Скликивание рекламы — кликфрод

Каждый месяц ко мне приходят с одной и той же жалобой: «бюджет в Директе улетает, а заявок нет, нас скликивают конкуренты». В девяти случаях из десяти дело оказывается не в ботоферме, а в настройках кампании: широкие фразы, автотаргетинг на всю Россию, РСЯ без чистки площадок. Но десятый случай настоящий, и его надо уметь доказать цифрами, а не ощущениями. Я в SEO с 2005 года и контекст веду параллельно почти столько же, поэтому разбор на «фрод или кривая настройка» у меня занимает несколько часов работы с логами. Ниже — как этот разбор устроен, что помогает, когда скликивание подтвердилось, и почему половина популярных советов по защите приносит больше вреда, чем пользы.

Что такое кликфрод и кто за ним стоит

Кликфрод (скликивание) — это клики по платным объявлениям, которые совершаются не с целью что-то купить или узнать. Рекламодатель платит за такой клик так же, как за живой переход, но получает пустой визит. Источников у фрода четыре, и они принципиально разные по мотивации.

• Конкуренты. Самый очевидный, но далеко не самый массовый источник. Смысл — выкачать дневной бюджет соперника за первые часы суток и остаться в выдаче одному до полуночи. Работает только в нишах с высокой ставкой: юруслуги, аварийные выезды, эвакуаторы, микрозаймы, окна. При ставке 30 рублей за клик скликивание невыгодно и самому конкуренту.
• Недобросовестные площадки сетей. В РСЯ и в контекстно-медийной сети Google встречаются сайты и приложения, которые живут на партнёрских отчислениях и подкручивают клики: невидимые слои поверх баннера, «случайные» тапы в мобильных играх, автокликеры. Это самая массовая часть фрода в 2026 году, и она безлична — вас никто не выбирал специально.
• Автоматика и парсеры. Сервисы мониторинга позиций, парсеры выдачи, скрипты сбора цен. Вредить они не собираются, но кликают, потому что их код не отличает рекламный блок от органики.
• Собственные сотрудники. Категория, которую почти никто не проверяет. Менеджер, который двадцать раз в день «смотрит, на каком месте мы стоим», через объявление, сжигает ощутимые деньги.

Разделение важно, потому что защита от каждого источника разная: от конкурента спасают чёрные списки IP, от плохих площадок — чистка площадок, от парсеров — таргетинг, от сотрудников — разговор и закладка на сайт напрямую.

Что Яндекс и Google фильтруют без вас

Первое, что стоит понять: обе системы сами борются с недействительными кликами, потому что фрод разрушает доверие к площадке. Яндекс отсеивает часть кликов ещё до списания, а часть — постфактум, возвращая деньги на баланс кампании. Google делает то же самое и показывает отдельные колонки «Недействительные клики» и «Процент недействительных кликов» в отчётах по кампаниям.

Проблема в трёх вещах. Возврат не мгновенный: деньги приходят через сутки или несколько дней, а «просадку бюджета» вы видите сразу. Фильтры настроены на очевидные паттерны: сотни кликов с одного адреса за минуту система срежет, а двадцать кликов в день с разных мобильных адресов из вашего города пропустит. И ни Яндекс, ни Google не показывают, какие именно клики признаны недействительными и с каких адресов — только агрегированные цифры.

Правило: если доля отфильтрованных системой кликов стабильно ниже 10 процентов, а поведение на сайте нездоровое, фрод проходит мимо автофильтров и разбираться придётся вручную.

Признаки скликивания: таблица проверок

Ни один отдельный признак ничего не доказывает. Доказывает совпадение четырёх-пяти признаков сразу на одном и том же срезе трафика. Вот с чем я сверяюсь в первую очередь.

Признак	Где смотреть	Нормальные значения	Похоже на фрод
Отказы по рекламному трафику	Метрика, отчёт «Директ, сводка»	15–35%	выше 60% при неизменных объявлениях и посадочной
Время на сайте	Метрика	от 40 секунд	0–7 секунд у большинства визитов
Глубина просмотра	Метрика	1,5–2,5 страницы	ровно 1,00 страница массово
Клики с одного IP за сутки	Логи сервера, Logs API Метрики	1–3	5 и больше несколько дней подряд
Распределение по часам	Мастер отчётов Директа, срез по часам	ночью 3–8% кликов	25% и больше в интервале 02:00–06:00
Связка клики/конверсии	Директ + цели Метрики	меняются согласованно	клики выросли на 40%, конверсии не сдвинулись
Доля роботности	Метрика, отчёт «Роботы»	до 5–10%	20% и выше по рекламному источнику
Однообразие устройств	Метрика, отчёт по разрешениям и браузерам	разброс десятков значений	70–80% визитов с одним разрешением и версией браузера
Площадки РСЯ	Директ, отчёт по площадкам	расход размазан	одна-две площадки съедают половину бюджета с нулём конверсий

Отдельно обращаю внимание на предпоследнюю строку: живые люди приходят с сотни комбинаций устройств и разрешений, а ботоферма на одном сервере даёт монотонный отпечаток, и это видно в Метрике без всякой аналитики.

Анализ логов сервера: главный способ доказать фрод

Метрика показывает поведение, но не показывает IP в стандартных отчётах. Логи веб-сервера показывают IP, но не знают, из какой кампании пришёл человек. Соединяются эти два мира через метки, которые Яндекс и Google дописывают в адрес страницы при переходе по объявлению: yclid у Директа и gclid у Google Ads. Обе метки уникальны для каждого клика, и обе попадают в строку запроса, а значит — в лог сервера.

Лог обычно лежит по пути вида /var/www/httpd-logs/site.ru.access.log на ISPmanager или в разделе «Логи» панели хостинга. Первое, что я делаю, — считаю клики по каждому адресу за сутки:

grep 'yclid=' access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -30

Вывод даёт адреса, отсортированные по числу рекламных переходов. Один-три перехода — норма: человек мог вернуться из истории или кликнуть с двух устройств за одним NAT. Десять и больше — повод смотреть дальше. Второй шаг — проверить, повторяется ли адрес изо дня в день:

grep 'yclid=' access.log | grep '5.188.' | awk '{print $4}' | cut -d: -f1 | uniq -c

Живой человек не кликает по одному объявлению четырнадцать дней подряд. Третий шаг — посмотреть, что адрес делает после клика: если нет ни одного запроса к картинкам, стилям и скриптам, браузер страницу не рисовал, это скрипт. Четвёртый шаг — User-Agent: одна и та же строка у сотни разных адресов, особенно с устаревшей версией Chrome, почти всегда означает автоматизацию.

Если логи недоступны или хостинг их не хранит, IP-адреса визитов можно выгрузить через Logs API Яндекс Метрики: там есть поле с адресом посетителя и поле с рекламной меткой, и связка собирается прямо в выгрузке. Это законный и штатный путь, доступный владельцу счётчика.

Чёрные списки IP и другие инструменты защиты

Когда список подозрительных адресов собран, начинается вторая часть работы. Здесь у Яндекса и Google разные возможности, и это важно учитывать при планировании.

Инструмент	Где включается	Что даёт	Ограничения
Запрещённые IP-адреса	Директ, параметры кампании	объявления не показываются с этих адресов, клик не списывается	до 25 адресов на кампанию, маски подсетей не поддерживаются
IP exclusions	Google Ads, настройки кампании	до 500 адресов или диапазонов	не работает для части типов кампаний, диапазон задаётся звёздочкой
Запрещённые площадки	Директ, параметры кампании	отключение сайтов и приложений РСЯ	только сети, поиск не затрагивает; лимит около тысячи площадок
Корректировка ставок по сегменту	Метрика + Директ	минус 100% на сегмент «отказники с рекламы»	работает по аудиторным условиям, не мгновенно
Отключение автотаргетинга	Директ, группа объявлений	убирает нерелевантные показы, на которых чаще всего кликают случайно	падает охват, нужен пересбор семантики
Блокировка в .htaccess или nginx	сервер сайта	бот не получает страницу	клик уже оплачен, бюджет не спасает; помогает против накрутки поведенческих

Лимит в 25 адресов в Директе — главная головная боль: в список надо класть не всё подряд, а самые дорогие адреса, давшие максимум кликов за период. Мобильные операторы выдают динамические адреса, и через сутки бот придёт с другого. Против мобильного фрода чёрный список почти бесполезен, работает он на стационарных подключениях и серверных подсетях хостеров.

Блокировка на сервере денег за клик не возвращает: списание происходит на стороне рекламной системы до того, как запрос дошёл до сайта. Её смысл в другом — если та же сеть накручивает поведенческие факторы и портит выдачу, блокировка в конфигурации сервера эту задачу решает. Главная ловушка: правила слетают при любой перезаписи файла конфигурации, поэтому список надо хранить отдельно и проверять раз в месяц.

Каких роботов банить нельзя

Самая дорогая ошибка в этой теме — увлечься и закрыть доступ поисковым роботам. Разбирая логи, легко увидеть адрес с тысячей запросов за сутки и рефлекторно отправить его в блок. А это был YandexBot, который обходил ваш сайт, и через две недели вы получите массовое выпадение страниц из индекса.

• Роботы Яндекса и Google блокировать нельзя ни при каких обстоятельствах. Ни в чёрном списке Директа, ни на уровне сервера. Кликов по объявлениям они вам не сделают, а вот органический трафик потерять можно полностью.
• Проверять принадлежность робота нужно обратным DNS-запросом, а не по User-Agent: подделать строку User-Agent может кто угодно. Команда host 5.255.253.1 для настоящего робота Яндекса вернёт имя в зоне yandex.com или yandex.ru, для Google — в зоне googlebot.com. Затем полученное имя нужно проверить прямым запросом обратно в адрес — совпало, значит робот настоящий.
• Роботы Метрики, Вебмастера и Search Console тоже должны иметь свободный доступ, иначе перестанут работать проверки доступности и разметки.
• ИИ-краулеры вроде GPTBot, ClaudeBot и PerplexityBot по контекстной рекламе не кликают и на бюджет не влияют. Закрывать их или нет — вопрос стратегии присутствия в ИИ-ответах, а не защиты от кликфрода.

Настройки кампаний, которые снижают ущерб сильнее антифрода

По моему опыту, аккуратная настройка убирает 60–80 процентов «фродового» расхода — то есть больше, чем любой чёрный список. Порядок действий такой.

1. Разделить поиск и сети. В одной кампании невозможно оценить, откуда именно течёт бюджет.
2. Ограничить дневной бюджет с равномерным распределением. Тогда конкурент не выкачает суточную сумму за первый час: система растянет показы.
3. Отключить показы в мобильных приложениях, если продукт не для них. Значительная часть случайных тапов приходит оттуда.
4. Чистить площадки РСЯ раз в неделю, отключая всё, что дало 50 и более кликов и ноль целевых действий.
5. Сузить географию до регионов, где вы реально работаете.
6. Уточнить минус-слова и отключить лишние категории автотаргетинга. Клик по нерелевантному запросу — тот же слив, только оформленный законно.
7. Считать не клики, а стоимость обращения. Пока вы смотрите на CTR и цену клика, вы не видите, что происходит с деньгами.

Сервисы защиты, цены и когда они не работают

На рынке есть отдельный класс сервисов кликфрод-защиты: они ставят свой скрипт на сайт, снимают отпечаток браузера, считают повторные визиты и автоматически передают адреса в чёрный список рекламной системы. Разброс цен в 2026 году примерно такой.

Вариант	Что входит	Стоимость	Когда оправдан
Ручной разбор логов силами специалиста	выгрузка, анализ, список адресов, настройка кампаний	8 000–25 000 ₽ разово	разовая проверка гипотезы «нас скликивают»
Скрипт антифрода начального уровня	отпечаток браузера, автопополнение чёрного списка	1 500–4 000 ₽ в месяц	бюджет от 100 000 ₽ в месяц, ниша с дорогим кликом
Антифрод-платформа с отчётностью	сегменты, интеграция с Директом и Ads, выгрузки, поддержка	6 000–20 000 ₽ в месяц	несколько проектов или агентство
Собственный разбор через Logs API	скрипт выгрузки визитов с IP и метками, свой отчёт	стоимость 5–10 часов разработки	есть свой разработчик, нужен полный контроль
Регулярное ведение кампаний с еженедельной чисткой	площадки, минус-слова, ставки, отчёт по конверсиям	15 000–40 000 ₽ в месяц	почти всегда — даёт больший эффект, чем антифрод

Теперь честно о том, когда защита не работает.

• Фрод идёт с мобильных адресов. Оператор выдаёт новый адрес каждые несколько часов, лимит в 25 записей исчерпывается за день.
• Клики совершают живые люди. Биржи заданий, где человек за небольшую плату кликает с собственного телефона, не ловятся ни отпечатком браузера, ни поведением: поведение у них человеческое.
• Проблема не в фроде. Если после чистки всех подозрительных адресов расход не изменился, вы боролись не с тем. Самый частый исход, и он полезен: возвращает внимание к посадочной и офферу.
• Скрипт антифрода режет живых людей. Агрессивные настройки блокируют корпоративные сети, где сотни сотрудников выходят с одного адреса. Потерянные заявки дороже сэкономленных кликов.

Частые ошибки и чеклист проверки

Ошибки, которые я вижу чаще всего: судить о скликивании по одному дню; считать фродом любой отказ; блокировать адреса без проверки на принадлежность поисковым роботам; требовать от поддержки возврата без выгрузки логов; ставить антифрод на кампанию с бюджетом 20 000 рублей, где сервис дороже возможной экономии; отключать рекламу целиком «пока не разберёмся» — это потеря позиции в аукционе и рост цены клика при возврате.

Чеклист, по которому я прохожу разбор:

1. Сравнить 30 дней с предыдущими 30: клики, расход, конверсии, стоимость обращения.
2. Проверить, менялись ли за период ставки, объявления, посадочная и стратегия. Если менялись — сначала объяснять изменениями.
3. Посмотреть отчёт по площадкам РСЯ и распределение расхода по часам.
4. Выгрузить визиты с рекламными метками и адресами через логи сервера или Logs API.
5. Посчитать клики по каждому адресу и найти повторы по дням.
6. Проверить подозрительные адреса обратным DNS: не робот ли это поисковой системы.
7. Проверить, грузились ли с этих адресов картинки и скрипты страницы.
8. Добавить до 25 худших адресов в запрещённые в Директе, диапазоны — в Google Ads.
9. Отключить площадки-лидеры по расходу с нулевой конверсией и написать в поддержку с выгрузкой.
10. Через две недели повторить замер и сравнить стоимость обращения, а не число кликов.

Настройку и ведение кампаний с защитой от фрода я закрываю в рамках контекстной рекламы. Куда ведёт трафик и не теряется ли он на сайте, покажет бесплатный аудит.

Коротко

• Кликфрод существует, но большая часть жалоб на скликивание объясняется настройками кампании, а не действиями конкурентов.
• Яндекс и Google сами фильтруют часть недействительных кликов и возвращают деньги, но делают это не мгновенно и не полностью.
• Доказательство фрода — совпадение признаков: короткие визиты, повторы с одного адреса по дням, ночная активность, монотонный отпечаток браузера, рост кликов без роста конверсий.
• Главный рабочий инструмент — логи сервера в связке с метками yclid и gclid, либо выгрузка визитов с адресами через Logs API Метрики.
• В Директе можно запретить показы для 25 адресов на кампанию, в Google Ads — до 500 адресов и диапазонов; против мобильного фрода это почти не помогает.
• Роботов Яндекса и Google блокировать нельзя, принадлежность проверяется обратным DNS, а не строкой User-Agent.
• Разделение поиска и сетей, равномерный дневной бюджет, чистка площадок и минус-слов убирают больше слитого бюджета, чем любой платный антифрод.
• Сервисы защиты стоят от 1 500 до 20 000 рублей в месяц и оправданы при дорогом клике и бюджете от ста тысяч; при малых бюджетах дешевле разовый разбор. Результат мерять стоимостью обращения, а не числом кликов.

Если нужно раскрутка сайта в Яндексе — помогу вывести сайт в топ Яндекса и удержать позиции.