Чек-лист защиты сайта от ботов скликивания ПФ
Скликивание рекламы по ПФ (показам/переходам) съедает бюджет и искажает статистику, но агрессивный антибот-фильтр может зарезать Googlebot, YandexBot и Bingbot — что обвалит органику. Этот инструмент помогает найти баланс: он оценивает конфигурацию Cloudflare Turnstile, WAF-правил, rate limiting и robots.txt, выдаёт риск-скор по двум осям (защита от скликивания vs. доступность для поисковых ботов) и формирует конкретный план правок. Вся логика работает в браузере, без внешних API.
1. Контекст рекламной кампании
2. Turnstile / WAF конфигурация
3. Чек-лист гигиены
4. Результат аудита
Инженерная методология
1. Разделяйте Turnstile на лендингах и на формах: главная ошибка — ставить Managed Challenge на входе рекламного URL. Googlebot и YandexBot, зашедшие по ссылке из выдачи или по объявлению, получат JS-челлендж и не выполнят его, поэтому страница выпадет из индекса, а качество ПФ упадёт из-за несоответствия посадочной. Правильная схема: на лендинге — turnstile.render(el,{sitekey, action:'landing', appearance:'interaction-only'}) только внутри формы, а для краулеров добавьте в WAF правило (cf.client.bot) → Skip перед правилами challenge. Проверяйте через curl -A "Googlebot" -I https://site/ — ответ должен быть 200, а не 403/503.
2. Настраивайте WAF-правило по bot score, а не по User-Agent: подделка UA — базовый приём ботов скликивания, поэтому фильтр http.user_agent contains "Chrome" бесполезен. Используйте сигнатуру Cloudflare: (cf.bot_management.score lt 30 and not cf.client.bot) с действием Managed Challenge, а не Block — так вы не отсечёте легитимных пользователей с низким скором. Для rate limiting задайте выражение (http.request.uri.path eq "/click" and not cf.client.bot) с порогом 30 запросов/мин на IP: краулеры ходят пачками и без исключения срезаются первыми. Логи проверяйте в Security → Events с фильтром BotScore < 30, чтобы видеть, кого именно вы челленджите.
3. Валидируйте клики по ПФ на бэкенде, а не только на периметре: WAF не видит накрутку, когда бот имитирует реального пользователя с валидным Turnstile-токеном. Добавьте серверную проверку: при переходе с ?gclid= или ?yclid= сохраняйте в сессию timestamp, IP и fingerprint, а при конверсии сверяйте — если между кликом и целевым действием меньше 2 секунд или IP входит в список дата-центров (ASN 15169, 16509, 8075), помечайте визит как подозрительный. Для Яндекса дополнительно проверяйте yclid через Метрику-API, для Google — через offline conversions. Это отсекает скликивание, которое прошло WAF, не затрагивая поисковых ботов, которые вообще не генерируют клики по ПФ.
Профильные услуги Promo-Star
Нужна реализация на вашем сервере под ключ?
Инженеры Promo-Star внедрят все настройки напрямую в код вашей CMS с гарантией результата.