Comment protéger les liens de partenariat de la concurrence

Introduction : pourquoi les liens sont de l'argent

Pour un affilié ou un média, le lien de partenariat est un compte de profit : qui a amené le joueur, qui a payé CPA/RevShare. Toute « fuite » (échange de paramètres, interception de la clique, vol de l'ID) = perte d'argent et risques de réputation chez l'opérateur. Ci-dessous, un plan de protection système au niveau du lien, du domaine, de l'infrastructure et des processus.

1) Attaques types sur les partitions (exactement ce qui se passe)

1. Remplacement de paramètres (Param Tampering)

Le concurrent change 'aff _ id', 'sub _ id', 'campagne' en son propre et envoie le trafic via « votre » vitrine.

2. Interception de clic (Click Hijacking/Ad Injection)

Intégration d'un script/extension de navigateur qui interrompt le passage à son lien au dernier moment.

3. Cookie stuffing/time-bunny-hopping

Jetez vos cookies/pixels à votre clic ou juste après pour « voler » l'attribution.

4. Squotting de marque et typosquotting

Enregistrez des domaines/bots similaires et remplacez les liens dans les chats/communautés.

5. Décapage UTM et remise à zéro de l'ID

Les paramètres sont supprimés sur les éditeurs intermédiaires → une coupe par source/création est perdue.

6. Scraping et miroirs

Copiez la page avec votre CTA et changez le lien vers le vôtre.

2) Principes critiques de protection (avant d'approfondir la technique)

Ne gardez pas le parti « nu » sur le front. Montrez à l'utilisateur une URL courte, et collectez toute la « farce » sur le serveur.

Chaque clic est unique. La clique doit avoir son ID et sa signature.

Vérifiez les événements côté serveur. S2S-postbacks, pas seulement les pixels clients.

Minimum de confiance pour les couches intermédiaires. Moins les tiers sont radiés, mieux c'est.

3) Techniques de protection des références

3. 1. Redirecteur de serveur (own link shortener)

Que faire :

Effectuer toutes les transitions externes via votre propre domaine, par exemple 'go. yoursite. com/XYZ`.
Sur le serveur, collecter l'URL offer source et les paramètres et n'exécuter que 302/307 redirect.
Avantages : cache la structure « nue », vous permet de loger, de signer et de valider.
Important : Interdisez le Cache-Control (Cache-Control : no-store), activez HSTS et « Referrer-Policy » correct.

3. 2. Signature des paramètres (HMAC)

Pourquoi : afin de ne pas pouvoir remplacer discrètement 'aff _ id/sub _ id'.

Comment :

Formez une chaîne de paramètres dans l'ordre canonique, ajoutez « ts » (timestamp) et « nonce », comptez « sign = HMAC_SHA256 (secret, payload) ».
Avant le redirect, le serveur s'assure que 'sing' est validé, 't'n'est pas plus vieux que N minutes,' nonce 'n'a pas été utilisé auparavant (ne le gardez pas longtemps).
Résultat : la substitution conduit à une signature non valide - la demande est rejetée.

3. 3. Jetons à courte durée de vie

Pourquoi : minimiser la valeur du lien volé.

Comment : émettre un jeton ('jwt'ou opaque) de 5 à 15 minutes, lié à l'IP/UA ou à' click _ id'. Après l'expiration - 410 Gone.

3. 4. Ancrage de click_id et postbacks de serveur

Que faire :

Au premier clic, créez 'click _ id' dans votre base de données.
Avant le redirect, envoyer le pre-back (optional) à l'opérateur/réseau.
Toutes les confirmations (reg/KYC/FTD) sont uniquement S2S avec la validation 'click _ id'et les signatures.

3. 5. Chiffrement des champs sensibles

Quand tu veux : si certains partenaires exigent 'aff _ id' sur le front.

Comment : chiffrer 'aff _ id/sub _ id' de manière asymétrique (clé publique sur le front, clé privée sur le back), déchiffrer et encadrer sur le serveur.

3. 6. Des radiés et des titres stables

Utiliser 307 (enregistrer la méthode) ou 302 ; évitez les « méta-refreshes ».

Ajoutez 'X-Content-Type-Options : nosniff', 'X-Frame-Options : DENY', CSP pour les prelands - contre le clickjacking.

« Referrer-Policy : strict-origin-when-cross-origin » réduira les fuites de paramètres.

4) Protection du domaine et de l'infrastructure

4. 1. Hygiène de domaine

DNSSEC, TTL court, fournisseur de secours NS.

Enregistrement de variantes de domaine « erronées » (tiposquotting) et auto-réadrection sur le principal.

Surveiller les nouveaux domaines avec votre marque/clés.

4. 2. Liens électroniques

Activer SPF/DKIM/DMARC - afin que les concurrents n'abusent pas de la newsletter « en votre nom » avec le remplacement des liens.

4. 3. WAF/filtres de bot

Coupez les ASN suspects, les centres de données connus, les UA non valides.

Règles de Velocity : beaucoup de clics d'un seul IP/UA → captcha/bloc.

Signature et vérification de 'nonce' au niveau WAF (Short Life Token Cache).

5) Protection du front : prelands et landings

CSP + SRI : interdiction des scripts tiers, vérification de l'intégrité.

Vérification des liens intégrateurs : Générer tous les CTA à partir d'un seul composant centralisé ; comparer avant un clic le 'href' attendu à la référence.

Anti-injection : désactivez les extensions « flottantes » (si possible), attrapez les tentatives de réécrire le lien DOM (MutationObserver) et logiez l'incident.

6) Antifrod et attribution de qualité

Device-fingerprint/Client hints : aide à capturer l'interception des clics et le remplacement des paramètres.

Les schémas comportementaux : Le CTR suspicieusement élevé à peine vivant 'reg→FTD' est un signal pour la procédure.

Liste des sources : feuille noire/blanche des sites/apps/pablishers ; règles d'arrêt automatique.

Vérification des logs : Stockez les événements de la signature click/redirect/vérification pendant au moins 30 à 90 jours.

7) Droit et conformité (très important)

Aucune méthode pour contourner les règles des sites. Nous protégeons nos liens plutôt que de « masquer » des publicités interdites.

Disclaymer 18 + et Responsible Gaming.

DPA/SLA avec réseau/opérateur : termes « FTD validé », règles de post-BEC, délais d'analyse des pistes controversées, journal des incidents.

Politique de marque : interdiction de brand-bidding aux partenaires, règles d'utilisation des logos/noms.

8) Surveillance et alertes

Retard des postes> 15 minutes → alert et vérification automatique des endpoints.

Sauts CR (click→reg, reg→FTD) ou surtensions de clics d'un ASN → drapeau.

La proportion de signatures HMAC « battues »> X % → l'enquête (remplacement éventuel de liens).

Diff-monitoring landing : toute modification des STA/scripts est une notification.

9) Chèques-feuilles

9. 1. Rapide t-chèque avant le lancement

Tous les liens externes via son redirecteur (domaine go)
Signature HMAC + 't' +' nonce 'pour chaque clic
Jeton à courte durée de vie (5-15 min) lié à 'click _ id'
S2S-post-Becks reg/KYC/FTD/2nd bou, synchronisés TZ/devises
CSP/SRI, `X-Frame-Options: DENY`, HSTS, no-store
WAF/filtre de bot et règles de velocity
Logs de clics/radiés/signatures et dashboard d'anomalies

9. 2. Chèque d'organisation

DPA/SLA avec opérateur/réseau (incidents, délais, accès en ligne)
Politique de marque et interdiction de brand-bidding chez les partenaires
Plan d'intervention : qui, quoi, dans quel délai faire en cas d'incident
Audit régulier des domaines/bots/miroirs

10) Mini-playbook d'enquête sur l'incident

1. Geler la source controversée (cap/pause).

2. Vérifier les logs : les clics sont ↔ radiés ↔ les signatures ↔ les postbacks.

3. Identifier le vecteur : Tampering, hijacking, injection, stuffing.

4. Appliquer des contre-mesures : renforcer le WAF, mettre à jour les clés HMAC/JWT, ajouter des domaines à la liste noire, inclure le captcha par modèle.

5. Documenter la mallette : rapport au partenaire/réseau, mise à jour du pleybuc et des alertes.

11) Plan 30-60-90 de mise en œuvre de la protection

0-30 jours (Base)

Démarrer votre propre redirecteur, activer HSTS, CSP, SRI.

Entrez les signatures HMAC + 'ts/nonce', les jetons courts, les "click _ id'uniques.

Convertir les conversions en S2S et collecter les alertes.

31-60 jours (Renforcement)

Connectez le filtre WAF/bot, les règles velocity, les listes noires ASN.

Faire sortir les dashboards : proportion de signatures non valides, retards postbacks, anomalies CR.

Audit des domaines (taipo), enregistrement des variations de protection.

61-90 jours (Durabilité et audit)

Effectuer des tests de stress : clics massifs, essai de tamponnage, désactivation de tiers scripts.

Formaliser le SLA/gestion d'incident avec le réseau/opérateur.

Une fois par trimestre, la rotation des clés HMAC/JWT et la révision des politiques.

La protection des liens partenaires n'est pas de « cacher l'URL à tout prix », mais de construire un circuit de confiance : redirect serveur, signature cryptographique des paramètres, jetons à courte durée de vie, attribution S2S, WAF et discipline d'logage. Ajoutez à cela la clarté juridique et la surveillance - et les concurrents arrêteront de « trouver de l'argent » dans vos liens.