VPN 识别不是点击验证：比较两类信号

在大多数关于点击欺诈的讨论中，两个问题被混为一谈，而错误的决定正来自这种混淆。第一个是请求从哪里来，网络分类可以大致回答。第二个是这个事件是否应当被计入，这取决于资格规则、行为和结果。VPN 标签是第一个问题的证据，单凭它本身并不能说明第二个问题。

两个看似同一个的问题

第一个问题是描述性的：这个请求是经由主机服务商、隐私 VPN 还是住宅宽带到达的？第二个问题是规范性的：这个事件是否满足贵公司商定的定义？描述性答案廉价且属于统计性质。规范性答案则需要一个定义和一个负责人。

把两者混淆，得到的检测器既自信又错误。你可以正确分类每一个请求，却仍然在计入无效事件，因为分类从未追问什么才算合格事件。

地址类别是对群体的陈述，而不是对个人的陈述。一个 IP 可能位于拥有数千用户的运营商级 NAT 之前、整个办公室的企业出口之前，或用户彼此无关的隐私 VPN 之前。把这个地址称为可疑，等于把少数人的行为算到其后所有人头上。

Google 关于无效流量的指南是定义问题的一个有用具体例子。它同时覆盖故意欺诈和意外点击，这意味着平台自身的模型把事件及其上下文当作主体，而不只是投放网络。

用户代理字符串救不了这一点。它由客户端自行上报，改动毫无难度，也不是经过认证的身份。把它当作与设备家族相关的线索，绝不要当作意图的声明。

事件层面的复核提出不同的问题：这笔计费是否对同一次交互被重复计算，这次流量看起来是否自动化，会话是否长到足以读完它所点击的内容，下游结果是否与声称的兴趣相符？这些都能用你已经在保留的第一方数据来回答。

请注意，这些问题都不需要一条普适阈值。活动激增只是复核某个时间窗口的理由，并非点击农场的证据；一次看起来奇怪的会话也不构成协同的证明。你自创的阈值对某些正当工作流必然出错，因此请把它表述为复核触发条件，而不是判决。

把三类信号并排放在一起，盲区就显而易见了。

Signal	Question it answers	Characteristic failure
Address classification	Where did this arrive from	Rejects shared exits and privacy-conscious users
Automation signals	Does this look scripted	Misses paid human interaction entirely
Event and outcome review	Should this count	Needs a definition and an owner to be meaningful

表格就是全部比较。每一行都是带有真实盲区的真实信号，其中没有一个是欺诈的定义。

保留三个集合：你确知合法的事件、被确认无效的事件，以及你无法解决的情况。用这三者共同评估检测器。一条拒绝所有共享出口的规则，在确认无效集合上显得果断，却在悄悄伤害普通用户，而这正是无人衡量的取舍。

把误报当作一等指标记录下来，与信息缺失并列。如果未解决的桶持续变大，检测器并没有变好，只是变得更安静。

在更改规则之前，先与衡量或广告平台以及服务负责人协调。使用平台支持的报告与更正流程，而不是用人工点击去测试正在变现的线上广告，因为那会制造出你正试图防止的无效流量。

把收集范围限制在你能证明正当的目的之内。想要对欺诈分类，并不意味着无期限的指纹采集成为必需，而 AdSense 关于无效流量的指南是了解平台如何界定这些类别的一个合理参考。

先把这个合格事件写成一句话。如果这句话谈的是网络来源，那你拥有的只是代理指标，而不是定义。