Простая защита от ботов обычно начинается с IP-адреса: если визит пришёл из сети хостинга или известного VPN, это сервер, а не человек. Против дешёвых ботов это работает отлично. Но у фрода давно есть ответ — резидентные и мобильные прокси. Запрос выходит в интернет через адрес настоящего домашнего абонента или телефона в сети оператора, и сетевой фильтр видит обычного пользователя. Клик засчитан, деньги списаны, заявки нет.
В этой статье — что это за прокси, откуда они берутся, почему проходят проверку по IP и по каким признакам их всё-таки можно распознать. Общая база по сетевым признакам — в материале VPN, прокси и IP дата-центров; здесь разбираем самый трудный для фильтрации случай.
Что такое резидентный прокси
Прокси — посредник, через который программа отправляет запросы, чтобы сайт видел не её адрес, а адрес посредника. Различаются прокси тем, где этот посредник живёт.
- Серверный прокси работает в дата-центре. Его адрес принадлежит сети хостинга, и это видно по ASN — номеру автономной системы, к которой относится IP. Такие визиты отсекаются почти без ошибок.
- Резидентный прокси выпускает запрос через адрес домашнего абонента: обычный провайдер, обычная квартира. Чаще всего это устройство, на котором установлено приложение или расширение с пунктом «поделиться неиспользуемым каналом» в пользовательском соглашении. Иногда — заражённый роутер или приставка.
- Мобильный прокси работает через SIM-карту оператора: модем или телефон в «ферме», через который идёт трафик. Сайт видит мобильный адрес оператора — такой же, как у миллионов обычных смартфонов.
Для фильтра по IP разница принципиальная. Серверный адрес — почти гарантированно не человек. Резидентный и мобильный адрес — почти всегда человек, и только иногда через него идёт чужая программа.
Кто гонит рекламный трафик через прокси
Прокси-сети продаются открыто, и пользуются ими по разным причинам. Для рекламодателя важно, что часть этого трафика оказывается в его кампаниях:
- Клик-боты на площадках с оплатой за клик. Владельцу площадки или зоны выгодно, чтобы по рекламе кликали. Бот на сервере отсекается сразу, поэтому продвинутые схемы гонят его через резидентные адреса нужной страны. Подробнее о том, как устроены такие схемы, — в статье про клики с ферм.
- Скликивание конкурентами. Тот, кто хочет выжечь чужой бюджет в поисковой рекламе, знает, что клики с одного адреса быстро замечают. Ротация резидентных адресов делает каждый клик «новым посетителем». Об этой схеме — в материале скликивание конкурентами.
- Фрод-лиды. Если партнёр получает деньги за заявку, ему нужны заявки из нужной страны. Скрипт заполняет форму, а прокси подставляет местный адрес.
- Сбор данных. Парсеры цен, сервисы мониторинга, спай-инструменты ходят по рекламным ссылкам через резидентные адреса, чтобы их не блокировали. Злого умысла против вас может не быть, но клик всё равно оплачен.
Почему они проходят простые фильтры по IP
Фильтр по IP задаёт визиту по сути один вопрос: «Чей это адрес?» Для резидентного прокси честный ответ — «домашнего провайдера в нужной стране». Дальше всё идёт против рекламодателя:
- ASN чистый. Сеть принадлежит провайдеру или мобильному оператору, а не хостингу. Блокировка дата-центров её не трогает.
- Гео совпадает. Прокси-сеть позволяет выбрать страну и даже город, так что гео-фильтр пройден.
- Адрес новый. Ротация меняет IP на каждый запрос или раз в несколько минут. Лимит кликов с одного адреса не срабатывает, чёрный список IP не успевает за ротацией.
- Репутация размыта. За тем же адресом вчера сидел живой человек, завтра будет сидеть другой. Базы репутации IP отмечают часть таких адресов, но с задержкой и не все.
- Мобильный адрес нельзя заблокировать. Через один адрес оператора выходят сотни абонентов (CGNAT). Блок мобильного адреса бьёт по случайным живым людям.
Вывод простой: по одному IP резидентный прокси от человека не отличить. Распознавание идёт по противоречиям между тем, что говорит сеть, и тем, что говорят браузер, время и поведение.
Как распознают резидентные и мобильные прокси: признаки
Ни один из признаков ниже не доказывает прокси сам по себе. Сильный вывод дают три-четыре признака, которые сходятся на одном визите или на одном источнике.
Отметка в базах прокси
Коммерческие базы IP помечают адреса, которые замечены в прокси-сетях: по данным сканирования, по ловушкам, по сообщениям других сервисов. Отметка «резидентный прокси» — самый прямой сигнал, но и самый ненадёжный по полноте: база всегда отстаёт от ротации, а адрес мог попасть в сеть ненадолго. Поэтому отметку используют как штраф в оценке доверия, а не как блок.
ASN и тип сети против заявленного устройства
ASN полезен и для резидентного трафика — если сопоставить его с устройством. Мобильный адрес оператора при десктопном браузере с широким экраном — странно. Домашний провайдер в маленьком городе при «телефоне», у которого отпечаток браузера как у эмулятора, — тоже. Каждое такое несоответствие — повод снизить доверие.
Часовой пояс и язык
Это самый полезный признак против прокси. IP говорит «Германия», а браузер сообщает часовой пояс Asia/Ho_Chi_Minh, язык системы вьетнамский, раскладка не немецкая. Прокси подменяет адрес, но не меняет настройки устройства, которое за ним стоит. Конечно, турист и экспат дают похожую картину — поэтому признак считается вместе с остальными.
Отпечаток браузера, повторяющийся на разных адресах
Бот-ферма меняет адреса быстрее, чем устройства. Если один и тот же отпечаток — модель, версия браузера, разрешение, набор шрифтов, видеокарта — приходит с двадцати разных домашних адресов за час, это не двадцать человек. О том, как собирают отпечаток и где его подделывают, — в статье headless-браузеры и отпечаток браузера.
Частота с одного диапазона
Ротация меняет конкретный адрес, но не всегда меняет сеть. Прокси-провайдер берёт адреса из тех же пулов, и в журнале видно серию: двадцать кликов за десять минут из одной подсети /24 одного провайдера, каждый с нового IP. У живой аудитории клики размазаны по множеству сетей и районов. Группировка по подсети и ASN показывает то, что не видно при группировке по адресу.
Поведение на странице
Человек скроллит неравномерно, задерживается на картинках, промахивается мимо кнопки. Скрипт, даже с имитацией мыши, двигается слишком ровно, слишком быстро уходит или, наоборот, стоит на странице ровно заданное число секунд. Проверка поведения не зависит от адреса, поэтому именно она ловит прокси-трафик, прошедший все сетевые проверки.
Отсутствие рекламной метки и странная воронка
Визит по платной ссылке почти всегда несёт метку клика площадки (gclid, fbclid и подобные). Если метки нет или она повторяется у разных визитов, это повод присмотреться. На уровне статистики прокси-трафик выдаёт себя кликами без конверсий, а при фрод-лидах — заявками, которые не дозваниваются и не подтверждаются. Как связать клик с конверсией, рассказано в статье click ID и SubID.
Почему признаки нужно складывать, а не применять по одному
У каждого признака есть свои ложные срабатывания:
| Признак | Кто даёт его, кроме бота |
|---|---|
| Пояс не совпадает со страной | путешественник, экспат, человек с неверными настройками |
| Мобильный адрес у многих визитов | обычные абоненты одного оператора за CGNAT |
| Отметка «резидентный прокси» | живой человек, у которого на устройстве приложение с прокси-SDK |
| Серия из одной подсети | офис, университет, общежитие |
| Нет метки клика | пересланная ссылка, переход из закладок |
Если резать по любому из них, фильтр будет отсекать покупателей. Если по каждому начислять штраф и решать по сумме, ошибки отдельных признаков гасят друг друга. Так устроены зрелые системы: антифрод-система строит оценку доверия, а не список запретов. Подробнее о том, почему сетевые и браузерные проверки дополняют друг друга, — в статье JavaScript-проверка или блокировка по IP.
Сколько стоит прокси-трафик рекламодателю
Потери складываются из нескольких частей, и прямая цена клика — только первая.
- Оплаченные клики. Простой расчёт: если за неделю 10 000 кликов по 0,40 доллара и 8% из них — визиты с признаками прокси без единой конверсии, то 320 долларов ушли впустую.
- Испорченная оптимизация. Автоматические стратегии учатся на том, кто кликает. Если среди кликов много прокси-ботов, алгоритм закупает похожий трафик дальше — и доля мусора растёт сама.
- Обработка фальшивых заявок. Фрод-лид стоит не только выплаты партнёру: на него тратит время колл-центр, его учитывает CRM, его возвращают при сверке.
- Ложные выводы о связках. Кампания с прокси-трафиком выглядит как «много кликов, низкий CR». Вы отключаете креатив или гео, хотя проблема в источнике.
Чтобы видеть потерю в деньгах, а не на глаз, нужно сводить расход, клики и конверсии по каждому источнику. Как это сделать и какие цифры смотреть, разобрано в статьях сколько бюджета теряется на ботах и как считать ROI.
Как защитить бюджет: практические шаги
- Отсеките серверные прокси жёстко. Дата-центры и хостинги в рекламном трафике почти никогда не дают покупателей — это дешёвый и надёжный первый слой.
- Резидентным и мобильным — штраф, а не блок. Отметка о прокси, несовпадение пояса, повтор отпечатка добавляют к оценке, решение принимается по сумме.
- Включите проверку браузера и поведения. Это тот слой, который не зависит от IP. Без него против резидентных прокси вы почти беззащитны.
- Группируйте журнал по подсети и ASN, а не только по адресу. Серии из одного диапазона видны только так.
- Смотрите на источник, а не на визит. Если у одной площадки или зоны доля подозрительных визитов в разы выше остальных, отключите её в самом рекламном кабинете: фильтр защищает воронку, но клик всё равно оплачен.
- Требуйте возврат. Площадки возвращают деньги за доказанный невалидный трафик, и журнал с причинами по каждому клику — главный аргумент.
Как это видно в ArtisanClo
ArtisanClo отсеивает трафик дата-центров, VPN и прокси, а для резидентных и мобильных адресов использует признаки прокси-сетей как часть оценки доверия вместе с проверкой браузера, часовым поясом, языком и поведением. У каждого клика в журнале виден код причины решения: можно открыть визит и понять, какой признак сработал. Встроенный трекер считает расход, конверсии, прибыль и ROI по кампаниям — поэтому видно, сколько денег ушло на мусорный трафик и с какого источника он пришёл. Полный перечень проверок — на странице возможностей.
Итог
Резидентные и мобильные прокси — главная причина, по которой блокировка по IP перестала быть достаточной защитой. Адрес у такого визита честный: домашний провайдер или мобильный оператор в нужной стране. Выдают его противоречия: пояс и язык не те, отпечаток повторяется на разных адресах, клики идут сериями из одного диапазона, поведение механическое, конверсий нет. Ни один признак не доказывает бота, а их сумма — почти всегда. Серверные прокси режьте сразу, резидентным и мобильным начисляйте штраф, добавьте проверку в браузере и считайте деньги по источникам — тогда прокси-трафик перестанет быть невидимой статьёй расхода.
