Tərəfdaşlıq linklərini rəqiblərdən necə qorumaq olar

Giriş: Linklər niyə puldur

Affiliate və ya media bayeri üçün ortaq link: oyunçunu kim gətirdi, CPA/RevShare ödəmək kimə. Hər hansı bir «sızma» (parametrlərin dəyişdirilməsi, klikləmə, sab-ID oğurluğu) = operatordan pul itkisi və reputasiya riskləri. Aşağıda - link, domen, infrastruktur və proseslər səviyyəsində sistem mühafizə planı.

1) Partiya bağlantılarına tipik hücumlar (nə baş verir)

1. Parametrlərin dəyişdirilməsi (Param Tampering)

Rəqib 'aff _ id', 'sub _ id', 'campaign' özlərinə dəyişir və trafiki «sizin» vitrin vasitəsilə göndərir.

2. Klikləmə (Click Hijacking/Ad Injection)

Son anda keçidini kəsən brauzer skript/uzantısını daxil edin.

3. Cookie stuffing/time-banni-hopping

Klikdən əvvəl və ya dərhal sonra atributu «oğurlamaq» üçün kuklalarınızı/piksellərinizi atın.

4. Marka squatting və tayposkvotting

Chat/icmalarda oxşar domenlərin/botların qeydiyyatı və linklərin dəyişdirilməsi.

5. UTM-stripping və sub-ID sıfırlama

Parametrlər ara redaktorlarda silinir → mənbələrə/yaradıcılığa görə kəsik itirilir.

6. Scraping lending və güzgü

CTA ilə birlikdə səhifəni kopyalayın və linki dəyişdirin.

2) Kritik müdafiə prinsipləri (texnikaya daxil olmadan əvvəl)

«Çılpaq» partiyanı cəbhədə saxlamayın. İstifadəçiyə qısa öz URL-ni göstərin və bütün "doldurma 'nı serverdə yığın.

Hər klik unikaldır. Klik öz ID və imza olmalıdır.

Hadisələri server tərəfində yoxlayın. Yalnız müştəri pikselləri deyil, S2S postbekləri.

Ara təbəqələrə minimum etimad. Üçüncü tərəflərin redaktorları nə qədər az olsa, bir o qədər yaxşıdır.

3) Referans müdafiə texnikaları

3. 1. Server redaktoru (own link shortener)

Nə etmək lazımdır:

Öz domeniniz vasitəsilə bütün xarici keçidləri edin, məsələn 'go. yoursite. com/XYZ`.
Server orijinal offer-URL və parametrləri toplamaq və yalnız orada 302/307 redirect yerinə yetirmək.
Üstünlüklər: «çılpaq» quruluşu gizlədir, logo yazmağa, imzalamağa və təsdiqləməyə imkan verir.
Əhəmiyyətli: Cache-Control: no-store (Cache-Control: no-store), HSTS və düzgün 'Referrer-Policy' daxil edin.

3. 2. Parametrlərin imzası (HMAC)

Niyə: sakitcə 'aff _ id/sub _ id' əvəz edilə bilməz.

Necə:

Parametrlər xəttini kanonik qaydada formalaşdırın, 'ts' (timestamp) və 'nonce' əlavə edin, 'sign = HMAC_SHA256 (secret, payload)' hesab edin.
Redaktordan əvvəl server əmin olur ki, 'sign' validen, 'ts' N dəqiqədən yuxarı deyil, 'nonce' əvvəllər istifadə olunmayıb (qısa müddətə saxlayın).
Nəticə: dəyişdirmə qeyri-sabit imzaya səbəb olur - sorğu rədd edilir.

3. 3. Qısa ömürlü tokenlər

Niyə: oğurlanmış linkin dəyərini minimuma endirmək.

Necə: IP/UA və ya 'click _ id' ilə bağlı 5-15 dəqiqə üçün token ('jwt' və ya opaque) verin. Sonra - 410 Gone.

3. 4. click_id və server postbekləri

Nə etmək lazımdır:

İlk kliklə DB-də 'click _ id' yaradın.
Redaktordan əvvəl operator/şəbəkəyə pre-back (optional) göndərin.
Bütün təsdiqlər (reg/KYC/FTD) yalnız 'click _ id' və siqnatura validasiyası ilə S2S.

3. 5. Həssas sahələrin şifrələnməsi

Lazım olduqda: bəzi tərəfdaşlar cəbhədə 'aff _ id' tələb edirsə.

Necə: 'aff _ id/sub _ id' asimmetrik şifrələyin (ön tərəfdə public key, arka tərəfdə private key), serverdə şifrəni açın və dəyişdirin.

3. 6. Sabit redaktorlar və başlıqlar

307 (metodu saxlayır) və ya 302 istifadə edin; «meta-refreşlərdən» qaçın.

'X-Content-Type-Options: nosniff', 'X-Frame-Options: DENY', clickjackingə qarşı CSP əlavə edin.

'Referrer-Policy: strict-origin-when-cross-origin' parametrlərin sızmasını azaldacaq.

4) Domen və infrastruktur qorunması

4. 1. Domen gigiyenası

DNSSEC, qısa TTL, ehtiyat NS provayderi.

«Səhv» domen variantlarının qeydiyyatı (tayposkvottinq) və əsas avto ünvanlama.

Marka/açarları ilə yeni domenlərin monitorinqi.

4. 2. E-poçt linkləri

SPF/DKIM/DMARC-u daxil edin - rəqiblərin linklərin dəyişdirilməsi ilə «sizin adınıza» poçtları aldatmaması üçün.

4. 3. WAF/bot filtrləri

Şübhəli ASN-ləri, tanınmış məlumat mərkəzlərini, etibarsız UA-ləri kəsin.

Velocity qaydaları: bir IP/UA → kapça/blok ilə bir çox klik.

WAF səviyyəsində 'nonce' imzası və yoxlaması (qısa ömürlü tokenlərin önbelləyi).

5) Cəbhənin müdafiəsi: prelendlər və landinqlər

CSP + SRI: üçüncü tərəf skriptlərinin qadağan edilməsi, bütövlüyünün yoxlanılması.

Integrity-link yoxlama: bütün CTA bir mərkəzləşdirilmiş komponent yaradın; klikləmədən əvvəl gözlənilən 'href' ilə müqayisə edin.

Anti-inyeksiyalar: «üzən» uzantıları söndürün (mümkünsə), DOM linkini (MutationObserver) yenidən yazmağa çalışın və hadisəni qeyd edin.

6) Antifrod və keyfiyyət atributları

Device-fingerprint/Client hints: klikləməyə və parametrlərin dəyişdirilməsinə kömək edir.

Davranış nümunələri: şübhəli yüksək CTR çətinliklə yaşayan 'reg → FTD' - məhkəmə üçün bir siqnaldır.

Mənbə siyahıları: saytların/appların/ictimaiyyətin qara/ağ siyahısı; avtomatik söndürmə qaydaları.

Log auditi: klik/redaktor/imza yoxlama hadisələrini ən azı 30-90 gün saxlayın.

7) Hüquq və uyğunluq (çox vacibdir)

Saytların qaydalarını aşmaq üçün heç bir üsul yoxdur. Biz bağlantılarımızı qoruyuruq, qadağan olunmuş reklamları «gizlətmirik».

Düzgün 18 + və Responsible Gaming diskleymerləri.

Şəbəkə/operator ilə DPA/SLA: «valid FTD» terminləri, postbeklərin qaydaları, mübahisəli lidlərin təhlillərinin vaxtı, insidentlərin jurnalı.

Marka siyasəti: brand-bidding tərəfdaşları, loqo/ad istifadə qaydaları.

8) Monitorinq və Alertlər

Postbeklərin gecikməsi> 15 dəqiqə → alert və avtomatik yoxlama.

CR Jumping (click → reg, reg → FTD) və ya bir ASN → bayraq ilə klik sıçrayış.

«Sınmış» imzaların payı HMAC> X% → araşdırma (mümkün link dəyişdirilməsi).

Diff-end monitorinqi: hər hansı bir STA/script dəyişikliyi - bildiriş.

9) Çek vərəqləri

9. 1. Başlamazdan əvvəl sürətli texniki çek

Editor vasitəsilə bütün xarici bağlantılar (go-domen)
HMAC imza + 'ts' + 'nonce' hər klik
Qısa ömürlü token (5-15 dəq), bağlı 'click _ id'
S2S postbeks reg/KYC/FTD/2nd dep, sinxronlaşdırılmış TZ/valyuta
CSP/SRI, `X-Frame-Options: DENY`, HSTS, no-store
WAF/bot filtr və velocity qaydaları
Kliklərin/redaktorların/imzaların qeydləri və anomaliyalar dashboard

9. 2. Təşkilati çek

Operator/şəbəkə ilə DPA/SLA (hadisələr, şərtlər, log-access)
Marka siyasəti və tərəfdaşlarda brand-bidding qadağası
Cavab planı: hadisə zamanı kim, nə, nə vaxt edir
Domenlərin/botların/güzgülərin müntəzəm auditi

10) Mini playbook hadisə istintaqı

1. Mübahisəli mənbəni dondurun (cap/pauza).

2. Qeydləri müqayisə edin: clickler, redaktorlar, imzalar, postbeky.

3. Vektoru müəyyənləşdirin: tampering, hijacking, injection, stuffing.

4. Əks tədbirləri tətbiq edin: WAF-ı gücləndirin, HMAC/JWT açarlarını yeniləyin, qara siyahıya domenlər əlavə edin, pattern kapçalarını daxil edin.

5. Case sənədləşdirilməsi: ortaq/şəbəkə hesabat, playbook və alerts yeniləmək.

11) 30-60-90 tətbiq planı

0-30 gün (Baza)

Öz baş direktorunuzu işə salın, HSTS, CSP, SRI daxil edin.

HMAC imzaları + 'ts/nonce', qısa nişanlar, unikal 'click _ id' daxil edin.

Dönüşümləri S2S köçürün və alertləri toplayın.

31-60 gün (gücləndirilməsi)

WAF/bot filtri, velocity qaydaları, ASN-qara siyahıları qoşun.

Daşbordları çıxart: qeyri-sabit imzaların payı, postbeklərin gecikməsi, CR anomaliyaları.

Domen auditi (taipo), qoruyucu variasiyaların qeydiyyatı.

61-90 gün (Sabitlik və audit)

Stress testləri: kütləvi klik, tamperinq testi, üçüncü skriptlərin söndürülməsi.

Şəbəkə/operator ilə SLA/insident menecmentini rəsmiləşdirin.

Rübdə bir dəfə - HMAC/JWT açarlarının rotasiyası və siyasətçilərin təftişi.

Tərəfdaşlıq linklərinin qorunması «hər hansı bir qiymətə URL-ni gizlətmək» deyil, bir etimad dövrəsi qurmaqdır: server redirekti, parametrlərin kriptoqrafik imzası, qısa ömürlü tokenlər, S2S atributu, WAF və loging intizamı. Buna hüquqi aydınlıq və monitorinq əlavə edin - və rəqiblər linklərinizdə «pul tapmağı» dayandıracaqlar.