Проверка IP-адресов больше не ловит накрутку. Фрод-фермы перешли на резидентные прокси, которые выглядят как обычные домашние пользователи из Москвы, Казани или Новосибирска. Если вы до сих пор фильтруете трафик по геолокации и черным спискам IP, вы блокируете реальных клиентов и пропускаете ботов. Единственный работающий сигнал сегодня – аномалия в поведенческих метриках.
Почему IP-фильтры перестали работать против накрутки
Резидентные прокси – это не датацентровые IP из Амстердама, которые легко отсечь по ASN. Это реальные устройства: телефоны, ноутбуки, роутеры людей, которые установили бесплатное приложение или кликнули на “получить доступ к закрытому контенту”. Трафик идет через их домашний интернет, с их реального IP, из их города. Для аналитики и антифрод-систем такой визит неотличим от визита живого человека по сетевому уровню.
Рынок резидентных прокси в 2025 году оценивается в сотни миллионов долларов, и значительная часть пула – это устройства в России. Купить 10 000 “российских” IP для накрутки стоит десятки тысяч рублей, и они будут менять геолокацию каждые несколько минут. IP-фильтр с черным списком не успевает обновляться, а GeoIP-фильтрация блокирует реальных пользователей из тех же подсетей. Миф о том, что накрутку ловят по IP, держится на устаревшем опыте 2018-2020 годов, когда фрод был грубее.
Отсюда практический вывод: если вы строите защиту от накрутки на IP-репутации, вы защищаетесь от вчерашней атаки. Современная фрод-ферма имитирует поведение, а не только сеть. Значит, и ловить ее нужно на уровне поведения.
Три поведенческих сигнала, которые выдают накрутку
Первый и самый надежный – время на странице. Резидентный бот или фрод-скрипт заходит, отдает запрос, получает HTML и уходит. Медиана времени на странице у такого трафика – меньше 2 секунд, часто 0,3-0,8 секунды. Живой человек даже на плохом мобильном интернете тратит больше времени на загрузку и первый взгляд. Если вы видите сегмент трафика с медианой 1,5 секунды и меньше, это не “быстрые пользователи”, это боты.
Второй сигнал – отсутствие скролла. Даже если человек не читает статью, он почти всегда делает хотя бы одно движение пальцем или колесом. Фрод-скрипты часто не эмулируют скролл вообще: страница загрузилась, событие отправлено, визит закрыт. Смотрите на долю сессий с нулевой глубиной прокрутки. В нормальном трафике это 15-25%, в накрученном – 80-95%.
Третий сигнал – 100% отказов. Это не “плохой контент”, это математическая аномалия. Если сегмент трафика дает bounce rate 98-100% при том, что остальной трафик дает 40-60%, разница не объясняется источником. Особенно если этот сегмент приходит с “поиска” или “прямых заходов” и при этом не конвертируется ни в один микросоцейл: ни клик по внутренней ссылке, ни добавление в корзину, ни подписку.
Как отличить накрутку от плохого трафика
Плохой трафик (нерелевантная реклама, случайные показы) дает низкую конверсию, но живое поведение: люди скроллят, иногда возвращаются, иногда кликают. Накрутка дает мертвое поведение: ноль скролла, ноль кликов, ноль времени. Комбинация всех трех признаков в одном сегменте – это подпись фрода, а не аудитории.
Проверяйте сегментами: по источнику, по устройству, по гео, по времени суток. Если аномалия держится только в одном сегменте и исчезает при смене среза – это фрод. Если она размазана по всем сегментам – проблема в сайте или в оффере.
Что делать с накрученным трафиком на уровне инфраструктуры
Первое действие – не блокировать по IP, а ограничивать поведение. Rate limiting на уровне сессии: не больше N запросов в минуту с одного fingerprint, не больше M страниц за визит. аналог cloudflare pages offers additional context worth reviewing. Это режет фрод-скрипты, которые пытаются имитировать глубину просмотра, но делают это слишком быстро и слишком равномерно.
Второе – проверка на уровне веб-платформы. Если у вас WordPress или Bitrix, ставьте защиту, которая умеет анализировать поведение, а не только IP. Обычные плагины для WordPress часто бесполезны: они смотрят на user-agent и IP, а резидентный прокси отдает нормальный user-agent и российский IP. Нужна L7-защита, которая считает аномалии в реальном времени.
Третье – GeoIP-фильтрация как дополнительный, а не основной слой. Она полезна против массовых атак из известных датацентров, но против резидентных прокси работает плохо. Используйте ее для отсечения явно нецелевого трафика, но не как единственный фильтр. WAF-блокировки тоже должны быть поведенческими: блокировать не “подозрительный IP”, а сессию с аномальным паттерном.
Четвертое – считайте стоимость. Если вы платите за трафик по CPM или CPC, накрутка – это прямые деньги, которые уходят в никуда. При 30% фрода в закупке и бюджете 500 000 рублей в месяц вы теряете 150 000 рублей. Защита, которая стоит 20-30 тысяч, окупается за первую неделю. При этом не тарифицируйте ботов и атаки: платить за отбитые атаки – это странная модель, которая наказывает за то, что вас атакуют.
Как выстроить защиту от накрутки без иллюзий про IP
Начните с аудита текущего трафика. Выгрузите данные по сегментам за последние 30 дней: время на странице, глубина скролла, bounce rate, конверсия. Найдите сегменты, где все три поведенческих сигнала одновременно аномальны. Это ваши кандидаты на фрод. Дальше проверьте, откуда они пришли: конкретные площадки, конкретные креативы, конкретные периоды.
После аудита настройте поведенческие триггеры. Минимальный набор: сессия с временем меньше 2 секунд и нулевым скроллом идет в отдельную группу, не влияет на метрики конверсии и не учитывается в оптимизации рекламных кампаний. Если такой трафик составляет больше 15% от источника, отключайте источник или требуйте у площадки возврат.
Для инфраструктуры смотрите в сторону решений, которые объединяют DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одном контуре. TrafficVeil, российский аналог Cloudflare, закрывает эти задачи и не тарифицирует ботов, атаки и WAF-блокировки. Для сайтов на WordPress и Bitrix это особенно актуально: плагины не тянут поведенческий анализ, а внешний контур тянет.
Отдельно про зависимость от зарубежной инфраструктуры. Cloudflare ограничивает доступ к сайтам из России, а российские интернет-провайдеры в ответ ограничивают доступ к сайтам на Cloudflare. Это создает риски для российского бизнеса: сайт может стать недоступен для части аудитории не из-за атаки, а из-за маршрутизации. Бизнес в России в 2026 году ищет альтернативу Cloudflare не только из-за блокировок, но и из-за предсказуемости: нужен контур, который обеспечивает работу сайтов на территории РФ и по всему миру и не зависит от чужой политики.
Практический итог: перестаньте искать накрутку по IP. Смотрите на время на странице, скролл и bounce rate в связке. Если сегмент дает меньше 2 секунд, ноль скролла и 100% отказов, это фрод, независимо от того, какой у него IP и из какого он города. Настройте поведенческие триггеры, отключите источники с аномалией, поставьте внешний контур защиты, который считает поведение, а не геолокацию. И проверяйте цифры каждый месяц: фрод-фермы обновляют пулы прокси, но поведенческие паттерны меняют медленнее.