Защита от фрода, накруток бонусов и SMS

Что значит защита от фрода с отпечатком устройства

Фрод на сайте почти всегда держится на повторах: те же действия от «новых» людей, которые на деле — один человек или одна программа. Новая почта, новый номер, очищенные cookie — и вчерашний клиент снова получает приветственный бонус, а бот снова отправляет SMS с кодом. Отпечаток браузера и устройства помогает связать такие повторы: у одного браузера сигналы почти не меняются, даже когда меняется всё остальное.

ДАРА ОТПЕЧАТОК не выносит приговор и не прячет решение в «чёрном ящике». Он возвращает факты — кто это по cookie, что известно об устройстве, есть ли на нём другие аккаунты, похож ли визит на робота, из какой сети запрос — а правило «пропустить, проверить или отказать» пишет сам сайт.

Где это работает

Защита аккаунтов

Отличайте попытки входа с похищенными учётными данными от возвращения постоянного клиента: у знакомого устройства — знакомый отпечаток, у чужого — новый. Сервер сайта сравнивает visitor_uuid и историю визитов из POST /visitor/info с тем, что знает об аккаунте, и при входе с незнакомого браузера может попросить подтверждение.

Платёжный фрод

Один и тот же отпечаток с десятком карт — сигнал фрода. Сколько посетителей было с устройством за 90 дней (visitors_on_device_90d) и есть ли на нём аккаунты с другими email (multi_account), сайт узнаёт до списания, а честный покупатель не проходит лишние проверки.

Накрутка SMS и бонусов

Один браузер — одна попытка верификации и один приветственный бонус. Отпечаток устройства не зависит от номера телефона и почты, а потерянную cookie сервер восстанавливает по уникальному устройству из той же сети. Когда на одном устройстве появляется второй аккаунт с другим email, multi_account.suspected становится true — подробнее на странице «Как выявить мультиаккаунты на сайте».

Обнаружение ботов

Сессия робота получает bot_reason: user_agent, webdriver, automation (управляемый браузер) или headless (безоконный браузер). Такие сессии пишутся с посетителем и страницей, но не восстанавливают посетителя и не создают пар устройств. Если все сессии посетителя — роботы, в профиле is_bot: true.

Какие сигналы получает сайт

Отметка hosting — не приговор: через дата-центры ходят и люди с VPN. Полный ответ метода — в документации POST /visitor/info, устройство сигналов — в разделе «Сигналы».

Чего не стоит ожидать

• Одинаковые устройства неотличимы. iOS и iPadOS и другие общие устройства помечаются device.is_common; по ним посетитель не восстанавливается, а multi_account.suspected всегда false.
• Восстановление строгое. Прежний visitor_uuid после потери cookie возвращается только для уникального устройства из той же сети; иначе совпадение — лишь возможное.
• Сервис не блокирует запросы. Остановить бота в форме — задача ДАРА Защиты, которая берёт visitor_uuid у SDK на той же странице.

Как подключить

1. Поставьте SDK на страницы

   Создайте ключи сайта в кабинете и добавьте тег с публичным ключом — быстрый старт.

2. Передавайте контакты из форм

   Email и телефон из регистрации, входа и заказа сервер отправляет в POST /collect/field секретным ключом.

3. Спрашивайте профиль перед важным действием

   Перед начислением бонуса, отправкой SMS или оплатой вызовите POST /visitor/info и примените своё правило. Серверные методы с секретным ключом частотой не ограничены — ошибки и пределы.

Кабинет, API и SDK бесплатны.

Частые вопросы