Google Ads IP engelleme: 500 IP limiti ve neden artık yetmiyor

Şüpheli tıklamalar fark edildiğinde ilk akla gelen çözüm hep aynıdır: "Şu IP'yi engelleyelim." Google Ads bunun için yerleşik bir araç sunar ve doğru kullanıldığında hâlâ işe yarar. Ama internetin bugünkü yapısında — mobil operatörlerin paylaşılan adresleri, IPv6, VPN ve konut proxy'leri — IP listesi tek başına bir koruma stratejisi olmaktan çıktı. Bu yazıda önce IP hariç tutmanın adım adım nasıl yapıldığını, sonra sınırlarını ve son olarak bu sınırları aşan yaklaşımı anlatıyoruz.

Google Ads'te IP hariç tutma nedir?

IP hariç tutma (IP exclusion), belirttiğiniz IP adreslerinden gelen kullanıcılara reklamınızın gösterilmemesini sağlayan bir kampanya ayarıdır. Reklam gösterilmediği için o adresten tıklama da gelmez; dolayısıyla bütçe harcanmaz. Ayar Arama, Görüntülü Reklam, Alışveriş, Discovery/Demand Gen ve YouTube kampanyalarında kullanılabilir. Google'ın yardım sayfasına göre Performance Max, uygulama, otel ve akıllı görüntülü reklam kampanyalarında IP hariç tutma bulunmaz.

Önemli bir ayrıntı: IP hariç tutma bir "engelleme" değil, bir "gösterim kısıtıdır". Hariç tutulan kişi web sitenize doğrudan girebilir; yalnızca reklamınızı göremez. Bu yüzden amaç siteyi korumak değil, reklam bütçesini korumaktır.

Adım adım: Google Ads'te IP nasıl hariç tutulur?

1. Google Ads hesabınıza girin ve sol menüden ilgili kampanyayı seçin.
2. Kampanyanın Ayarlar (Settings) sekmesini açın ve "Ek ayarlar" (Additional settings) bölümünü genişletin.
3. "IP hariç tutma" (IP exclusions) satırına tıklayın.
4. Her satıra bir adres gelecek şekilde IP'leri yapıştırın. Bir bloğu hariç tutmak için son grubu yıldızla yazabilirsiniz (örneğin 203.0.113.*).
5. Kaydedin. Değişiklik genellikle kısa süre içinde etkili olur; ancak önceden harcanmış tıklamaları geri getirmez.

Google artık hesap düzeyinde de IP hariç tutma listesi tanımlamaya izin veriyor. Hesap ve kampanya düzeyinde liste olduğunda Google iki listeyi birleştirir. Birden çok kampanya yönetiyorsanız ortak adresleri hesap düzeyine taşımak bakım yükünü azaltır.

Hangi IP'leri listeye eklemeli?

Liste kısıtlı olduğu için seçici olmanız gerekir. Mantıklı adaylar şunlardır:

• Kendi ofisinizin ve ekibinizin sabit IP'leri (çalışanlarınızın reklamlara tıklaması da bütçe harcar).
• Aynı gün içinde defalarca tıklayıp hiçbir dönüşüm üretmeyen sabit adresler.
• Bilinen bir rakibin ofis IP'si — elinizde sunucu kayıtlarından gelen net kanıt varsa.
• Veri merkezi (hosting) bloklarından gelen ve insan davranışı göstermeyen ziyaretler.

IP'leri nereden bulacağınızı bilmiyorsanız, sunucu erişim kayıtlarınız veya bir izleme aracı başlangıç noktasıdır. Bu konunun ayrıntısını sahte tıklama tespit rehberimizde anlattık.

Sunucu kayıtlarından şüpheli IP bulmak

Google Ads arayüzü size tıklayan kişinin IP adresini göstermez. Bu bilgi ancak kendi tarafınızda, yani web sunucunuzun erişim kayıtlarında veya sitenize eklediğiniz bir izleme kodunda bulunur. Reklam tıklamasından gelen ziyaretleri ayırt etmenin en pratik yolu, URL'deki gclid parametresine bakmaktır. Basit bir inceleme şu adımlarla yapılabilir:

1. Son birkaç günün erişim kayıtlarını alın ve yalnızca gclid içeren istekleri filtreleyin.
2. Bu istekleri IP adresine göre gruplayın ve her adresin kaç kez geldiğini sayın.
3. Aynı adresten kısa aralıklarla gelen, ama ardından başka sayfa isteği olmayan ziyaretleri işaretleyin.
4. İşaretlenen adreslerin hangi ağa ait olduğunu (ev, mobil operatör, veri merkezi) bir IP sorgu aracıyla kontrol edin.
5. Yalnızca sabit ve tekrar eden adresleri hariç tutma adayı olarak not edin; mobil operatör adreslerini ayrı değerlendirin.

Bu yöntem birkaç adres için işe yarar, ama her gün yapılması gereken manuel bir iştir. Ayrıca kayıtlarda gördüğünüz IP'nin bir kişiye mi yoksa yüzlerce kişiye mi ait olduğunu tek başına söyleyemez. Bu belirsizlik, aşağıda anlatacağımız sınırların temelidir.

Sık yapılan hatalar

• Tek bir tıklamaya dayanarak IP hariç tutmak: tek tıklama, şüphe için yeterli kanıt değildir.
• Aynı listeyi her kampanyaya ayrı ayrı kopyalamak: bakım yükü artar; hesap düzeyinde liste daha düzenlidir.
• Listeyi hiç temizlememek: dinamik adresler el değiştirdiğinde eski kayıt gerçek bir müşteriyi engelleyebilir.
• IPv4 adresini ekleyip aynı kaynağın IPv6 adresini unutmak: Google, bir kaynağın tüm adres sürümlerinin eklenmesini önerir.

500 IP limiti pratikte ne anlama geliyor?

Google'ın resmi sınırı kampanya başına 500 IP adresidir. Kâğıt üzerinde büyük görünür; ama bir bot ağının tek bir günde yüzlerce farklı adres kullanabildiğini düşünün. Liste dolduğunda eski kayıtları silip yenilerini eklemek zorunda kalırsınız; bu da korumanın sürekli el emeği gerektiren bir rotasyona dönmesi demektir.

Daha önemlisi, 500'lük liste yalnızca adres değiştirmeyen saldırgana karşı etkilidir. Adres değiştiren her kaynak listeyi anlamsızlaştırır. Bu nedenle limitin kendisinden çok, IP'nin artık güvenilir bir kimlik olmaması asıl sorundur.

IP engellemenin dört temel sınırı

Mobil trafik: yanlış pozitifin en kolay yolu

Türkiye'de birçok sektörde reklam trafiği ağırlıklı olarak mobil cihazlardan gelir. Mobil operatörler, yaygın olarak CGNAT kullanarak aynı genel IP adresini çok sayıda abone arasında paylaştırır. Bu durumda "şüpheli" diye engellediğiniz bir mobil IP, o anda aynı adresi paylaşan potansiyel müşterilerinizi de reklamdan uzaklaştırabilir. Kaba blok engellemeleri (yıldızlı aralıklar) bu riski büyütür.

VPN rotasyonu ve konut proxy'leri

Bilinçli olarak tıklayan biri — ister rakip ister tıklama çiftliği olsun — genellikle her oturumda yeni bir IP kullanır. Konut proxy ağları, gerçek ev kullanıcılarının bağlantılarını kiralayarak trafiği "normal kullanıcı" gibi gösterir. Bu tür trafikte IP listesi her zaman bir adım geride kalır. Bot trafiğinin nasıl çalıştığını merak ediyorsanız bot trafiğinin anatomisi yazımıza göz atabilirsiniz.

Google zaten geçersiz tıklamaları filtrelemiyor mu?

Evet, filtreler. Google'ın otomatik geçersiz tıklama sistemleri, bilinen bot imzalarını, art arda gelen anlamsız tıklamaları ve benzeri kalıpları gerçek zamanlı ayıklar; bu tıklamalar için ücret alınmaz ya da sonradan kredi verilir. Kendi filtresinin atladığını düşündüğünüz tıklamalar için ise inceleme talebi açabilirsiniz; bunun nasıl yapıldığını Google Ads iade talebi rehberimizde anlattık.

Ancak Google'ın filtresi, sizin işinize özgü bağlamı bilmez: rakibinizin kim olduğunu, normal bir müşterinin sitenizde nasıl davrandığını, hangi saatlerde dönüşüm geldiğini. Üçüncü taraf koruma, tam olarak bu boşluğu hedefler — Google'ın yerine geçmek için değil, onun görmediği sinyalleri eklemek için.

Daha iyi yaklaşım: IP yerine sinyal

IP'nin güvenilir bir kimlik olmadığı bir dünyada koruma, birden çok sinyali birlikte değerlendirmek zorundadır. wall.click'in kullandığı sinyal-geri-besleme yaklaşımı kabaca şöyle işler:

• Davranış skoru: sayfada kalma süresi, kaydırma, fare/dokunma hareketi ve etkileşim örüntüsü bir insanınkine benziyor mu?
• ASN ve veri merkezi tespiti: tıklama bir ev/mobil bağlantıdan mı, yoksa bir sunucu sağlayıcısından mı geliyor?
• Cihaz parmak izi: IP değişse de aynı cihaz tekrar tekrar mı geliyor?
• Google'a geri bildirim: geçerli ziyaretleri ve dönüşümleri sinyal olarak Google'a göndermek, otomatik teklif stratejisinin kaliteli trafiğe yönelmesine yardımcı olur.
• Hedefli hariç tutma: IP listesi, yalnızca gerçekten sabit ve tekrar eden kaynaklar için kullanılır; 500'lük kota boşa harcanmaz.

Bu yaklaşımın ayrıntılarını bot algılama çözümü sayfamızda, tüm yetenekleri ise özellikler sayfasında bulabilirsiniz.

IP listesi ne zaman hâlâ doğru araçtır?

IP hariç tutmayı tamamen bırakmak gerekmez. Sabit ofis IP'sinden tıklayan bir rakip, kendi çalışanlarınız veya belirli bir sunucu bloğu gibi durumlarda hâlâ en hızlı ve en ucuz araçtır. Sorun, onu tek savunma hattı olarak kullanmaktır.

Bir örnek senaryo

Bir şehirde hizmet veren bir işletme düşünelim. Sahibi, sabahları aynı saatlerde gelen ve hiç arama üretmeyen tıklamalardan şüphelenir. Sunucu kayıtlarına bakınca tıklamaların bir kısmının sabit bir ofis bağlantısından geldiğini görür ve bu adresi hariç tutar; o adresten gelen tıklamalar durur. Birkaç gün sonra benzer saatlerde benzer davranış gösteren tıklamalar bu kez farklı mobil adreslerden gelmeye başlar. Bu adresler her gün değişir ve aynı adresleri o bölgedeki çok sayıda gerçek kullanıcı da paylaşır.

Bu noktada IP listesi işlevini yitirir. Fark yaratan şey, adres değişse de aynı kalan sinyallerdir: aynı cihaz özellikleri, aynı ziyaret örüntüsü, aynı saat aralığı. Sinyal tabanlı koruma bu örüntüyü yakalar; kişiyi değil davranışı hedef alır ve paylaşılan adresin arkasındaki gerçek müşterileri etkilemez.

Uygulanabilir kontrol listesi

• Ofis ve ekip IP'lerinizi hesap düzeyinde hariç tutun.
• Kampanya listelerinizi düzenli gözden geçirin; artık trafik getirmeyen adresleri temizleyin.
• Mobil IP'leri ve geniş blokları engellemeden önce iki kez düşünün.
• Dönüşüm takibinizin doğru çalıştığından emin olun; teklif algoritmaları bu sinyalle öğrenir.
• Google'ın geçersiz tıklama raporunu takip edin ve gerekiyorsa 60 gün içinde inceleme talebi açın.
• IP'nin göremediği tekrar eden cihazları ve bot davranışını yakalayan bir katman ekleyin.

Sık sorulan sorular

Hariç tutulan IP siteme girebilir mi?

Evet. IP hariç tutma yalnızca reklamın gösterilmesini engeller; siteye doğrudan veya organik aramayla girişi engellemez.

Google Ads'te kaç IP hariç tutabilirim?

Google'ın yardım belgelerine göre kampanya başına en fazla 500 IP adresi. Hesap düzeyinde ayrıca bir liste tanımlayabilirsiniz; iki liste kampanyada birleştirilir.

IP aralığı engelleyebilir miyim?

Evet, son grubu yıldızla yazarak (örneğin 203.0.113.*) bir bloğu hariç tutabilirsiniz. Ancak mobil ve paylaşılan adreslerde bu, gerçek müşterileri de dışarıda bırakabilir.

Performance Max kampanyasında IP hariç tutma var mı?

Hayır. Google'ın belgelerine göre Performance Max, uygulama, otel ve video gibi bazı kampanya türlerinde IP hariç tutma desteklenmez. Bu kampanyalarda kaliteli dönüşüm sinyali göndermek daha belirleyicidir.

IP engellemek rakibin tıklamasını tamamen durdurur mu?

Sabit IP'den tıklıyorsa büyük ölçüde evet. Mobil veri, VPN veya farklı ağlar kullanıyorsa hayır; bu durumda cihaz ve davranış sinyalleri gerekir.