролируемом тесте — сопоставимая группа без выбранного ограничения. Если продукт сразу блокирует всё и не показывает оснований, оценить потери сложнее. Даже отсутствие жалоб не означает, что никто из покупателей не ушёл молча.

Компактная модель оценки защиты

Для начала достаточно считать полную стоимость получения квалифицированных обращений:

(Рекламные расходы после корректировок + сервис + внедрение за период + обработка бесполезных обращений) / число квалифицированных обращений.

Внедрение включает настройку и сопровождение; разовые затраты можно распределить на выбранный период, явно сохранив способ расчёта. Работу менеджеров считают по фактическому времени и стоимости часа. Если освободившееся время не уменьшило выплаты, это выигрыш в доступной мощности команды, а не автоматически сэкономленные деньги.

Допустим, за месяц реклама стоила 60 000 ₽ и дала 30 подходящих обращений. Ещё 120 бесполезных заявок потребовали по три минуты обработки. При стоимости часа 800 ₽ это шесть часов, или 4 800 ₽. Полная стоимость подходящего обращения по этой модели — 2 160 ₽.

После подключения защиты реклама по-прежнему стоит 60 000 ₽ и даёт те же 30 подходящих обращений. Бесполезных заявок осталось 20: один час работы, или 800 ₽. Сервис стоит 6 000 ₽, на внедрение и сопровождение в расчёте этого месяца приходится ещё 2 000 ₽. Итого 68 800 ₽, или около 2 293 ₽ за подходящее обращение.

Менеджерам стало легче: высвободилось пять часов. Но расходы на защиту превысили расчётный выигрыш от обработки. Такой результат может быть полезен перегруженной команде, однако называть его экономией рекламного бюджета нельзя. Если при тех же расходах защита ещё и потеряет два подходящих обращения, стоимость оставшихся 28 вырастет примерно до 2 457 ₽. Источник сокращения потока нужно выяснить отдельно: ложная блокировка здесь — условие примера, а не вывод из одного снижения числа заявок.

Для окончательного решения стоимость обращения желательно дополнить продажами и вкладом заказа после переменных расходов. Экономический эффект складывается из изменения этого вклада и затрат на рекламу, обработку и защиту. Потерянные покупатели должны быть учтены в результате, а одна и та же потеря или экономия — только один раз.

Как поставить проверку, которой можно доверять

До теста фиксируются подтверждённая проблема, механизм воздействия сервиса и критерий успеха. Например: уменьшить время на обработку искусственных отправок, сохранив поток подходящих обращений в заданных пределах стоимости. Размер допустимых затрат и потерь определяет владелец бизнеса.

Во время проверки желательно сохранять предложение, бюджет, формы и другие настройки. Контрольная группа или эксперимент при достаточном объёме данных помогают отделить эффект меры от обычных колебаний. Если доступно только сравнение «до и после», нужно учитывать сезонность, состав трафика, работу менеджеров и задержку квалификации заявок. Даже одинаковый бюджет не делает два периода полностью одинаковыми.

Результат подводится по обращениям, которые успели пройти обработку, и расходам с учётом корректировок. Заранее нужны условия остановки: поломка формы, заметная потеря качественного потока, превышение допустимой суммы. Обнаруженная защита от спама не должна превращаться в бесконечную покупку всё более строгих ограничений.

Когда есть смысл подключать защиту и обращаться в поддержку

Защита уместна, когда подтверждена повторяющаяся проблема, понятен участок воздействия и ожидаемая польза соразмерна стоимости. При перегрузке менеджеров блокировка искусственных форм может помочь даже без уменьшения числа рекламных кликов. При подозрении на оплачиваемый недействительный трафик требуется сверка с Директом и расследование самих взаимодействий.

Исследование АРИР / АКАР / РАМУ основано на опросе 215 респондентов в апреле–июне 2024 года. Оно показывает опыт и оценки участников рынка, но не измеряет технически долю фрода в вашей кампании. Наблюдения отдельных специалистов по собственным аудитам тоже не позволяют назначить процент всем рекламодателям. Решение о защите опирается на данные конкретного проекта.

Для обращения в поддержку Директа пригодятся номера кампаний и объявлений, период с часовым поясом, номер счётчика, ссылки на отчёты, примеры подозрительных визитов и подтверждённые результаты обработки обращений. Хорошо показать, какие альтернативные причины уже проверены и какое событие требует объяснения. Яндекс описывает порядок проверки и возврата при подтверждении недействительного трафика; сам факт обращения в поддержку ещё не означает признанного нарушения.

Если одновременно обнаруживаются медленная страница или ошибки формы, их можно отдельно разобрать через проверку сайта перед рекламой. Для диагностики Яндекс Директа полезен небольшой пакет связанных доказательств: рекламное событие, визит, отправка и результат обработки. Он позволяет обсуждать конкретную меру и её цену, а не спорить о том, сколько «ботов» показал чужой отчёт.