Как вычислить скликивание в Яндекс Директе по IP и заблокировать показы

Вычислить скликивание в Яндекс Директе по IP можно только одним способом — спустившись на этаж ниже интерфейсов, в логи веб-сервера. Картина, ради которой это делается, выглядит примерно так: 09:12, 09:14, 09:19, 09:26 — четыре клика подряд с одного адреса, каждый по три-четыре сотни рублей, суммарное время на сайте двадцать шесть секунд на все четыре визита вместе. И так девять дней кряду, всегда в первый час после включения показов. Пользователь так себя не ведёт. Ниже — как довести подозрение до конкретного адреса, что с ним сделать и где у этого метода границы.

Материал технический, но без магии: всё описанное повторяется руками на любом сайте, где есть доступ к серверным журналам. Никаких платных сервисов антифрода для начала не понадобится.

Почему Метрика показывает симптом, но не виновника

Первое, что делает рекламодатель, заподозрив неладное, — открывает сводку по Директу и смотрит процент отказов. Там всё выглядит подозрительно: отказы за девяносто процентов, глубина просмотра единица, время на сайте — секунды. Проблема в том, что это ничего не доказывает. Такие же цифры бывают у кривой посадочной страницы, у неудачно подобранных ключей, у объявления, которое обещает одно, а на странице другое.

Ответ рекламной системы на претензию с такими аргументами предсказуем: недействительные клики отсеиваются автоматически, деньги за них возвращаются. И это правда — часть фрода алгоритмы действительно режут. Но режут не всё: посетитель с обычным браузером, обычным разрешением экрана и живыми движениями мыши проходит фильтры как валидный.

Второй шаг обычно — Вебвизор. Это уже теплее: в записи видно поведение — мгновенное закрытие, отсутствие движения курсора, повторяющаяся один в один траектория. Но Вебвизор не даёт главного. Он не показывает IP-адрес: в интерфейсе Метрики его нет ни в отчётах, ни в записях сеансов. Именно здесь большинство расследований и заканчивается.

Как связать клик по объявлению с конкретным адресом

Ключ к связке — параметр yclid. Когда человек переходит по объявлению, система дописывает к адресу страницы уникальный идентификатор клика. Этот идентификатор попадает в строку запроса, а значит, оказывается в логе веб-сервера вместе с IP-адресом, временем и строкой браузера. Соединять аналитику и логи вручную не нужно — они уже соединены в одной строке.

Порядок работы такой.

1. Получить доступ к логам. На виртуальном хостинге это раздел с журналами в панели или папка logs в домашнем каталоге, на сервере — стандартный путь вроде /var/log/nginx/access.log. Нужны как минимум две-три недели истории.
2. Отфильтровать рекламные заходы. Выбрать все строки, содержащие yclid. Это и есть ваши платные клики, каждый со своим адресом и временем.
3. Сгруппировать по IP. Посчитать, сколько рекламных заходов пришлось на каждый адрес. Здоровая картина — почти все адреса с одним-двумя заходами и длинный хвост. Аномалия видна сразу: один адрес с пятнадцатью, тридцатью, сотней кликов.
4. Посмотреть, что делали эти адреса дальше. Для подозрительного IP выбрать все его строки за период, а не только рекламные: сколько страниц запросил, качал ли изображения и стили, сколько времени между запросами.

Четвёртый пункт часто оказывается решающим. Настоящий браузер, открывая страницу, тут же запрашивает десятки сопутствующих файлов — стили, скрипты, картинки, шрифты. Простой скрипт-кликер запрашивает только саму страницу и уходит. Если в логе от адреса за визит ровно одна строка, а не тридцать, перед вами почти наверняка не человек.

Признаки, по которым отличают накрутку от совпадения

Ни один признак сам по себе не доказательство. Работает совокупность.

Признак	Как проверить	Надёжность
Много кликов с одного адреса	Группировка строк с yclid по IP	Средняя: бывает офис или общий провайдер
Нет запросов к стилям и картинкам	Все строки этого IP за визит	Высокая
Ровные интервалы между кликами	Разница во времени между заходами	Высокая
Клики строго в первый час показов	Распределение по часам суток	Высокая при повторении несколько дней
Устаревшая или редкая строка браузера	Поле User-Agent	Средняя
Адрес из чужого региона при геотаргетинге	Определение региона по IP	Средняя: бывают мобильные операторы
Одинаковая длительность визита до секунды	Время между первым и последним запросом	Очень высокая

Практическое правило: три и более признака одновременно — повод действовать. Один признак — повод понаблюдать ещё неделю. Особенно осторожно стоит относиться к первому пункту: крупный офис с общим внешним адресом, вуз, коворкинг, а также мобильные операторы, раздающие один адрес сотням абонентов, дают ту же картину без всякого злого умысла.

Подробнее об этом — в статье «Маркировка рекламы в Яндекс Директе: что делает система, а что остаётся на вас».

Как отсеять ложные срабатывания

Прежде чем блокировать, стоит потратить полчаса на проверку, чтобы не отрезать живых клиентов.

• Проверьте владельца адреса. Публичные сервисы определения принадлежности IP покажут провайдера и тип: домашний, корпоративный, хостинг, мобильный. Адрес, принадлежащий дата-центру, у обычного покупателя быть не может — это сильный аргумент.
• Исключите свои собственные заходы. Самая частая «накрутка» — это вы, ваш маркетолог и ваш верстальщик, которые проверяют, как выглядит объявление. Внесите свои адреса в список исключений навсегда.
• Посмотрите, были ли с этого адреса заявки. Если с него когда-то приходило обращение, это живой клиент, и блокировать его нельзя ни при каких цифрах.
• Сравните с органическим трафиком. Если тот же адрес ходит на сайт и из поиска, читает по пять страниц и возвращается — это человек, интересующийся вашей темой.
• Учтите мобильных операторов. У них адреса общие и часто меняются: блокировка одного адреса может отрезать десятки реальных пользователей и почти наверняка не помешает накрутке.
• API Яндекс Метрики: как вытащить свои цифры, когда интерфейс их не показывает
• Стратегии в Яндекс Директе: какую выбрать и почему «максимум кликов» разоряет

Блокировка: где она делается и как работает

Помогу с продвижением: продвижение сайтов белыми методами — вывожу сайты в топ Яндекса белыми методами.

В интерфейсе рекламной системы есть список запрещённых адресов — он задаётся на уровне кампании. Адреса из этого списка перестают видеть объявления, а значит, не могут по ним кликать. Ограничение существенное: список конечен по объёму, и его размер надо расходовать разумно, не набивая туда всё подряд.

Из этого следует стратегия. В список попадают только адреса с тремя и более признаками, проверенные на принадлежность и не связанные ни с одной заявкой. Всё остальное — под наблюдение. Каждый месяц список пересматривается: адреса, которые давно не проявляли активности, освобождают место для новых.

И сразу о границах метода. Блокировка по адресу — не серебряная пуля. Динамические адреса меняются у абонента при каждом переподключении, мобильный интернет раздаёт общие адреса, а любой, кто занимается накруткой всерьёз, использует прокси и меняет адрес по кругу. Если после блокировки десяти адресов на следующий день появляются десять новых с тем же почерком, дело не в конкретных адресах, и продолжать эту гонку бессмысленно.

Что делать, когда адреса меняются

Когда блокировка перестала помогать, работает другой набор мер — не против конкретного клиента, а против самого сценария.

1. Сузить время показов. Если накрутка идёт стабильно в первый час после включения, сместите расписание или разбейте его на несколько интервалов. Механический сценарий чаще всего привязан к расписанию и ломается.
2. Пересмотреть площадки в сетях. Значительная часть подозрительного трафика приходит не с поиска, а с площадок рекламной сети. Отчёт по площадкам и последовательное отключение самых бесполезных обычно даёт больший эффект, чем блокировка адресов.
3. Разделить кампании. Поиск и сети — отдельными кампаниями с отдельными бюджетами. Так вы видите, где именно горят деньги, и не тушите пожар вслепую.
4. Снизить максимальную цену клика. Накрутка бьёт по самым дорогим ключам. Временное снижение ставок по ним уменьшает ущерб, пока разбираетесь.
5. Включить корректировки по устройствам и аудиториям. Отрицательная корректировка для сегмента, состоящего из подозрительных визитов, снижает частоту показов этой публике без жёсткой блокировки.
6. Настроить сегмент в Метрике. Условие вроде «визиты из рекламы длительностью меньше пяти секунд с одной страницей» даёт готовый список, который можно использовать в корректировках.

Как обращаться за возвратом денег

Обращение в поддержку работает, если оно построено на данных, а не на эмоциях. Формулировка «у нас скликивание, верните деньги» приведёт к шаблонному ответу. Формулировка с конкретикой — к разбору.

Что стоит приложить: перечень адресов с числом кликов и датами; выдержки из журнала сервера, показывающие отсутствие запросов к сопутствующим файлам; распределение кликов по времени с ровными интервалами; сведения о принадлежности адресов дата-центру, если это так; номера кликов из параметра yclid — именно они позволяют системе однозначно найти эти события у себя.

Тему разбирал отдельно: «Скликивание рекламы в Яндекс Директ: как защититься и не слить бюджет».

Последний пункт важнее прочих. Идентификатор клика — язык, на котором вы разговариваете с системой на равных: он есть и в вашем логе, и в её базе. Обращение со списком конкретных идентификаторов рассматривается совсем иначе, чем жалоба на высокий процент отказов.

Реалистичные ожидания: часть кликов признают недействительными и вернут, часть — нет. Полного возврата не будет почти никогда. Но само обращение полезно ещё и тем, что после него фильтры к вашим кампаниям обычно применяются жёстче.

Регламент наблюдения, чтобы не ловить постфактум

Разовое расследование закрывает конкретный эпизод. Чтобы не терять деньги месяцами, нужен короткий регулярный контроль.

• Раз в неделю — топ-10 адресов по числу рекламных заходов. Занимает пять минут, ловит новую волну за неделю, а не за квартал.
• Раз в неделю — доля визитов из рекламы короче пяти секунд. Резкий рост этой доли надёжнее любого процента отказов.
• Раз в месяц — сверка расходов по ключам с числом обращений по ним. Ключ, съевший заметный бюджет без единой заявки, стоит проверить отдельно.
• Раз в месяц — пересмотр списка заблокированных адресов и отчёта по площадкам сетей.
• После каждого изменения расписания или ставок — контрольный срез через неделю: изменился ли почерк.
• API Яндекс Метрики: как вытащить свои цифры, когда интерфейс их не показывает
• Стратегии в Яндекс Директе: какую выбрать и почему «максимум кликов» разоряет

Отдельно стоит завести простую таблицу наблюдений, куда раз в неделю выписываются четыре числа: расход за период, количество рекламных заходов, количество обращений и доля визитов короче пяти секунд. Через два-три месяца такая таблица начинает работать сама по себе: любое отклонение видно на фоне собственной истории, а не на фоне абстрактных нормативов из интернета. Именно собственная история — самый точный ориентир, потому что она учитывает вашу нишу, сезон и структуру кампаний.

И последнее про регламент: фиксируйте в той же таблице даты всех изменений — правку ставок, смену расписания, отключение площадки, запуск новой группы объявлений. Без этих отметок любая динамика через месяц станет загадкой, и вы будете искать накрутку там, где на самом деле сработала ваша же настройка. Один столбец с примечаниями экономит часы разбирательств.

Полчаса в месяц на всё вместе. Это несопоставимо с суммами, которые уходят, если проблему обнаруживают через полгода по итогам годового отчёта.

Когда дело вовсе не в скликивании

Прежде чем строить оборону, стоит исключить куда более частые причины дорогих бесполезных кликов. По моему опыту, настоящая накрутка встречается заметно реже, чем на неё жалуются.

Первая причина — мусорные запросы. Кампания, собранная по широкому соответствию без минус-слов, приводит людей, которые искали работу, бесплатные инструкции, отзывы или чужой бренд. Они уходят за три секунды, и это выглядит один в один как накрутка. Проверяется отчётом по поисковым запросам за месяц: если там половина фраз не про покупку, чинить надо семантику.

Смежный материал по теме — «Показы без кликов Яндекс запоминает. И постепенно перестаёт вас показывать».

Вторая — несоответствие объявления и страницы. Объявление обещает цену, страница её не показывает; объявление про конкретную модель, страница — общий каталог. Человек уходит мгновенно, и виноват не он.

Третья — площадки рекламной сети с автоматически обновляемым содержимым, где объявления показываются в местах, куда нажимают случайно. Это не злой умысел конкурента, а особенность размещения, и лечится она чисткой площадок.

Четвёртая — медленная посадочная страница. Если первый экран рисуется дольше пяти секунд, значительная часть людей закрывает вкладку до загрузки, и в отчётах это выглядит как визит длительностью в секунду.

Частые вопросы

Сколько кликов с одного адреса — это уже много?
Зависит от объёма кампании, но ориентир такой: больше пяти рекламных заходов с одного адреса за неделю без единой заявки — повод посмотреть внимательнее. Больше пятнадцати — почти наверняка не покупатель.

Можно ли обойтись без доступа к серверу?
Частично. Есть сторонние сервисы защиты от накрутки, которые ставят свой скрипт на сайт и сами собирают адреса. Они удобнее, но платные и работают только с теми визитами, где скрипт исполнился. Логи честнее и бесплатны.

Помогает ли отключение показов в сетях?
Часто помогает больше, чем блокировка адресов, — особенно если жалоба на дорогие бесполезные клики. Но заодно вы теряете часть настоящего спроса, поэтому правильнее не отключать сети целиком, а чистить площадки по отчёту.

Может ли конкурент скликивать вручную?
Может, и такое встречается чаще, чем автоматическое. Почерк другой: адрес один и тот же, браузер настоящий, все сопутствующие файлы качаются, поведение похоже на человеческое. Ловится по повторяемости — одинаковое время суток, одинаковая длительность, отсутствие любых действий на сайте много дней подряд.

Стоит ли ставить капчу перед сайтом?
Нет. Клик уже оплачен к моменту, когда человек попал на сайт, поэтому капча денег не сэкономит, зато отпугнёт настоящих клиентов и замедлит загрузку.

Что делать, если после блокировки ничего не изменилось?
Признать, что дело не в конкретных адресах, и переходить к мерам из раздела про смену адресов: расписание, площадки, ставки, корректировки. И параллельно проверить четыре причины из предыдущего раздела — вероятность, что проблема там, довольно высокая.

Коротко

• Метрика показывает симптомы, но не адреса; связку «клик — IP» даёт только журнал сервера через параметр yclid.
• Самый надёжный признак робота — отсутствие запросов к стилям, скриптам и картинкам: браузер их всегда запрашивает.
• Действовать стоит при трёх и более совпавших признаках; один признак — повод наблюдать, а не блокировать.
• Список запрещённых адресов ограничен по объёму и бесполезен против меняющихся адресов — тогда работают расписание, площадки и корректировки.
• В обращении к поддержке решают идентификаторы кликов и выдержки из логов, а не жалоба на процент отказов.
• Чаще, чем накрутка, встречаются мусорные запросы, несоответствие объявления странице и медленная посадочная — их проверяют первыми.
• API Яндекс Метрики: как вытащить свои цифры, когда интерфейс их не показывает
• Стратегии в Яндекс Директе: какую выбрать и почему «максимум кликов» разоряет

Если подозрения есть, а разбираться в журналах некогда, приходите на SEO-консультацию. Посмотрим ваши логи и кампании вместе, отделим накрутку от кривых настроек и составим план действий с оценкой того, сколько денег возвращает каждый шаг.