アクセスログから海外サイトの無効なトラフィックを見分ける方法

海外サイトのアクセス数が増加しているのに、問い合わせが増えていない場合は、まずアクセスログから異常なリクエストを探します。継続的にアクセスしている送信元、リクエストされたページ、アクセス間隔に規則性があるか、フォームなどのコンバージョン導線に到達しているかを確認します。海外サイトの無効なトラフィックを特定するには、複数の証拠を組み合わせる必要があります。海外のIPアドレス、高いアクセス頻度、問い合わせがないことだけで、トラフィックが無効だとは判断できません。実際のアクセス、正常なクローラー、悪意のあるスキャン、広告不正では、ログに異なる痕跡が残ります。

ログの対象範囲をそろえ、集計の差を異常と誤認しない

アクセスログに記録されるのはリクエストであり、訪問者数とは異なります。ページを1回読み込むだけでも、画像、スクリプト、スタイルシートへのリクエストが発生します。一方、ページ分析ツールはスクリプトの実行状況や同意の状態に依存します。両者の数値が異なっていても、それだけで水増しが発生しているとは言えません。

コンテンツ配信ネットワーク（CDN）を導入している場合、オリジンサーバーのログにはオリジンサーバーへのリクエストだけが記録され、キャッシュヒットしたアクセスが含まれないことがあります。また、実際のクライアントIPアドレスが正しく設定されていないと、ログに記録されたアドレスがプロキシノードのものになっている場合があります。調査前にログの対象範囲を確認してください。また、クライアントIPアドレスとして信頼するのは、設定済みのプロキシから渡されたものに限り、任意のリクエストに含まれる転送用フィールドをそのまま信用してはいけません。

少なくとも、リクエスト時刻とタイムゾーン、クライアントIPアドレス、リクエストメソッド、パス、ステータスコード、レスポンスのバイト数、参照元ページ、クライアント識別情報を保存します。可能であれば、リクエスト所要時間、エッジノードの判定結果、リクエスト識別子も追加します。クエリパラメーターは広告の流入元を追跡するために利用できますが、フォームの本文、パスワード、個人を特定できる情報の全体をログに記録しないようにしてください。

似たアクセス傾向でも、対応方法は異なる

これらの手がかりだけでは判断できない場合があります。ブラウザーのキャッシュによって静的リソースへのリクエストが減ることがあり、自動化プログラムがスクリプトを実行することもあります。また、コワーキングスペースでは複数の人が同じ外部IPアドレスを共有している場合があります。クローラーの身元も偽装できるため、公表されているIPアドレス範囲を確認するか、公表された逆引き・正引きの方法に従って検証する必要があります。

異常を頻度・パス・送信元の3つの証拠に分ける

頻度は、自社サイトの通常の傾向と比較します。まず、同じ曜日の近い時間帯における過去のリクエスト数を確認し、急増した時間帯を特定します。クライアントIPアドレスごとに集計した後は、クライアント識別情報、リクエストパス、利用可能なセッション情報も確認します。同一のIPアドレスから短時間に大量の製品ページへのリクエストがあった場合、一括収集の可能性もあれば、共有IPアドレスを利用するユーザーによる正常なアクセスの可能性もあります。一定間隔で、同じ順序のリクエストが長時間続く場合は、自動化の疑いがより強まります。

パスを確認すると、トラフィックの目的を把握できます。存在しない管理画面の入口を次々に探るアクセスと、カテゴリーページ、製品ページ、問い合わせページを中心としたアクセスでは、業務上の意味が明らかに異なります。ページへのリクエスト、静的ファイル、APIを分けて分析してください。そうしないと、画像の読み込みでリクエスト頻度が実際より高く見えたり、APIのポーリングがページを繰り返し閲覧しているように見えたりします。

送信元は複数の情報を照合して判断します。参照元ページの情報は欠落したり偽装されたりすることがあり、IPアドレスの位置情報だけではアクセスした人の実際の所在地を証明できません。広告配信地域外からのアクセスは、プロキシネットワーク、リンクの転送、位置情報のずれによって発生する場合があります。異常なアクセス間隔、関連性のないパス、大量の反復行動などの証拠が重なった場合に限り、リスクレベルを引き上げるのが適切です。

ログで疑わしいアクセスは特定できても、広告不正を単独で証明することはできない

ランディングページへのリクエストに広告パラメーターが含まれていても、分かるのはそのリクエストに識別情報が付いていたということだけです。リンクのコピー、クローラーによる取得、ページのプリロードでも、同様の記録が発生することがあります。有料トラフィックの品質を判断するには、ランディングページへのアクセス時刻、チャネルパラメーター、クリック識別子を広告レポートと照合し、フォーム送信、有効な問い合わせ、注文記録と関連付ける必要があります。

時刻を照合する際はタイムゾーンを統一し、クリック時刻、サイト到達時刻、コンバージョン時刻を区別します。特定の送信元から単一のランディングページにアクセスが集中し、その後のリクエストがない場合は、確認対象として扱えます。ただし、スクリプトがブロックされている場合、ページの読み込みに失敗した場合、クロスドメインのトラッキングが途切れた場合にも、行動の連続性が欠落します。トラフィックの品質を判断する前に、ページと計測設定が正常であることを確認してください。

ログから正確な滞在時間を直接把握することもできません。最後のリクエスト後も、訪問者がページを読んでいる可能性があります。また、ページが成功ステータスを返しても、内容が完全に表示されたとは限りません。そのため、「リクエストが1回だけ」「コンバージョンがない」といった条件は、絞り込みには使えますが、ブロックの根拠には適しません。

ルールを検証してから、ブロックの範囲を広げる

まず、明確なスキャン対象パスや継続的な異常頻度に対して監視ルールを設定し、該当したリクエストを記録してから、レート制限、アクセスチャレンジ、ブロックのいずれを適用するか判断します。水増しが疑われる送信元については、広告配信記録と照合できるよう、検証可能な時間帯、リクエストのサンプル、関連識別子を保存します。特定の国や地域のコンバージョン率が低いという理由だけで、その地域全体をブロックしてはいけません。

ルールの適用後は、異常なリクエストが減っているか、正常なページに引き続きアクセスできるか、確認済みのクローラーによるクロールが妨げられていないか、フォーム送信が正常かを同時に確認します。リクエスト数が減る一方で有効な問い合わせも減少した場合は、誤ブロックがないか再確認してください。新しいルールには必ず解除方法を用意し、対応の根拠となった具体的な証拠を追跡できるようにします。