Cómo identificar tráfico no válido en sitios web internacionales mediante los registros de acceso

Si el tráfico de un sitio web internacional aumenta, pero no lo hacen las consultas, conviene empezar por buscar solicitudes anómalas en los registros de acceso: qué fuentes acceden de forma constante, qué páginas solicitan, si lo hacen a intervalos regulares y si llegan a puntos de conversión, como los formularios. Para identificar tráfico no válido en un sitio web internacional, es necesario combinar varias evidencias. No se puede determinar que el tráfico no sea válido basándose únicamente en una dirección extranjera, una alta frecuencia de visitas o la ausencia de consultas. Las visitas reales, los rastreadores legítimos, los escaneos maliciosos y el fraude publicitario dejan indicios distintos en los registros.

Delimite primero el alcance de los registros para no confundir diferencias estadísticas con anomalías

Los registros de acceso reflejan solicitudes, no equivalen al número de visitantes. La carga de una página genera solicitudes de imágenes, scripts y hojas de estilo; por su parte, las herramientas de analítica de páginas dependen de la ejecución de scripts y del estado de autorización. Una diferencia entre las cifras de ambas fuentes no demuestra por sí sola que haya tráfico artificial.

Cuando un sitio web utiliza una red de distribución de contenidos, es posible que los registros del servidor de origen solo reflejen las solicitudes que llegan a este y omitan las visitas atendidas desde la caché. Si la dirección real del cliente no está configurada correctamente, la dirección que aparece en los registros también podría corresponder a un nodo proxy. Antes de investigar, confirme qué cubren los registros y confíe únicamente en las direcciones de cliente transmitidas por proxies configurados y de confianza. No dé por válidos los campos de reenvío incluidos en cualquier solicitud.

Como mínimo, conserve la hora y la zona horaria de la solicitud, la dirección del cliente, el método de solicitud, la ruta, el código de estado, los bytes de respuesta, la página de origen y el identificador del cliente. Si es posible, añada la duración de la solicitud, la evaluación del nodo perimetral y un identificador de solicitud. Los parámetros de consulta pueden servir para rastrear el origen de las campañas, pero evite registrar el contenido de los formularios, las contraseñas o datos personales completos.

Comportamientos de acceso similares no siempre requieren el mismo tratamiento

Todos estos indicios tienen sus limitaciones. La caché del navegador reduce las solicitudes de recursos estáticos, y los programas automatizados también pueden ejecutar scripts. Además, varias personas que comparten una red de oficina pueden utilizar la misma dirección de salida. La identidad de un rastreador también se puede suplantar; por ello, es necesario verificarla mediante sus rangos de direcciones publicados o siguiendo el método de resolución inversa y directa que haya divulgado.

Analice las anomalías mediante tres tipos de evidencias: frecuencia, rutas y origen

La frecuencia debe compararse con el nivel habitual del propio sitio web. Consulte primero el volumen histórico de solicitudes en días de la semana y franjas horarias similares y, después, localice el periodo en que se produjo el aumento repentino. Tras agrupar por dirección del cliente, observe también el identificador del cliente, las rutas solicitadas y las pistas de sesión disponibles. Un gran número de solicitudes a páginas de producto desde una misma dirección en poco tiempo puede deberse tanto a la recopilación automatizada de datos como a visitas legítimas que comparten una dirección de salida. Si además se observan intervalos regulares, un orden repetitivo y actividad continua, aumenta la probabilidad de que se trate de automatización.

Las rutas permiten entender qué está haciendo el tráfico. Son muy distintos, desde el punto de vista empresarial, los intentos continuos de acceder a rutas de administración inexistentes y las visitas a páginas de categorías, productos y contacto. Analice por separado las solicitudes de páginas, archivos estáticos e interfaces de programación; de lo contrario, la carga de imágenes puede inflar la frecuencia y las consultas periódicas a una interfaz pueden confundirse con visitas repetidas.

Para determinar el origen, es necesario contrastar varios datos. El campo de la página de origen puede estar ausente o ser falso, y la ubicación geográfica asociada a una dirección no demuestra la ubicación real del visitante. Una visita desde fuera de la zona de la campaña puede deberse a una red proxy, al reenvío de un enlace o a un error de geolocalización. Solo cuando se combine con un ritmo anómalo, rutas irrelevantes o actividad repetitiva a gran escala conviene elevar el nivel de riesgo.

Los registros permiten localizar accesos sospechosos, pero no demuestran por sí solos el fraude publicitario

Que una solicitud a una página de destino incluya parámetros publicitarios solo indica que esa solicitud llevaba etiquetas. Los enlaces copiados, los rastreadores y la precarga de páginas también pueden generar registros similares. Para evaluar la calidad del tráfico de pago, hay que cotejar la hora de acceso a la página de destino, los parámetros del canal, los identificadores de clic y los informes publicitarios; después, se deben relacionar estos datos con los envíos de formularios, las consultas válidas o los pedidos.

Al alinear las horas, unifique las zonas horarias y distinga entre la hora del clic, la de llegada al sitio y la de conversión. Si un grupo de fuentes visita repetidamente una sola página de destino sin generar solicitudes posteriores, puede incluirse en la lista de casos pendientes de revisión. Sin embargo, el bloqueo de scripts, un fallo de carga de la página o una interrupción del seguimiento entre dominios también pueden dejar incompleta la secuencia de actividad. Compruebe primero que la página y la configuración de analítica funcionen correctamente y, después, evalúe la calidad del tráfico.

Los registros tampoco permiten determinar directamente el tiempo de permanencia exacto. Es posible que el visitante siga leyendo después de su última solicitud, y que una página devuelva un estado de éxito no significa que el contenido se haya mostrado por completo. Por tanto, «solo realizó una solicitud» o «no convirtió» pueden servir como criterios de selección, pero no como motivos suficientes para bloquear el acceso.

Valide las reglas antes de ampliar el alcance del bloqueo

Empiece por establecer reglas de observación para rutas de escaneo claramente identificadas y frecuencias anómalas sostenidas. Registre las solicitudes que coincidan con ellas y, a continuación, decida si aplica limitación de velocidad, un desafío de acceso o un bloqueo. En el caso de fuentes sospechosas de generar tráfico artificial, conserve el periodo que se pueda revisar, muestras de solicitudes e identificadores relacionados para facilitar la verificación de los registros de campañas. No bloquee una región entera solo porque la conversión sea baja en un país o zona determinados.

Una vez activadas las reglas, compruebe a la vez si disminuyen las solicitudes anómalas, si las páginas siguen siendo accesibles para los visitantes legítimos, si se impide el rastreo de los rastreadores verificados y si los formularios funcionan correctamente. Si baja el volumen de solicitudes, pero también disminuyen las consultas válidas, revise si se están bloqueando visitas legítimas. Cada regla nueva debe incluir una forma de revertirla, de modo que cada medida pueda relacionarse con evidencias concretas.