Detekce VPN není validace kliknutí: porovnejte signály

Ve většině diskusí o podvodech s kliknutím se slévají dvě otázky a právě z tohoto slévání vznikají špatná rozhodnutí. První je, odkud požadavek přišel, na což síťová klasifikace dokáže odpovědět přibližně. Druhá je, zda se má událost počítat, což závisí na pravidlech způsobilosti, chování a výsledku. Štítek VPN je důkazem pro první otázku a sám o sobě neříká nic o druhé.

Dvě otázky, které vypadají jako jedna

První otázka je popisná: dorazil tento požadavek přes hostingového poskytovatele, VPN pro soukromí, nebo domácí připojení? Druhá je normativní: splňuje tato událost definici, na které se vaše firma dohodla? Popisné odpovědi jsou levné a statistické. Normativní odpovědi vyžadují definici a vlastníka.

Jejich záměna vytváří detektor, který je sebejistý a špatný. Můžete správně klasifikovat každý požadavek a přesto počítat neplatné události, protože klasifikace se nikdy neptala, co je způsobilá událost.

Co může síťový štítek podpořit

Třída adresy je tvrzení o populaci, ne o jednotlivci. Jedna IP adresa může stát před carrier-grade NAT s tisíci zákazníky, podnikovým výstupem pro celou kancelář nebo VPN pro soukromí s nesouvisejícími uživateli. Nazvat takovou adresu podezřelou znamená připsat chování několika lidí všem za ní.

Pokyny Googlu k neplatnému provozu jsou užitečným konkrétním příkladem problému definice. Pokrývají úmyslný podvod i náhodná kliknutí, což znamená, že vlastní model platformy považuje za předmět událost a její kontext, ne jen doručovací síť.

Řetězec user agent to nezachrání. Klient ho uvádí sám, lze ho snadno změnit a není ověřenou identitou. Berte ho jako nápovědu, která koreluje s rodinou zařízení, nikdy jako prohlášení o záměru.

Co přidává přezkum na úrovni události

Přezkum na úrovni události klade jiné otázky: bylo toto kreditováno vícekrát za jednu interakci, vypadal tok automatizovaně, byla relace dost dlouhá na to, aby si přečetla, na co klikla, a odpovídal následný výsledek deklarovanému zájmu? Na to lze odpovědět daty první strany, která už uchováváte.

Všimněte si, že žádná z nich nevyžaduje univerzální prahovou hodnotu. Náraz aktivity je důvod projít okno, ne důkaz klikací farmy, a jediná podivná relace není důkazem koordinace. Prah, který vymyslíte, bude pro nějaký legitimní pracovní postup špatný, proto ho uveďte jako spouštěč přezkumu, ne jako verdikt.

Kde každý přístup selhává

Postavte tři signály vedle sebe a slepá místa budou zřejmá.

Tabulka je celé srovnání. Každý řádek je skutečný signál se skutečným slepým místem a žádný z nich není definicí podvodu.

Měřte detektor, ne jen provoz

Uchovávejte tři množiny: události, o nichž víte, že jsou legitimní, události potvrzeně neplatné a případy, které jste nedokázali vyřešit. Vyhodnocujte detektor proti všem třem. Pravidlo, které odmítá každý sdílený výstup, vypadá rozhodně na množině potvrzeně neplatných a tiše škodí běžným uživatelům, což je přesně ten kompromis, který nikdo neměří.

Zaznamenávejte falešné pozitivy jako metriku první třídy, vedle chybějících informací. Pokud nevyřešený koš dál roste, detektor se nezlepšuje; jen se ztišuje.

Dejte rozhodnutí vlastníka

Než změníte pravidlo, koordinujte se s platformou pro měření nebo reklamu a s vlastníkem služby. Použijte proces hlášení a oprav, který platforma podporuje, místo testování živých monetizovaných reklam umělými kliky, což vytváří právě ten neplatný provoz, kterému se snažíte zabránit.

Omezte sběr na účel, který dokážete obhájit. Chuť klasifikovat podvod nedělá z neurčitého snímání otisků povinnost a Pokyny AdSense k neplatnému provozu jsou rozumným odkazem pro to, jak platforma kategorie rámuje.

Začněte tím, že způsobilou událost napíšete jednou větou. Pokud věta mluví o síťovém původu, máte proxy metriku, ne definici.