yclid, gclid и другие метки кликов: как по ним находить ботов в рекламном трафике

Откройте адрес страницы после перехода с рекламы. В конце будет что-то вроде ?yclid=1234567890123456789 или ?gclid=CjwKCAjw…. Это метка клика — и это единственный надёжный способ понять, что визит оплачен. Разберёмся, что в ней зашито и как её использует защита от ботов.

Откуда берётся метка

Когда человек нажимает на объявление, рекламная система перенаправляет его на вашу посадочную и дописывает к адресу параметр с уникальным номером клика. Директ ставит yclid, Google Ads — gclid, а для переходов из приложений на iOS, где обычное отслеживание ограничено, — gbraid и wbraid.

По этому номеру рекламная система и аналитика связывают визит с объявлением, ключевым словом и расходом. Один клик — один номер. Если ссылку с меткой скопируют и откроют ещё раз, аналитика увидит повтор и не посчитает его новым кликом.

Чем метка клика отличается от UTM

UTM-метки — utm_source, utm_medium, utm_campaign — вы прописываете в ссылках сами. Это соглашение: utm_source=yandex означает «из Яндекса» только потому, что вы так решили. Любой может прислать на сайт запрос с любыми UTM, и спамеры этим пользуются, чтобы попасть в ваши отчёты.

Метку клика добавляет рекламная система в момент клика. Придумать валидный yclid нельзя, а повторно использованный — виден. Поэтому для защиты именно метка клика, а не UTM, означает «этот визит оплачен». UTM остаются подсказкой о канале там, где метки клика нет.

Что защита делает с рекламным визитом

Визит с меткой клика проверяется теми же правилами, что и остальные: признаки клиента, адрес, частота, поведение. Разница в двух вещах.

Осторожность. Ошибка на оплаченном клике живого человека — самая дорогая из возможных: вы заплатили за переход, а посетитель увидел отказ. Поэтому порог для таких визитов консервативный, а при сомнении действие мягче — проверка браузера вместо отказа.

Отдельный учёт. Рекламные визиты попадают в свою статистику: сколько переходов с меткой было, какая доля из них пришлась на программы, с каких адресов и стран, по каким дням. Это и есть ответ на вопрос «сколько процентов моих кликов — боты», причём по вашему сайту, а не по отраслевой оценке.

Что умеет бот и чего не умеет

Бот умеет кликнуть по объявлению в выдаче и получить настоящий yclid: метку ему выдаст Яндекс. Поэтому «спрятать» рекламу от ботов удалением метки нельзя и бессмысленно.

Чего бот обычно не умеет — выглядеть как живой браузер по совокупности признаков: правильные заголовки, исполнение скриптов, отпечаток графики, темп запросов, отсутствие следов автоматизации. Именно там его и ловят, а метка клика лишь говорит, что эта поимка стоила вам денег.

Что делать с найденными адресами

Для адресов, которые кликали и оказались программами, у рекламных систем есть исключения: Директ принимает до 25 адресов на кампанию в поле «Запрещённые IP-адреса», Google Ads — до 500 исключений IP на уровне кампании. Защита готовит списки под оба формата, кликавшие по рекламе идут первыми.

Честное замечание: исключение адресов — страховка от повторов с одной сети. Боты меняют адреса, и список стареет за неделю. Основной эффект даёт блокировка на сайте: бот с меткой клика не видит страницу, не отправляет форму и не учит автостратегию.

Куда смотреть в кабинете

В BotBan раздел «Реклама» показывает переходы с метками по дням, долю ботов, их адреса и страны и собирает отчёт для обращения в рекламную систему: даты, адреса, признаки. А в журнале визитов у каждого рекламного перехода стоит пометка клика — можно открыть любой и увидеть, почему он признан программой.