Как мы отрезали 32% ботов в Яндекс.Директе (РСЯ) серверным скриптом и уронили CPL с 2500₽ до 450₽. Кейс без «черной магии», чистый PHP.

Привет, VC. На связи Александр из First Line (Самара).

Обычно кейсы агентств строятся так: «Мы перерисовали баннеры, поменяли заголовки, и продажи взлетели». Это работает, если проблема в креативах. Но что делать, если ваша реклама в РСЯ настроена идеально, CTR высокий, клики идут рекой, а отдел продаж получает заявки от людей, которые «ничего не заказывали», или вообще тишину в трубке?

В этой статье я расскажу, почему стандартная защита Яндекса пропускает фрод, почему на конструкторах с этим бороться почти невозможно и как мы написали свой модуль защиты «Железный Купол» (Iron Dome) на чистом PHP, сэкономив клиенту сотни тысяч рублей.

Дано:

Мы заподозрили, что трафик "отравлен". Роботность в Метрике показывала всего 5-7%. Но мы знаем, что умные боты давно научились имитировать движение мыши и скролл, обманывая стандартные счетчики.

Когда мы предложили клиенту переехать на самописный сайт (Pure Code), он удивился: "Зачем? Тильда же удобная".

Вот техническая реальность:Сайт на конструкторе — это "черный ящик". Вы контролируете только Frontend (картинки, тексты, JS-скрипты).Боты научились обходить JS-защиту. Они блокируют выполнение скриптов или подменяют заголовки браузера.

Чтобы реально остановить атаку, фильтрация должна происходить на Backend (на сервере), еще ДО того, как сайт отдаст контент браузеру. На конструкторах у вас нет доступа к серверу. Вы не можете выполнить PHP-код до загрузки страницы. Вы — арендатор без прав.

Нам нужен был свой сервер и свой код.

Мы разработали систему защиты на базе чистого PHP, которая работает по принципу "презумпции виновности". Каждый заход мы проверяем по трем слоям защиты.

(Технические детали упрощены для читаемости)

Боты заполняют формы мгновенно. Они видят код и вставляют туда данные за 0.01 сек.Живому человеку нужно время.Мы внедрили скрытую метку времени timestamp при генерации страницы. При отправке формы сервер вычисляет дельту: Время отправки - Время захода.

Классика, но эффективная. Мы добавляем в формы скрытое поле (opacity: 0, position: absolute), которое не видит глаз человека, но видит парсер бота.Если в скрытом поле есть хоть один символ — заявка помечается как Spam и даже не доходит до CRM, хотя боту мы отдаем ответ 200 OK, чтобы он не понял, что его поймали.

Самое интересное. Мы не просто смотрим на IP (их боты меняют через прокси). Мы анализируем "слепок" устройства: разрешение экрана, таймзону, GPU, шрифты.Если с одного "слепка" прилетает вторая заявка за сутки — мы блокируем возможность отправки формы.

Результат: Это не решает проблему на 100%, но отсекает 95% примитивного скликивания и спама форм.

Мы перенесли лендинг клиента на наш движок (HTML/PHP/Tailwind), подключили модуль защиты и перезапустили те же кампании в РСЯ.

Статистика за 30 дней (Сравнение Period-over-Period):

Клиент перестал платить за "воздух". Бюджет тот же, но загрузка отдела продаж выросла втрое.

Если тема интересна — в следующих статьях могу рассказать, как мы делаем микро-сайты под узкие сегменты РСЯ, которые дают конверсию 12-15%.

P.S. Кому интересно посчитать, сколько вы теряете на неэффективной воронке — мы выложили внутренний калькулятор эффективности у себя на сайте . Никаких регистраций, просто математика. www.ads63.ru