Sahte tıklamayı 7 sinyalle nasıl tespit edersiniz

Google Ads kampanyalarınıza giren her tıklamanın gerçek bir potansiyel müşteriden geldiğini düşünmek istersiniz. Gerçek şu: sektör ortalamalarına göre PPC trafiğinin %14 ile %35 arasındaki bir kısmı geçersiz (invalid click) olarak sınıflanıyor. Bu rakamın bir kısmını Google kendi filtreleriyle yakalıyor; önemli bir kısmı ise faturalandırılıyor — yani bütçenizden çıkıyor.

Sahte trafiği gerçek kullanıcılardan ayırmak için tek bir sinyal yetmez. Modern bot ağları, datacenter'lardan ev IP'lerine geçiş yapıyor; mouse hareketini taklit ediyor; hatta CAPTCHA çözüyor. Ancak hiçbiri henüz tüm sinyalleri aynı anda taklit edemiyor. Aşağıdaki 7 sinyali birlikte değerlendiren bir kural motoru, %95'in üstünde isabetli karar verebiliyor.

1. IP tekrarı ve frekansı

Aynı IP'den 24 saat içinde aynı reklama yapılan birden fazla tıklama, en eski ve hâlâ en güçlü sinyaldir. Tek başına suçlayıcı değildir — kurumsal bir ofiste yüzlerce kullanıcı aynı NAT'lı IP'yi paylaşabilir — ama bir IP'ye düşen tıklama sayısı kampanya ortalamasının 5 katını geçtiğinde alarm verir.

GA4'te bu sinyali doğrudan göremezsiniz; çünkü Google IP adresini son kullanıcıdan gizler. Sunucu taraflı bir izleyiciyle (snippet ile veya server-side GTM ile) kendi loglarınıza yazmanız gerekir. wall.click bunu yapar ve aynı /24 alt ağdan gelen anormal frekansta tıklamaları otomatik olarak Google Ads IP exclusion listesine ekler.

2. Datacenter ASN'leri

Gerçek bir kullanıcı, AWS, Google Cloud, DigitalOcean, OVH veya Hetzner gibi bir hosting sağlayıcısının IP bloğundan reklama tıklamaz. Bu IP'ler datacenter ASN'lerine (Autonomous System Number) aittir ve neredeyse istisnasız bot trafiği sinyalidir.

3. Headless browser ve otomasyon işaretleri

Puppeteer, Playwright, Selenium gibi araçlar tarayıcıyı program olarak çalıştırır. Bu tarayıcılar bazı imzalar bırakır: navigator.webdriver bayrağı true döner; window.chrome objesi eksiktir; bazı plugin enumeration'ları boş döner; permissions API tutarsız davranır.

Modern botlar bu imzaları gizlemeye çalışır (puppeteer-stealth gibi paketler bunun için geliştirildi) ama tüm imzaları aynı anda mükemmel taklit etmek hâlâ zor. Bir oturumda 3 veya daha fazla otomasyon imzası varsa risk skorunu yüksek atayın.

4. Mouse ve scroll davranışı yokluğu

Gerçek bir insan reklama tıkladıktan sonra sayfayı kaydırır, en azından bir saniye orada bekler, biraz mouse hareketi olur. Bot, çoğu zaman tıklar ve hemen kapanır — toplam oturum süresi 0-2 saniye, hiç scroll yok, mousemove eventi sıfır.

Bu sinyali tek başına kullanmak hatalıdır; bazı gerçek kullanıcılar da reklamı tıklayıp "yanlış sayfa" diye geri dönebilir. Ama mouse aktivitesi yokluğu, datacenter IP veya headless imzasıyla birleştiğinde kararlaşır.

5. Coğrafi tutarsızlık

Kampanyanız sadece İstanbul'u hedefliyorsa ama tıklamalar Pakistan, Vietnam veya Brezilya'dan geliyorsa: bu ya VPN üzerinden bot, ya click-farm trafiğidir. Google'ın dil ve konum hedeflemesi mükemmel değildir — bu yüzden raporlarınızda "User Location" boyutunu mutlaka denetleyin.

Daha ince bir versiyonu: tarayıcı dili ile coğrafi konumun uyumsuzluğu. Türkiye'de bulunan bir cihaz vt-VN dil ayarıyla geliyorsa, çoğunlukla emülatör veya proxy kullanan bir bottur.

6. Cihaz parmak izi (fingerprint) tekrarı

Modern fingerprint kütüphaneleri (FingerprintJS gibi) tarayıcının canvas, audio context, font listesi, ekran çözünürlüğü ve WebGL renderer bilgilerinden tek bir hash üretir. İdeal şartlarda bu hash bir cihaza özgüdür.

Bot ağları aynı sanal makine imajını kopyalayıp bin kez çalıştırırsa, hepsi aynı fingerprint hash'ini üretir. Aynı hash'ten kısa sürede çok sayıda tıklama görüyorsanız: tek bir botnet'in farklı IP'lerden tıkladığını izliyorsunuz demektir.

7. Tıklama-dönüşüm uçurumu

En son ama en aydınlatıcı sinyal: belirli bir kanaldan, anahtar kelimeden veya saatten gelen tıklamaların dönüşüm oranı sıfıra yakınsa, bu trafiğin kalitesi ya çok düşüktür ya da sahte trafiktir. Gece 03:00-05:00 arasında pik yapan ama hiç dönüşüm üretmeyen kampanyalar klasik bot saldırısı imzasıdır.

Pratik öneri: nereden başlamalı?

Eğer GA4 ve Google Ads dışında ek bir altyapınız yoksa, bugün başlayabileceğiniz iki şey: (1) Google Ads kampanyalarınızda "Excluded IP addresses" listesini düzenli olarak güncelleyin — şüpheli /24 bloklarını ekleyin. (2) GA4'te gece saatlerinde pik yapan ama dönüşüm üretmeyen kampanyaları durdurun.

Bu manuel yöntemler trafiğin %20-30'unu yakalayabilir. Geri kalanı için, bu yazıdaki 7 sinyali aynı anda izleyen bir kural motoru gereklidir. wall.click 14 günlük ücretsiz denemede sitenizdeki gerçek fraud oranını size çıkarır — kart bilgisi gerekmez.