نحوه محافظت از لینک های وابسته از رقبا

مقدمه: چرا لینک ها پول هستند

برای یک بازیکن وابسته و یا رسانه ای, یک لینک شریک حسابداری سود است: که بازیکن به ارمغان آورد, که به پرداخت CPA/RevShare. هر «نشت» (جایگزینی پارامتر، رهگیری کلیک کنید، سرقت زیر ID) = از دست دادن پول و خطرات شهرت از اپراتور. در زیر یک طرح حفاظت از سیستم در لینک، دامنه، زیرساخت ها و سطوح فرآیند است.

1) حملات معمول به لینک های حزب (دقیقا چه اتفاقی می افتد)

1. دستکاری پرم

رقیب «aff _ id»، «sub _ id»، «کمپین» را به خود تغییر می دهد و ترافیک را از طریق ویترین «شما» ارسال می کند.

2. کلیک کنید ربودن/تزریق آگهی

تعبیه یک اسکریپت/افزونه مرورگر که انتقال به لینک آن را در آخرین لحظه قطع می کند.

3. چاشنی کوکی/زمان اسم حیوان دست اموز رقص

کوکی ها/پیکسل های خود را قبل از کلیک کردن یا بلافاصله پس از «سرقت» اسناد، پرتاب کنید.

4. نام تجاری چمباتمه زدن و typosquatting

دامنه ها/ربات های مشابه را ثبت کنید و لینک ها را در چت/جوامع جایگزین کنید.

5. UTM سلب کردن و زیر شناسه صفر کردن

پارامترها در تغییر مسیرهای متوسط حذف می شوند → بخش منابع/خلاقیت ها از دست رفته است.

6. خراشیدن فرود و آینه کاری

صفحه را همراه با CTA های خود کپی کنید و لینک را به خودتان تغییر دهید.

2) اصول حفاظت انتقادی (قبل از غرق شدن در تکنیک)

لینک حزب «برهنه» را در جلو نگه ندارید. کاربر یک URL کوتاه خود را نشان می دهد، و جمع آوری تمام «چاشنی» در سرور.

هر کلیک منحصر به فرد است. کلیک باید شناسه و امضای خود را داشته باشد.

بررسی رویدادهای سمت سرور. S2S پس زمینه، نه فقط پیکسل مشتری.

حداقل اعتماد به لایه های میانی تغییر مسیرهای شخص ثالث کمتر، بهتر است.

3) تکنیک های حفاظت از لینک

3. 1. تغییر مسیر سرور (کوتاه کننده لینک خود)

چه باید کرد:

تمام انتقال های خارجی را از طریق دامنه خود انجام دهید، به عنوان مثال "برو. سایت شما. کام/XYZ '.
در سرور، URL و پارامترهای پیشنهاد اصلی را جمع آوری کنید و تنها 302/307 تغییر مسیر را انجام دهید.
مزایا: ساختار «برهنه» را پنهان می کند، به شما اجازه می دهد تا وارد شوید، امضا کنید و اعتبار دهید.
مهم: غیر فعال کردن ذخیره سازی (Cache-Control: no-Store)، فعال کردن HSTS و «Referrer-Policy» صحیح.

3. 2. امضای پارامتر (HMAC)

چرا: به طوری که شما نمی توانید به طور ناگهانی جایگزین 'aff _ id/sub _ id'.

چگونه می توانم:

رشته پارامتر را به ترتیب کانونی تشکیل دهید، «ts» (نشانگر زمان) و «nonce» را اضافه کنید، «sign = HMAC_SHA256 (مخفی، بارگیری)» را بخوانید.
قبل از هدایت، سرور اطمینان حاصل می کند که «علامت» معتبر است، «ts» قدیمی تر از N دقیقه نیست، «nonce» قبل از استفاده نشده است (نگه داشتن آن برای یک زمان کوتاه).
خط پایین: جایگزینی منجر به امضای نامعتبر می شود - درخواست رد می شود.

3. 3. نشانه های کوتاه مدت

چرا: ارزش لینک دزدیده شده را به حداقل برسانید.

چگونه: صدور یک نشانه ('jwt' یا مات) برای 5-15 دقیقه محدود به IP/UA یا به 'click _ id'. پس از - 410 رفته است.

3. 4. click_id های اتصال و سرور

چه باید کرد:

با اولین کلیک، یک «click _ id» در پایگاه داده خود ایجاد کنید.
قبل از هدایت، ارسال قبل از بازگشت (اختیاری) به اپراتور/شبکه.
تمام تأییدیه ها (reg/KYC/FTD) - فقط با اعتبار سنجی «کلیک _ id» و امضاها S2S می شود.

3. 5. رمزگذاری فیلد حساس

در صورت نیاز: اگر برخی از شرکا در جبهه «aff _ id» را بخواهند.

چگونه: رمزگذاری 'aff _ id/sub _ id' نامتقارن (کلید عمومی در جلو، کلید خصوصی در پشت)، رمزگشایی و جایگزینی در سرور.

3. 6. تغییر مسیرهای پایدار و سرفصل

استفاده از 307 (روش صرفه جویی) یا 302 ؛ اجتناب از «متا رفرنس».

«X-Content-Type-Options: nosniff»، «X-Frame-Options: DENY»، CSP را برای پیش پرداخت ها - در برابر کلیک کردن اضافه کنید.

'Referrer-Policy: strict-origin-when-cross-origin' نشت پارامتر را کاهش می دهد.

4) حفاظت از دامنه و زیرساخت

4. 1. بهداشت دامنه

DNSSEC، TTL کوتاه، ارائه دهنده NS آماده به کار.

ثبت انواع دامنه «اشتباه» (typosquatting) و تغییر مسیر خودکار به اصلی.

نظارت بر دامنه های جدید با نام تجاری/کلید های خود را.

4. 2. لینک های پستی

فعال کردن SPF/DKIM/DMARC برای جلوگیری از رقبا از spoofing نامه های پستی «از طرف شما» با spoofing لینک.

4. 3. فیلترهای WAF/ربات

قطع ASN های مشکوک، مراکز داده شناخته شده، UA های نامعتبر.

قوانین سرعت: بسیاری از کلیک ها از یک IP/UA → captcha/بلوک.

امضای و تأیید «فقط» در سطح WAF (حافظه پنهان کوتاه مدت).

5) دفاع جبهه: پیش زمین و فرود

CSP + SRI: اسکریپت های شخص ثالث، بررسی یکپارچگی.

لینک های بررسی یکپارچگی: تولید تمام CTA ها از یک جزء متمرکز ؛ مقایسه انتظار می رود 'href با مرجع قبل از کلیک کردن.

ضد تزریق: غیر فعال کردن «شناور» پسوند (در صورت امکان)، گرفتن تلاش برای بازنویسی لینک DOM (MutationObserver) و ورود به سیستم حادثه.

6) ضد جعل و انتساب کیفیت

اثر انگشت دستگاه/نکات مشتری: کمک می کند تا برای گرفتن رهگیری کلیک و جایگزینی پارامتر.

الگوهای رفتاری: CTR مشکوک بالا با به سختی زنده «reg → FTD» - یک سیگنال برای تحقیق.

لیست منبع: ورق سیاه/سفید از سایت ها/برنامه ها/ناشران ؛ قوانین قطع اتوماتیک

حسابرسی ورود: رویدادهای تأیید کلیک/تغییر مسیر/امضا را حداقل 30-90 روز نگه دارید.

7) قانون و انطباق (بسیار مهم)

هیچ راهی برای دور زدن قوانین سایت وجود ندارد. ما از لینک های خود محافظت می کنیم، نه «ماسک» تبلیغات ممنوع.

سلب مسئولیت 18 + و بازی مسئولانه.

DPA/SLA با شبکه/اپراتور: اصطلاحات «FTD معتبر»، قوانین پس از بازگشت، شرایط بحث در مورد منجر به اختلاف، ورود به سیستم حادثه.

سیاست برند: ممنوعیت شرکای پیشنهاد دهنده برند، قوانینی برای استفاده از آرم ها/نام ها.

8) نظارت و هشدار

تاخیر پستها> 15 دقیقه → هشدار و بررسی خودکار نقاط پایانی.

پرش CR (کلیک کنید → reg, reg → FTD) یا پشت سر هم از کلیک از یک ASN → یک پرچم.

درصد امضاهای HMAC شکسته> X٪ → بررسی (ممکن است spoofing لینک).

اختلاف نظارت بر فرود: هر گونه تغییر به STA/اسکریپت - اطلاع رسانی.

9) چک لیست

9. 1. بررسی سریع تکنولوژی قبل از راه اندازی

تمام لینک های خارجی از طریق تغییر مسیر خود را (برو دامنه)
امضای HMAC + 'ts' + 'nonce' در هر کلیک
نشانه کوتاه مدت (5-15 دقیقه) محدود به 'click _ id'
S2S postbacks reg/KYC/FTD/2nd dep، هماهنگ TZ/ارز
CSP/SRI، 'X-قاب گزینه: انکار'، HSTS، بدون فروشگاه
فیلتر WAF/ربات و قوانین سرعت
کلیک کنید/تغییر مسیر/عنوان سیاهههای مربوط و داشبورد ناهنجاری

9. 2. بررسی سازمانی

DPA/SLA با اپراتور/شبکه (حوادث، زمان بندی، دسترسی ورود به سیستم)
سیاست نام تجاری و شریک ممنوعیت نام تجاری مناقصه
طرح پاسخ: چه کسی، چه، در چه چارچوب زمانی در یک حادثه
ممیزی منظم دامنه ها/ربات ها/آینه ها

10) کتابچه راهنمای کوتاه بررسی حادثه

1. یخ منبع مورد مناقشه (کلاه/مکث).

2. بررسی سیاهههای مربوط: کلیک ↔ تغییر مسیر ↔ امضا ↔ postbacks.

3. شناسایی بردار: دستکاری، ربودن، تزریق، چاشنی.

4. اعمال اقدامات متقابل: تقویت WAF، به روز رسانی کلید HMAC/JWT، اضافه کردن دامنه به لیست سیاه، فعال کردن captcha توسط الگوهای.

5. مورد سند: گزارش به شریک/شبکه، به روز رسانی playbook و هشدارها.

11) طرح اجرای حفاظت از 30-60-90

0-30 روز (پایه)

تغییر مسیر خود را شروع کنید، HSTS، CSP، SRI را فعال کنید.

امضای HMAC + «ts/nonce»، نشانه های کوتاه، منحصر به فرد «click _ id» را وارد کنید.

تبدیل تبدیل به S2S و جمع آوری هشدار.

31-60 روز (تقویت)

فیلتر WAF/bot، قوانین سرعت، لیست سیاه ASN را وصل کنید.

داشبورد را رول کنید: سهم امضاهای نامعتبر، تاخیر پس زمینه، ناهنجاری های CR.

دامنه های حسابرسی (taipo)، ثبت تغییرات محافظتی.

61-90 روز (پایداری و حسابرسی)

انجام تست های استرس: کلیک های جمعی، دستکاری تست، غیر فعال کردن اسکریپت های سوم.

مدیریت SLA/حادثه را با شبکه/اپراتور رسمی کنید.

یک بار در سه ماهه - چرخش کلید HMAC/JWT و تجدید نظر در سیاست.

حفاظت از پیوندهای شریک «پنهان کردن URL ها به هر قیمتی» نیست، بلکه ایجاد یک حلقه اعتماد است: تغییر مسیر سرور، امضای رمزنگاری پارامترها، نشانه های کوتاه مدت، انتساب S2S، WAF و نظم ورود به سیستم. اضافه کردن به این وضوح قانونی و نظارت - و رقبا متوقف خواهد شد «پیدا کردن پول» در لینک های خود را.