Меня крутят конкуренты или мне кажется? 5 признаков ботовой атаки в Метрике

Признаки ботовой атаки в Метрике владелец сайта обычно замечает не сразу, а через пару недель после начала — когда позиции уже просели, а трафик выглядит подозрительно хорошо. Утром заходишь в отчёты, а посетителей втрое больше вчерашнего; радость длится ровно до момента, когда видишь отказы под семьдесят процентов и ни одной заявки. Накрутка поведенческих факторов давно перестала быть страшилкой с форумов: чужой сайт можно не обгонять качеством, если его дешевле утопить.

Хорошая новость: имитация всегда оставляет следы, и все они видны в стандартных отчётах Яндекс Метрики без платных сервисов. Ниже — пять признаков, порядок их проверки, способ собрать доказательную базу и что делать дальше, включая технические меры и обращение в поддержку.

Зачем конкурентам тратить деньги на ваш сайт

Накрутка чужого ресурса стоит денег и требует управления, поэтому её не делают из любопытства. Мотивы обычно такие:

• Вы заняли место в тройке по коммерческому запросу. Каждый день наверху — это заявки, которые проходят мимо конкурента. Утопить дешевле, чем догнать.
• Конкурент сам пользуется накруткой и параллельно портит показатели соседям по выдаче, расчищая себе коридор.
• Расход рекламного бюджета. Боты кликают по объявлениям, чтобы деньги закончились раньше и вы исчезли из показов.
• Нагрузка на сервер. Дешёвый способ замедлить сайт: при плохом хостинге ботовый поток роняет скорость ответа, и от этого страдают и люди, и поисковый робот.
• Побочный эффект чужой активности. Часть «атак» на деле оказывается парсерами, сборщиками контента и ботнетами, которые ходят по спискам доменов без всякого умысла именно против вас.

Последний пункт важен для трезвости: далеко не всякий странный трафик — целевая атака. Но реакция в обоих случаях похожа, а вот выводы для отношений с конкурентами разные, поэтому спешить с обвинениями не стоит.

Признак первый: всплеск трафика без причины

Самый заметный маркер. Вчера двести визитов в сутки, сегодня тысяча восемьсот. При этом:

1. Не запускалась реклама и не менялись ставки.
2. Не было публикаций в СМИ, у блогеров и в рассылке.
3. Нет сезонного скачка — соседние годы в это же время выглядели иначе.
4. Позиции не выросли, а часто наоборот, начали проседать.
5. Спрос в Вордстате по вашим запросам не менялся.

Откройте отчёт «Источники, сводка» и сравните динамику с предыдущими неделями. Настоящий органический рост почти всегда плавный и подтверждается ростом показов в Вебмастере. Скачок, приходящийся на один-два источника при стабильности остальных каналов, — повод смотреть дальше.

Отдельно обратите внимание на то, куда идёт трафик. Живой поток распределяется по многим страницам с перекосом в сторону популярных. Ботовый часто бьёт в одну-две страницы — те самые, что стоят в топе по спорному запросу. Это один из самых говорящих признаков: проверьте отчёт «Страницы входа» за период всплеска.

Признак второй: поведение, которого не бывает у людей

Здесь начинается точная диагностика. Смотреть надо не на средние значения, а на распределение — усреднение прячет аномалию.

Метрика	Как выглядит у живой аудитории	Как выглядит при имитации
Время на сайте	Разброс от секунд до десятков минут	Кучкуется вокруг одного значения: почти все по 12–15 секунд
Глубина просмотра	Плавное распределение, большинство 1–3 страницы	Ровно одна страница почти у всех либо ровно три у всех
Отказы	Обычно от 20 до 60 процентов в зависимости от типа страницы	Близко к нулю или близко к ста
Возвраты на сайт	Часть аудитории возвращается через дни	Либо ни одного возврата, либо возвраты по расписанию
Прокрутка страницы	Рывками, с остановками на картинках и заголовках	Равномерная или отсутствует вовсе
Достижение целей	Небольшая, но ненулевая доля	Ноль при любом объёме визитов

Самый убедительный инструмент — Вебвизор. Откройте десяток записей из подозрительного периода и посмотрите. Скрипт двигает курсор по прямым линиям, не промахивается мимо ссылок, не выделяет текст, не возвращается наверх страницы и уходит на одинаковой секунде. Живой человек так себя не ведёт никогда, даже самый торопливый.

Если нужны детали, смотрите «Конкуренты крутят боты на ваш сайт и сливают позиции: 4 признака атаки и как защититься в Метрике».

Признак третий: слишком одинаковые устройства

Технические параметры визита — то, что подделать сложнее всего, потому что имитаторы обычно используют ограниченный набор конфигураций.

Помогу с продвижением: продвижение сайта в поиске — вывожу сайты в топ Яндекса белыми методами.

Что смотреть в отчётах группы «Технологии»:

• Разрешение экрана. У живой аудитории десятки значений с плавным распределением. Если одно разрешение занимает больше половины визитов, это не рынок устройств.
• Версия браузера. Реальные пользователи сидят на разных версиях, включая устаревшие. Одна версия у подавляющего большинства — маркер.
• Операционная система и её версия. Та же логика.
• Соотношение мобильных и десктопных. Резкое изменение пропорции за несколько дней при неизменной аудитории.
• Наличие cookies и JavaScript. Аномальные доли отключённых технологий.

Метод проверки простой: постройте отчёт по нужному параметру с группировкой по дням и наложите на график визитов. Если доля одного значения взлетает ровно в дни всплеска и падает после — источник найден. Дальше на этом значении строится сегмент, который используется для всей остальной диагностики.

Признак четвёртый: география и сети

География — второй по надёжности маркер после технических параметров.

Признаки, которые стоит искать в отчёте по географии и по провайдерам:

• Заметная доля визитов из регионов и стран, где вы не работаете и никогда не рекламировались.
• Резкий рост доли одного города при неизменной активности бизнеса.
• В отчёте по провайдерам доминирует один хостинг-провайдер или дата-центр вместо привычных операторов связи.
• Много визитов, у которых провайдер определяется как облачная платформа.
• Аномально высокая доля мобильных операторов одного региона — характерно для схем с прокси.

Отдельный сюжет — адреса, с которых идут визиты. В Метрике их напрямую не увидеть, но есть два обходных пути. Первый: логи веб-сервера, где видны все запросы с IP, временем и адресом страницы. Второй: Logs API Метрики, через который выгружаются подробные данные по визитам, включая параметры, недоступные в интерфейсе. Сопоставив логи с периодом всплеска, вы получите список подсетей, и часто оказывается, что почти весь поток идёт из двух-трёх диапазонов одного дата-центра.

Признак пятый: ритм, которого не бывает у живых

Последний признак самый простой и при этом почти безошибочный. Живая аудитория имеет суточный ритм: утренний подъём, дневное плато, вечерний пик, ночной провал. Плюс недельный ритм с разницей между буднями и выходными.

Подробнее об этом — в статье «Настройка целей в Яндекс Метрике: что считать конверсией и как не испортить статистику».

Имитация ритма чаще всего не имеет либо имеет его неправильный. Три характерные картины:

1. Ровная линия. Одинаковое число визитов в каждый час, включая четыре утра.
2. Порции. Визиты приходят пачками через равные интервалы — например, ровно по сорок штук каждые полчаса.
3. Инвертированный ритм. Пик приходится на ночь, потому что задание запускается по расписанию в нерабочее время.

Смотреть надо в отчёте «Посещаемость» с детализацией по часам за конкретные дни. Наложите на график тот же период прошлого месяца — разница видна глазом, объяснять её не приходится.

Как собрать доказательную базу

Отдельные признаки по одному ничего не доказывают: у любого может быть невинное объяснение. Убеждает совокупность, зафиксированная в виде сегмента.

1. Определите период. Точная дата и час начала всплеска — от этого отсчитывается всё остальное.
2. Постройте сегмент по самому характерному параметру. Обычно это связка разрешения экрана и версии браузера либо провайдер.
3. Проверьте сегмент по остальным четырём признакам. Если внутри него поведение, география и ритм тоже аномальны, гипотеза подтверждена.
4. Сохраните сегмент в Метрике. Он понадобится и для наблюдения, и для обращения в поддержку.
5. Выгрузите записи Вебвизора — несколько штук из сегмента как иллюстрацию поведения.
6. Снимите логи сервера за период и определите подсети, дающие основной объём.
7. Зафиксируйте динамику позиций за тот же период: связь между всплеском и просадкой — важная часть картины.

Отдельно посчитайте, какую долю от общего трафика составляет сегмент. Это нужно для трезвой оценки ущерба: атака, дающая пять процентов визитов, не объясняет падение позиций, и причину надо искать в другом месте. Тут легко ошибиться: увидев подозрительный сегмент, соблазнительно объявить его причиной всех бед, хотя он может быть фоновым шумом, который был и раньше.

Что делать дальше

Меры выстраиваются по нарастанию сложности, и начинать имеет смысл сверху.

• Включите защиту от роботов в Метрике. В настройках счётчика есть фильтрация роботов по строгим правилам и по поведению — она не защищает сайт, но очищает отчёты, чтобы вы видели реальную картину.
• Проверьте скорость и запас сервера. Если поток создаёт нагрузку, первое — не потерять живых посетителей и поискового робота. Кэширование и увеличение ресурсов дешевле любых разбирательств.
• Заблокируйте подсети. Когда основной объём идёт из двух-трёх диапазонов дата-центра, блокировка на уровне веб-сервера или .htaccess снимает большую часть потока. Важная деталь: такие правила легко теряются при обновлении конфигурации или переносе сайта, поэтому запишите их отдельно и проверяйте после каждой технической работы.
• Настройте ограничение частоты запросов. Но аккуратно: слишком строгий лимит бьёт по поисковым роботам и по загрузке собственной статики, и сайт начинает открываться без стилей.
• Отделите рекламный трафик. Если боты кликают по объявлениям, работают встроенные механизмы защиты рекламных систем плюс собственные списки нежелательных площадок.
• Напишите в поддержку Яндекса. С сохранённым сегментом, датами, описанием признаков и списком подсетей. Обращение без данных бесполезно, обращение с данными как минимум фиксирует ситуацию.
• Не отвечайте тем же. Заказ накрутки конкуренту — это переход из позиции пострадавшего в позицию нарушителя, и санкции получит уже ваш домен.

И главное, что стоит держать в голове: алгоритмы поисковых систем давно умеют отличать имитацию от живого поведения, иначе накрутка была бы универсальным оружием и выдача состояла бы из тех, у кого больше ботов. В большинстве случаев ботовый трафик просто не учитывается, а падение позиций, совпавшее по времени, имеет другую причину — и её тоже нужно искать, а не списывать всё на конкурентов.

Профилактика: что настроить заранее

Половина трудностей при разборе атаки возникает из-за того, что не с чем сравнивать: непонятно, каким был нормальный фон до всплеска. Настройки ниже делаются один раз в спокойный период и превращают будущее разбирательство из недели в час.

Тему разбирал отдельно: «Карта кликов и скроллинга в Метрике: где на странице людям становится скучно».

• Снимите профиль нормы. Раз в квартал сохраняйте выгрузки пяти отчётов: посещаемость с детализацией по часам, технологии (разрешение экрана и версии браузеров), география, провайдеры, источники. Это ваш эталон, с которым потом сравнивается любая аномалия, и без него спор идёт на уровне ощущений.
• Заведите два постоянных сегмента. Первый — подозрительный профиль по связке параметров, которую вы уже видели. Второй — живая аудитория с исключением этих параметров; он важнее, потому что по нему вы смотрите настоящую динамику бизнеса, не отвлекаясь на шум.
• Настройте цели на микродействия. Прокрутка до середины страницы, тридцать секунд на сайте, клик по номеру телефона. Имитаторы их почти не выполняют, поэтому доля микроцелей — быстрый индикатор чистоты трафика, и падает она раньше, чем вы заметите всплеск визитов.
• Включите уведомления об аномалиях. В настройках счётчика есть оповещения о резком изменении числа визитов; поставьте порог примерно вдвое выше обычного дневного максимума и укажите почту, которую действительно читаете.
• Обеспечьте хранение логов. На многих хостингах журналы чистятся каждые несколько дней, и к моменту, когда вы спохватились, доказательств уже нет. Увеличьте срок хранения или настройте автоматическую выгрузку в отдельное место.
• Держите правила блокировки в отдельном файле с комментариями: дата, диапазон, причина добавления. После переноса сайта или обновления панели такие правила восстанавливаются за минуту, а не собираются заново по памяти.

Отдельный пункт — доступ к Logs API. Подключение выгрузки удобно сделать заранее, пока ничего не горит: в спокойный момент вы разберётесь с форматом полей без спешки и проверите, что выгрузка работает. Во время атаки останется только запустить готовый запрос за нужные даты и получить подробности по визитам, которых нет в интерфейсе.

И ещё одна привычка, стоящая дешевле любой защиты: раз в неделю открывать график по часам за последние семь дней. Это тридцать секунд, но именно так атаку замечают на второй день, а не через три недели, когда позиции уже успели просесть, а логи за начало периода стёрлись.

Частые вопросы

Может ли атака реально уронить позиции?
Устойчивого механизма «залил ботов — конкурент упал» нет, иначе рынок работал бы только так. Но косвенный ущерб реален: нагрузка на сервер, испорченная аналитика, слитый рекламный бюджет и неверные решения, принятые по искажённым данным.

Стоит ли включать в Метрике фильтрацию роботов по поведению?
Да, но помните, что она меняет исторические данные в отчётах и часть живых визитов может отсеиваться. Разумно включить и отдельно сохранить скриншоты прежней картины, чтобы понимать масштаб изменения.

Как отличить парсер конкурента от накрутки поведенческих?
Парсер обычно обходит сайт вширь: много разных адресов, включая служебные, часто не грузит счётчик вообще и виден только в логах. Накрутка бьёт в конкретные страницы, приходит из выдачи и старательно имитирует человека.

Нужно ли блокировать по User-Agent?
Малополезно: заголовок подделывается в одну строку. Блокировка по подсетям и ограничение частоты запросов работают надёжнее, а на уровне приложения — проверка на исполнение JavaScript.

Трафик прекратился сам через две недели. Надо ли что-то делать?
Проверьте, вернулись ли позиции и нет ли уведомлений в Вебмастере. Если всё в порядке, оставьте сегмент сохранённым и раз в месяц смотрите, не появился ли похожий поток снова — атаки часто идут волнами.

Можно ли доказать, что за этим стоит конкретный конкурент?
На практике почти никогда. Трафик идёт через сервисы и прокси, и связать его с заказчиком без правовых процедур невозможно. Поэтому энергию разумнее тратить на защиту и на собственные позиции, а не на расследование.

Коротко

• Пять признаков: необъяснимый всплеск визитов, поведение без разброса, однородные технические параметры, чужая география с хостинг-провайдерами и ритм без суточной кривой.
• По одному признаку выводы не делаются — убеждает только совокупность, зафиксированная в виде сохранённого сегмента.
• Ботовый поток обычно бьёт в одну-две страницы, стоящие в топе по спорному запросу, тогда как живой распределяется по многим адресам.
• Вебвизор — самый быстрый способ подтвердить гипотезу: прямые движения курсора, отсутствие выделения текста и уход на одинаковой секунде.
• IP-адреса видны не в Метрике, а в логах сервера или через Logs API; почти всегда основной объём идёт из двух-трёх подсетей одного дата-центра.
• Меры по нарастанию: фильтрация роботов в счётчике, запас по серверу, блокировка подсетей, аккуратный лимит частоты запросов, обращение в поддержку с данными.
• Правила блокировки теряются при обновлении конфигурации и переносе сайта, поэтому их надо хранить отдельно и перепроверять после каждой технической работы.

Если вы видите странный трафик и не понимаете, атака это или ошибка в аналитике, приходите на SEO-консультацию: разберём сегменты в Метрике и логи сервера, оценим реальную долю подозрительного потока и решим, что здесь действительно требует защиты, а что — обычной работы над сайтом.