Скликивание рекламы в Яндекс Директ: как защититься и не слить бюджет

Картина, которую я вижу почти каждый месяц. Приходит владелец бизнеса: «Анатолий, за август ушло 62 000 рублей, 480 кликов, три заявки. Нас скликивают конкуренты, я уверен». Открываем кабинет, открываем Метрику — и в семи случаях из десяти конкуренты тут вообще ни при чём. Деньги действительно утекают, но по другой трубе.

Это не значит, что склика не существует. Он есть, я его находил и блокировал, и ниже покажу конкретные IP-признаки, по которым бот-ферма отличается от живого клиента. Но начинать надо не с паники и не с блокировок, а с диагностики. Иначе получается классика: человек в ярости выключает всю РСЯ, банит половину подсетей, заодно закрывает доступ поисковым роботам — и через месяц у него нет ни рекламы, ни органики.

Разберём по порядку: чем занимается сам Яндекс, что видно в Метрике, как поднять логи сервера и вытащить оттуда реальные адреса, и что с этими адресами делать.

Миф первый: «меня скликивают конкуренты каждый день»

Первое, что нужно понять: вы не одиноки в этой борьбе. У Яндекса есть собственная многоступенчатая система фильтрации недействительных кликов, и работает она не по наивному принципу «два клика с одного IP — значит фрод». Система анализирует поведение: траекторию курсора, скорость перехода, характеристики устройства и браузера, историю активности, соответствие технических параметров заявленному User-Agent, повторяемость шаблонов.

Клики, признанные недействительными, не оплачиваются. Если списание уже произошло — деньги возвращаются на счёт кампании, обычно в течение суток. Отдельной строчки «вам вернули за склик» в интерфейсе вы не увидите, но разница между «показами кликов» в статистике и фактическим списанием как раз и есть работа фильтров.

Из этого следует важный вывод, который экономит людям недели нервов: организованный склик конкурентами — история редкая и, как правило, недолгая. Это дорого, это неэффективно (фильтры съедают большую часть), и это довольно быстро прекращают. А вот три вещи, которые сливают бюджет постоянно и незаметно, встречаются практически у каждого:

• Нецелевая семантика. Объявление показывается по запросам, которые формально содержат ключ, но никакого отношения к покупке не имеют. Человек кликнул, понял, что не туда, ушёл. Клик оплачен, он абсолютно «действительный», и Яндекс за него денег не вернёт.
• Мусорные площадки РСЯ. Мобильные игры, приложения-фонарики, сайты-помойки с кликбейтом. Там кликают случайно, пальцем по баннеру.
• Внешние сети (SSP/DSP-биржи). Самая тёмная зона, где качество трафика хуже всего. Про них отдельно ниже — это, по моему опыту, крупнейшая дыра в бюджете.

Поэтому порядок действий такой: сначала диагностика, потом выводы, и только потом блокировки. Не наоборот.

Диагностика в Яндекс Метрике: как отличить склик от мусорного трафика

Метрика не покажет вам IP-адреса — об этом дальше. Но она отлично показывает характер трафика, а этого достаточно, чтобы поставить предварительный диагноз за двадцать минут.

Открываем отчёт по источникам, выделяем рекламный трафик Директа и сравниваем его с органикой и прямыми заходами по пяти показателям: отказы, время на сайте, глубина просмотра, доля новых посетителей и — ключевое — среднее число визитов на одного пользователя.

Вот реальный срез с сайта одного из моих клиентов (услуги, Санкт-Петербург, месяц наблюдений). Цифры округлены, но пропорции настоящие:

Источник	Отказы	Время на сайте	Глубина	Визитов на пользователя	Конверсия
Директ — поиск	22%	2 мин 40 с	3,1	1,2	4,1%
Директ — РСЯ	68%	29 с	1,1	1,1	0,3%
Директ — внешние сети	89%	11 с	1,0	1,0	0%
Органика (Яндекс)	14%	3 мин 50 с	4,2	1,6	5,2%
Прямые заходы	11%	4 мин 10 с	4,8	2,3	6,0%

Теперь читаем таблицу как врач читает анализы. Здесь склика нет. Поиск Директа ведёт себя нормально — люди читают, ходят по страницам, оставляют заявки. А вот РСЯ и особенно внешние сети — это чистый мусор: зашёл, отскочил, ушёл. Диагноз: не атака, а плохие площадки. Лечится чисткой, а не блокировкой IP.

Как выглядит настоящий склик человеком. Признак совсем другой и очень характерный — аномальное число визитов на одного пользователя с рекламы. Если у вас не настроен ретаргетинг и нет причин для повторных заходов, а Метрика показывает по рекламному трафику 5, 8, 12 визитов на пользователя — вот это уже разговор. Дополнительные маркеры:

• доля вернувшихся посетителей с рекламы выше 35–40% при том, что с органики она 15%;
• заходы идут пачками в узком временном окне, чаще в рабочие часы будних дней;
• ноль конверсий у этой группы при вполне живом времени на сайте;
• в Вебвизоре — бессмысленный скролл вниз-вверх или мгновенный уход, но без типичной для бота «телепортации» курсора.

Как выглядит мусор. Отказ 70–90%, одна страница, 10–40 секунд, почти все посетители новые, повторных визитов нет. Это не враг, это плохая площадка или кривой таргетинг.

Практический приём: в отчёте по посетителям поставьте фильтр по источнику «Переходы по рекламе» и отсортируйте по числу визитов. Если наверху списка сидят пользователи с 10+ визитами и нулём целевых действий — переходим к логам.

Анализ логов сервера по yclid — единственный способ увидеть IP скликивателя

Здесь начинается то, чего 90% директологов не делают, потому что не умеют или ленятся.

Ни в интерфейсе Директа, ни в Метрике вы IP-адресов не увидите. Это не баг и не жадность — это требования законодательства о персональных данных: IP относится к сведениям, позволяющим идентифицировать пользователя, и Яндекс их обезличивает. Директ покажет регион, устройство, площадку — но не адрес.

Единственное место, где адрес есть, — это access-логи вашего собственного хостинга. Nginx, Apache, неважно. В панели хостинга это обычно раздел «Логи» или файл вида /var/log/nginx/access.log. Берём логи за 2–4 недели.

Дальше — фокус, который делает работу возможной. Каждый переход именно из Яндекс Директа помечен параметром yclid в URL. Не из органики, не из соцсетей, не из РСЯ-по-ссылке — именно клик по объявлению Директа. Значит, отфильтровав строки с yclid, мы получаем чистую выборку рекламных заходов с привязкой к IP.

И здесь же — главная ошибка, на которой обжигаются все новички. Один клик даёт не одну строку в логе, а двадцать-шестьдесят. Браузер тянет HTML, потом картинки, шрифты, скрипты, стили — и каждый запрос пишется отдельной строкой. Если вы просто посчитаете строки с одного IP, у вас «обычный клиент» превратится в злостного скликивателя с 47 кликами. Считать нужно уникальные yclid, потому что один yclid — это ровно один оплаченный клик.

Рабочая последовательность команд, если есть SSH-доступ:

grep 'yclid=' access.log | sed -E 's/^([0-9.]+).*yclid=([0-9]+).*/\1 \2/' | sort -u | awk '{print $1}' | uniq -c | sort -rn | head -30

Что делает: выбирает все рекламные заходы, вытаскивает пару «IP + yclid», убирает дубли (это и есть схлопывание 40 строк в один клик), считает уникальные клики по каждому адресу и выводит топ-30.

Общее число оплаченных кликов за период для сверки со статистикой Директа:

grep -o 'yclid=[0-9]*' access.log | sort -u | wc -l

И User-Agent конкретного подозреваемого:

grep '^185.xxx.xxx.xxx' access.log | grep 'yclid=' | head -5

Если SSH нет — логи можно скачать через файловый менеджер хостинга и разобрать тем же способом локально, хоть в консоли, хоть скриптом. Принцип не меняется.

Как отличить бота от поискового краулера — и кого нельзя трогать ни в коем случае

Получив список адресов, не хватайтесь за кнопку «заблокировать». Половина того, что выглядит подозрительно, — это легитимные роботы, за клики которых с вас никто денег не берёт, а блокировка которых обойдётся дороже любого склика.

Что видим в логах	Кто это	Вердикт
User-Agent содержит YandexBot, YandexMetrika, YandexDirect	Собственные роботы Яндекса: индексация, проверка Метрики, проверка посадочных страниц объявлений	🟢 Не трогать. Блок = выпадение из индекса и отклонённые объявления
AdsBot-Google, Googlebot	Краулеры Google — индексация и проверка рекламных страниц	🟢 Не трогать. Блок = потеря органики в Google
Один адрес, 3–5 уникальных yclid за месяц, живой современный браузер, разное время суток	Обычный человек, который сравнивает предложения	🟡 Норма. Это ваш будущий клиент
Десятки адресов одной подсети /24 с одинаковым User-Agent старой версии — например, Mac OS X 10_6_7 (это 2011 год)	Бот-ферма с зашитым фейковым отпечатком браузера	🔴 Блокировать
Адреса дата-центров (Hetzner, OVH, DigitalOcean, Selectel), реферер пустой, запрашивается только HTML без картинок и скриптов	Серверный бот, не браузер	🔴 Блокировать
Один адрес, 20–40 уникальных yclid за неделю, ноль конверсий, заходы каждые 15–20 минут	Либо ручной склик, либо скрипт с домашнего IP	🔴 Блокировать

Тот случай с Mac OS X 10_6_7 — из моей практики, и он показателен. Сама по себе одна старая система ничего не значит: у людей бывают древние машины. Но когда тридцать разных адресов из одной подсети приходят с одним и тем же браузером пятнадцатилетней давности, при этом ни один не грузит картинки — это уже не совпадение, а конфигурация.

Проверить принадлежность адреса просто: whois или любой публичный сервис определения ASN покажет, чей это диапазон. Хостинг-провайдер в результатах — почти всегда красный флаг для рекламного трафика. Живой клиент приходит от «Ростелекома», МТС, «Билайна», городского провайдера — но не от дата-центра во Франкфурте.

Блокировка: IP-адреса, площадки РСЯ и главная дыра — внешние сети

Список готов, боты отсеяны. Теперь закрываем двери.

Шаг 1. Запрет IP в кампании. Настройки кампании → блок «Запрет показов» → «Запрещённые IP-адреса». Ограничение — до 25 адресов на кампанию, диапазоны и маски не поддерживаются, только конкретные адреса. Поэтому подсеть целиком забанить не выйдет: берём 25 самых активных по числу уникальных yclid и вносим их.

Руками это делается за десять минут на одну кампанию. Если кампаний двенадцать — вечер уходит впустую, и через месяц всё повторяется. Я эту часть давно автоматизировал: через API Директа список правится сразу по всем кампаниям аккаунта одним запросом (в методе обновления кампаний за это отвечают поля с блокируемыми адресами и запрещёнными площадками). Обновление списка занимает минуты и не требует ручного клика ни разу.

Шаг 2. Чистка площадок РСЯ. Мастер отчётов → срез «Название площадки» → показатели: клики, расход, конверсии, отказы. Ставим фильтр: кликов больше 5, конверсий — ноль. Всё, что попало в этот список, отправляется в «Запрещённые площадки». Типичные обитатели: приложения с именами вида com.something.game, домены-агрегаторы новостного мусора, сайты с автоматическим переводом контента.

Здесь важна регулярность. Площадки в РСЯ обновляются, и разовая чистка держится месяц-полтора. Я пересматриваю список раз в две недели.

Шаг 3. Внешние сети — самый жирный слив. В отчёте по площадкам обратите внимание на строки, начинающиеся с dsp-. Это внешние SSP/DSP-биржи, куда Яндекс отдаёт часть показов. Качество трафика там стабильно худшее в системе: отказ под 90%, время на сайте 10 секунд, конверсия околонулевая. Именно эти строки чаще всего и принимают за «склик конкурентов».

Решение простое: вносим все внешние площадки в запрещённые. У одного клиента с бюджетом 90 000 ₽ в месяц отключение внешних сетей высвободило около 23 000 ₽ — при этом количество заявок не упало ни на одну, а выросло, потому что освободившийся бюджет ушёл на поиск.

Шаг 4. Корректировки и фиксация. После блокировок неделю наблюдаем в Метрике те же пять показателей. Отказы по рекламе должны просесть, время на сайте — вырасти, стоимость заявки — упасть. Если ничего не изменилось, значит диагноз был поставлен неверно и проблема в семантике или на самой посадочной странице. Тогда лечим уже сайт — иногда это доработка страницы под конверсию, а не настройки кампании.

Чего делать НЕ надо: четыре ошибки дороже самого склика

Гоняться за каждым адресом. Динамические IP меняются, мобильные операторы выдают один адрес сотням абонентов, VPN перекидывает пользователя за секунду. Заблокировав «на всякий случай» полсотни адресов, вы с большой вероятностью отрежете живых клиентов, а бот вернётся с нового адреса через час. Лимит в 25 адресов на кампанию — это не жадность Яндекса, это намёк: работать нужно с системными паразитами, а не с шумом.

Блокировать поисковых роботов на уровне сервера. Видел это дважды, и оба раза последствия были тяжелее любого склика. Человек находит в логах «подозрительную» активность YandexBot, закрывает его в .htaccess — и через три недели сайт вываливается из выдачи. Восстановление позиций после такого занимает месяцы. Рекламные краулеры Яндекса и Google денег с вас не снимают, они проверяют доступность посадочных страниц.

Отключать РСЯ целиком из-за пары мусорных площадок. РСЯ бывает очень эффективной — в товарке, в услугах с отложенным спросом, в ретаргетинге. Выключить её полностью — это как ампутировать ногу из-за занозы. Точечная чистка площадок даёт тот же эффект без потери охвата.

Писать в поддержку «верните деньги за склик» без данных. Обращение вида «мне кажется, меня скликивают» не приведёт ни к чему. Обращение с выгрузкой из логов, списком адресов, числом уникальных yclid по каждому и временными метками рассматривается совсем иначе. Разница — в подготовке.

Частые вопросы про скликивание рекламы в Яндекс Директ

Скликивают ли конкуренты рекламу на самом деле?
Да, такое бывает, но заметно реже, чем принято думать. Организованный склик — дорогое и малоэффективное занятие, потому что фильтры Яндекса отсеивают большую часть подобной активности и деньги за такие клики не списываются. По моему опыту, из десяти обращений «нас скликивают» подтверждается примерно два-три, а остальное оказывается мусорным трафиком внешних сетей и площадок РСЯ.

Вернёт ли Яндекс деньги за скликивание?
За клики, которые система признала недействительными, деньги не списываются вовсе, а если списание уже прошло — сумма возвращается на счёт кампании автоматически, без заявления. Отдельной компенсации «за склик» по факту жалобы не существует: работает именно автоматическая фильтрация. Но обращение в поддержку с конкретными данными из логов имеет смысл — оно помогает системе доучиться на вашем случае.

Как заблокировать IP в Яндекс Директ?
Настройки кампании → «Запрет показов» → «Запрещённые IP-адреса». Вносится до 25 конкретных адресов на кампанию, диапазоны не поддерживаются. Список нужно вносить в каждую кампанию отдельно — либо править массово через API, если кампаний много.

Можно ли увидеть IP-адрес того, кто кликает по объявлениям?
В интерфейсе Директа и в Яндекс Метрике — нет, эти данные обезличиваются по требованиям законодательства о персональных данных. Единственный источник — access-логи вашего хостинга: там сохраняется и адрес, и User-Agent, и метка yclid, по которой рекламный переход отличается от любого другого.

Как часто нужно повторять чистку?
Площадки РСЯ я пересматриваю раз в две недели, логи поднимаю раз в месяц. Это не разовая процедура: и список площадок, и поведение ботов меняются постоянно.

Разберу вашу рекламу так же, как в этой статье

Защита от скликивания — не паранойя и не магия, а последовательная работа: диагностика в Метрике → анализ логов по метке yclid → отсев легитимных роботов от реальных ботов → блокировка адресов, площадок и внешних сетей → повторная сверка через неделю. Каждый шаг здесь описан честно, без утаивания «секретных» приёмов. Проблема в другом: сделать это самому — долго, а ошибиться на этапе «кого блокировать» — легко и дорого.

Если вы дочитали до этого места и узнали свою ситуацию — давайте разберём вашу кампанию предметно. Я проверю Метрику по всем пяти показателям, подниму access-логи вашего хостинга, посчитаю уникальные клики по каждому адресу, отделю поисковых роботов от бот-ферм, вычищу мусорные площадки РСЯ, отключу внешние сети и настрою запреты сразу по всем кампаниям через API — без потери целевого трафика. Подробнее об услуге — на странице настройки и ведения контекстной рекламы.

И сразу скажу то, что редко говорят директологи. Контекст — это аренда трафика: перестали платить, поток закончился в тот же день. Поэтому параллельно с наведением порядка в Директе я почти всегда предлагаю строить второй канал — тот, который работает без ежедневного счётчика. Это SEO-продвижение белыми методами и GEO-продвижение — оптимизация под генеративный поиск, где ваш сайт начинают цитировать YandexGPT, GigaChat, ChatGPT и Perplexity. Пока конкуренты соревнуются в ставках, вы получаете заявки, за которые не платите за клик. Как это выглядит на конкретных проектах — в кейсах по продвижению сайтов.

Начать можно с малого: закажите бесплатный аудит сайта, чтобы увидеть, куда вообще приземляется ваш платный трафик, или запишитесь на SEO-консультацию — разберём вашу ситуацию за час. Заявку на аудит Директа и настройку защиты от скликивания под ключ оставляйте через форму обратной связи или звоните напрямую: +7 (921) 333-77-45. Работаю сам, без менеджеров и посредников — отвечаю за результат лично.