Как интерпретировать ответ DFP

user_id — стабильный идентификатор клиентского окружения.

Говоря проще, это ID, который описывает уникальную связку «конкретный браузер + конкретное устройство» (DFP для сайта) или уникальное устройство (DFP для мобильного приложения). ID остаётся стабильным, даже когда пользователь меняет разные настройки. Например, если он:

ID будет тем же самым, ведь главный критерий выполняется: устройство и браузер остались те же. А вот если пользователь откроет другой браузер или сделает запрос с нового устройства, вы увидите другой ID.

Смена user_id может быть нормой: пользователь зашёл с другого телефона или скачал новый браузер. А может говорить об опасном сценарии: например, у пользователя украли токен аутентификации и пытаются с ним залогиниться.

Использование нескольких аккаунтов с одного user_id тоже может быть нормальным — например, если одним компьютером пользуется вся семья. Но в другом контексте это может быть сигналом фрода: например, злоумышленник плодит аккаунты, чтобы получить бонусы по реферальной программе.

user_id особенно полезен, когда нужно понять, что перед вами уже знакомое окружение.

new_user: true значит, что DFP не встречал это клиентское окружение при предыдущих посещениях вашего ресурса. new_user: false — ваш ресурс уже посещали из этого окружения.

new_user: true не значит, что перед вами обязательно новый человек или новый аккаунт: пользователь мог уже заходить с другого браузера или устройства. И наоборот, одно окружение могут использовать несколько людей. Поле показывает только историю посещений вашего ресурса из конкретного клиентского окружения.

Поле полезно, когда важно отличать знакомые окружения от тех, с которых ресурс посещают впервые: например, при входе в аккаунт.

Если пользователь логинится из совсем незнакомого окружения, риск, что пароль украли, выше. Лучше запросить дополнительное подтверждение, например, отправить код на имейл.

confidence_score: 1 — DFP уверен, что user_id определён правильно. Значения ниже 1 означают снижение уверенности.

Если DFP встречает окружение, которое раньше не посещало ваш ресурс (new_user: true), то выдаёт ему новый user_id. В таких случаях confidence_score всегда равен 1.

Если DFP встречает окружение, которое уже посещало ваш ресурс, то выдаёт связанный с ним user_id. В этом случае confidence_score может отличаться от 1. Чем ниже значение, тем больше параметров текущего окружения отличается от набора, который DFP видел раньше. Но совпадений всё ещё достаточно, чтобы распознать его.

bot_score показывает, насколько запрос похож на автоматизированный или содержит признаки подмены параметров клиентского окружения. Значение находится в диапазоне от 0 до 1.

Высокий bot_score не означает, что запрос нужно сразу блокировать. Важно смотреть на сценарий: если бот стучится в открытый API, это нормальное поведение. А вот если похожий на бота клиент пытается восстановить пароль, создать много аккаунтов или применить промокод, риск гораздо выше.

bot_score полезен там, где автоматизация может навредить бизнесу.

proxy_score показывает, насколько вероятно, что при отправке запроса использовался VPN или прокси. Значение находится в диапазоне от 0 до 1. DFP оценивает его, сравнивая параметры браузера с параметрами сетевого соединения.

proxy_signs показывает, почему DFP поставил такую оценку: в массиве перечислены признаки VPN или прокси, которые он нашёл.

proxy_score полезен в сценариях, где важен регион или сеть пользователя: например, при анализе подозрительных входов, защите финансовых операций или ограничении доступа по региону.

hosting: true значит, что IP отправителя относится к хостинговой подсети.

Для обычного пользовательского продукта это может быть подозрительно. Реальные пользователи обычно заходят из домашних, мобильных, офисных или корпоративных сетей. Хостинговые подсети чаще используют для скриптов, парсеров, ботов, тестовых стендов и массовых запросов.

Но hosting: true не доказывает фрод автоматически. Запрос может прийти из корпоративной инфраструктуры, прокси, мониторинга, внутреннего инструмента или тестового окружения.

bot_hosting: true значит, что IP отправителя относится к хостинговой подсети, откуда мы зафиксировали активность ботов или другую подозрительную активность.

Это более сильный риск-фактор, чем hosting: true: поле hosting говорит только о типе подсети, а bot_hosting добавляет репутационный контекст.

Пользователь пытается совершить важное действие: например, зарегистрировать аккаунт, применить промокод или восстановить пароль. Запрос пришёл из хостинговой подсети с bot_hosting: true, а bot_score средний или высокий.

Это повод провести дополнительную проверку: выдать CAPTCHA, запросить одноразовый код из СМС или отправить подтверждение по почте.

isp_active_subnet: true значит, что пользователь подключился к интернету через обычную сеть интернет-провайдера — такую, которую используют для домашнего, мобильного или корпоративного доступа в интернет.

Это дополнительный контекст о сети пользователя. Сам по себе параметр не подтверждает ни безопасность, ни подозрительность запроса.

Поле может служить дополнительным сигналом для вашего сценария. Например, если важно защититься от регистраций ботами и вы видите низкий bot_score в сочетании с hosting: false и bot_hosting: false, то isp_active_subnet: true станет дополнительным подтверждением, что запрос похож на обращение обычного пользователя.

tor: true значит, что IP отправителя относится к сети Tor, которая скрывает реальный адрес пользователя.

Сам по себе Tor не доказывает нарушение: его используют и для приватности. Но для действий с деньгами или доступом к аккаунту это заметный риск-фактор.

Пользователь добавляет новый банковский счёт для вывода средств, при этом tor: true. Раньше он выполнял финансовые операции без Tor.

Теперь пользователь скрывает свой IP-адрес при изменении реквизитов для вывода денег. Такое изменение привычного поведения — повод запросить дополнительное подтверждение перед сохранением новых реквизитов.

incognito: true значит, что пользователь открыл страницу в режиме инкогнито или приватного просмотра.

Все мы иногда используем инкогнито — например, если логинимся в аккаунт с чужого компьютера. Но иногда его используют, чтобы злоупотребить ресурсом: например, сбросить cookie и выдать себя за нового пользователя.

Само по себе инкогнито не доказывает нарушение. Но если оно появляется вместе с VPN, новым поведением, повторными действиями или тем же user_id, его стоит учитывать.

Инкогнито полезно учитывать в промоакциях, голосованиях, опросах, бесплатных лимитах и paywall-сценариях. Он становится дополнительным сигналом — чаще всего, в связке с user_id.

antidetect: true значит, что используется антидетект-браузер. Он подменяет параметры браузера и отпечаток, чтобы с одного устройства можно было выдавать себя за разных пользователей.

Обычные пользователи такие браузеры, как правило, не используют, поэтому это сильный риск-фактор.

За короткое время на вашем сайте появляется много новых аккаунтов. При регистрации DFP обнаруживает antidetect: true.

С помощью антидетект-браузера можно подменять параметры браузера и цифровой отпечаток, чтобы создавать видимость разных клиентских окружений. В сочетании с массовыми регистрациями это может указывать на попытку обойти ограничения сервиса.

Можно отправить такие регистрации на дополнительную проверку или временно ограничить создание новых аккаунтов.

vm: true значит, что браузер запущен в виртуальной машине.

Само по себе это не доказывает нарушение: виртуальные машины используют разработчики, тестировщики и компании с виртуальными рабочими местами. Но их используют и для массовой регистрации аккаунтов. Поэтому поле стоит учитывать вместе с другими сигналами.

На вашем сайте за короткое время появляется много новых регистраций с vm: true, hosting: true и bot_score: 0.6.

Это значит, что браузеры запущены в виртуальных машинах, запросы приходят из хостинговых подсетей, а DFP обнаруживает признаки автоматизации.

Такое сочетание сигналов может указывать на массовую автоматизированную регистрацию. Можно выдавать CAPTCHA или отправлять подозрительные регистрации на модерацию.

rdp: true значит, что DFP обнаружил признаки использования программы для удалённого доступа.

Удалённый доступ используют легитимно: для работы из дома или помощи техподдержки. Но так же действуют мошенники: убеждают пользователя установить программу и сами управляют его устройством.

Пользователь переводит крупную сумму на новый банковский счёт, при этом rdp: true.

Это может означать, что устройством пользователя управляют удалённо. Например, мошенник убедил его установить программу для удалённого доступа и теперь помогает провести перевод или выполняет действия вместо него.

Чтобы снизить риск потери денег, можно приостановить операцию и подтвердить её по другому каналу, например звонком.

webview: true значит, что ваш ресурс открыт внутри другого приложения (WebView), а не в обычном браузере. Например, пользователь перешёл по ссылке в мессенджере, и сайт открылся прямо в нём.

Чаще всего это обычная ситуация. Если ваше собственное приложение открывает страницы сайта через WebView, такие запросы тоже придут с webview: true.

Но WebView используют и мошенники: делают своё приложение, открывают в нём ваш сайт и перехватывают данные, которые вводит пользователь. Поэтому поле стоит учитывать на страницах, где пользователь вводит пароль, платёжные данные или подтверждает операцию.

Ваши клиенты входят в личный кабинет через браузер или ваше собственное приложение, которое не использует WebView для входа.

Но один из запросов на вход приходит с webview: true. Значит, страницу авторизации открыли внутри другого приложения. Это может быть обычный переход по ссылке, но также есть риск, что пользователь открыл страницу через приложение, которому не стоит доверять.

Можно запросить дополнительное подтверждение входа, например одноразовый код из СМС.

vpn: true показывает, что DFP обнаружил признаки использования VPN.

VPN — не синоним фрода. Пользователь может включить VPN для приватности, работы, доступа из корпоративной сети или стабильного соединения в поездке.

Но VPN важен там, где для вашего сценария значимы регион, сеть или история входов. Например, если вы ограничиваете доступ по стране, применяете региональные цены, выдаёте бонусы по географии, защищаете платежи или отслеживаете подозрительные входы.

Поэтому vpn лучше читать так: сетевой контекст скрыт или изменён. Дальше важно смотреть, что пользователь делает и какие ещё сигналы пришли вместе с VPN.

У вас сервис с региональными ценами. Пользователь пытается зарегистрироваться, но у него включён VPN.

Возможно, он просто использует VPN постоянно. А может быть, это способ привязать аккаунт к другому региону, где цены ниже. Вы выдаёте страницу: регистрация доступна только без VPN. Когда пользователь придёт без VPN, он сможет вернуться к форме и создать аккаунт.

mobile, os и engine дают контекст запроса:

Эти поля сами по себе не указывают на подозрительное поведение. Но их можно использовать как дополнительный контекст при анализе запросов.

У вас началась волна подозрительных регистраций. По одному запросу ничего необычного не видно, но в потоке появляется повторяющийся набор признаков: десктопное устройство, Linux, один и тот же браузерный движок, хостинговая подсеть и средний bot_score.

mobile, os и engine вместе с другими сигналами помогают описать автоматизированный паттерн и точнее настроить правила: например, отправлять такие регистрации на дополнительную проверку или ограничивать частоту запросов.

white_bot: true означает, что запрос пришёл из доверенного источника. Это возможно в двух случаях:

white_bot: true поможет бэкенду узнать доверенный запрос и не заблокировать его, даже если остальные признаки выглядят подозрительными.