Якщо ваші постбеки можна підробити, ваш дохід можна викрасти. Все просто. Цілісність постбеку — це тонка межа між точною атрибуцією та «тихим» витоком коштів через сфабриковані або повторні конверсії. Top match має українську ліцензію та гарну афіліатну програму, тому є цілком безпечним для гравців.
Найшвидша перемога — технічно проста, але фінансово значуща — це впровадження Advertiser Security Token (секретного токена рекламодавця) для кожного постбеку про конверсію. Один секретний ключ, що перевіряється при кожному запиті, усуває дивовижну кількість «шуму».
Як виглядає фрод на рівні постбеку?
(І чому базових перевірок за IP недостатньо?)
Підроблені постбеки дешеві у створенні і їх важко помітити, коли вони потрапляють у вашу систему: зловмисники вгадують або викрадають ID кліків, повторно надсилають старі події або створюють схожі дані, які проходять крізь наївні IP-фільтри. Навіть «дружні» помилки — неправильно налаштовані сервери рекламодавця або тестові системи, що надсилають дані в робоче середовище — роздувають цифри та підривають довіру. Якщо ваша мережа приймає будь-який синтаксично правильний запит, ви платите за те, щоб засвоювати один і той самий урок щомісяця.
Що таке Advertiser Security Token — і що він гарантує?
За своєю суттю, Advertiser Security Token — це спільний секрет (рядок токена), відомий тільки вам і рекламодавцю. Кожен постбек повинен містити цей токен; Scaleo перевіряє його при отриманні. Немає токена або вказано невірно? Конверсія відхиляється з чітким повідомленням для аудиту:
Fail: Incorrect Advertiser Security Token
Ця одна перевірка знищує цілий пласт можливостей для шахрайства. Шахраї не можуть вгадати секрет, якого вони ніколи не бачили, а помилкові запити не проходять «випадково».
Як увімкнути це в Scaleo?
- Перейдіть до Settings → Security і увімкніть Advertiser Security Token for Postback. Збережіть.
- Цей перемикач не активує функцію ретроактивно для існуючих рекламодавців. Для кожного існуючого партнера відкрийте сторінку Advertiser Edit і встановіть Required Security Token = ON.
- Для нових рекламодавців ця вимога активується автоматично.
- Управління здійснюється тільки на сторінці рекламодавця (це зроблено навмисно). Ви не можете керувати цим зі сторінки офера, що запобігає фрагментації політики безпеки.
Після активації Scaleo перевіряє токен у кожному постбеку для цього рекламодавця. Відсутні або неправильні токени означають, що конверсія не буде зафіксована — а вищезгадана помилка буде відображена в логах постбеків рекламодавця для швидкого самостійного виправлення помилок.
Патерн впровадження (простий і детермінований)
Уявіть токен як обов'язковий параметр, який ви вимагаєте у зворотному виклику (callback) від рекламодавця до вашої мережі.
Поведінка сервера:
- Scaleo витягує токен, перевіряє його на відповідність секрету, що зберігається в налаштуваннях рекламодавця.
- Тільки після цього система обробляє click_id, суми та статуси.
- Якщо токен не проходить перевірку, нічого не фіксується; лог записує відмову для цієї спроби постбеку.
Жодних «сірих зон» або часткових зарахувань.
Чому C-level менеджери мають про це дбати: це не «просто» безпека, це гігієна прибутку
Ви не додаєте складності — ви видаляєте невизначеність. Вимога токена:
- Зупиняє сфабриковані/повторні конверсії «на вході» (ніяких очищень даних або повернень виплат згодом).
- Скорочує цикли суперечок, оскільки для кожного запиту існує бінарна істина (валідний токен чи ні).
- Захищає маржу, не створюючи проблем для легітимних партнерів — хороший трафік проходить без перешкод, погані дані відхиляються з чіткої причини.
Поєднання токена з контролем лендінгів (зупинка поганого трафіку до його початку)
Мінімізація фроду — це багаторівневий процес. Поки токен захищає подію «отримання грошей», інструменти контролю лендінгів у Scaleo допомагають запобігти тому, щоб низькоякісний трафік взагалі дістався конверсії:
- Опція попереднього перегляду (Preview) для кожного лендінга дозволяє приховати тестові сторінки від загального використання.
- Налаштування видимості (Visibility) контролюють, які афіліати можуть бачити/використовувати конкретний лендінг.
- Таргетинг для кожного лендінга (GEO, тип пристрою, тип з'єднання тощо) гарантує, що сторінку побачать лише відповідні користувачі.
- Розподіл трафіку підтримує ротацію за вагою, рівномірну ротацію та перенаправлення на основі таргетів.
Типові вектори атак vs методи контролю
|
Загроза |
Як виглядає |
Основний контроль |
Результат |
|
Підроблений постбек |
Випадкові ID кліків, правильний формат |
Advertiser Security Token |
Відхилено з помилкою токена |
|
Атака повтором (Replay) |
Реальний постбек надіслано знову |
Токен + логіка дублікатів |
Перший прийнято, повтори заблоковано |
|
Тестовий трафік у продакшні |
Тестові системи б'ють у «бойову» базу |
Токен тільки на продакшні |
Тестовий трафік безпечно відхиляється |
|
Підміна параметрів |
Завищені суми/флаги статусів |
Токен + правила валідації |
Невалідні дані ігноруються |
|
Заборонене GEO/пристрій |
Конверсії з виключеного трафіку |
Таргетинг лендінгів + правила |
Трафік перенаправлено або блок |
План впровадження, який команда може виконати за тиждень
Почніть з великих рекламодавців і рухайтеся далі за списком.
- День 1–2: Увімкніть функцію глобально. Підготуйте інструкцію: як додати параметр token, яка помилка з'являється у разі невдачі, як тестувати.
- День 3–4: Перемкніть Required Security Token = ON для топових рекламодавців по черзі. Передайте кожному партнеру його секретний ключ через захищений канал.
- День 5–7: Моніторьте логи постбеків. Будь-яка помилка «Incorrect…Token» вимагає негайної дії з боку рекламодавця — вони можуть виправити свій запит без участі вашої команди розробників.
Що ви побачите у ваших дашбордах?
- Майже нульову кількість конверсій з «невідомих джерел».
- Нижчий рівень суперечок та швидше вирішення проблем.
- Чистішу маржу в зонах високого ризику: менше фіктивних схвалень, менше коригувань наприкінці місяця.
Підсумок для осіб, які приймають рішення
Кожен шахрайський або помилковий постбек коштує вам двічі: перший раз, коли ви його оплачуєте, і другий — коли витрачаєте час на його скасування. Advertiser Security Token зупиняє ці запити біля дверей. Увімкніть його один раз, вимагайте його від кожного рекламодавця і дозвольте Scaleo контролювати кожну подію. Це значно знизить ваші ризики без уповільнення легітимних доходів.
