Борьба с роботностью

Я про то, что если у меня куки у посетителя нет на сайте с прямого захода, которую я раньше записал при его переходе с других источников, то, как я понял, его можно в подозрительные уже писать спокойно?

Куки как бы намертво привязаны к браузеру пользователя. Ты определяешь его браузер. Неважно как он зашёл: прямо или через поиск - куки будет те же. 

А если у тебя антибот, то ты прописыааешь время жизни куки. День там или год, как хочешь.

А если пользователь один и тот же, но у него в браузере настроено удалять куки при выходе, то тут никак. 

Потому полагаться только на куки нельзя. Нужно добавлять сетевой или аппаратный.отпечаток который не зависит от куки.

На женском трафе такое вряд ли возможно)))

В любом случае, если прямой заход без куки до этого- подозрительно, надо будет глянуть стату по таким))) идея хорошая, имхо)

Сейчас отправил логи в чатгтп. Он мне показывает вот что))

Бот openai или chatgpt может создавать отказы? Или под его видом поведенческие заходят?

Поздравляю. Вы додумались до того, что я делал когда-то в древние времена при настройке клауда. Накрутка идет со свежих профилей, значит если нет кукис той же метрики при прямом заходе (если это не первый заход - кукис будут, а если первый - откуда у него адрес сайта, ход мысли примерно такой) - получи капчу.

Да я ж не занимаюсь этим, чет эта идея только пришла в голову))) есть подводные камни?)

Да особо не было в те времена, когда до этого никто не додумывался, работало как часы. Все же вокруг на правила Зимина молились и друг другу их впаривали с умным видом.

Для ботов опенай есть официальные айпи, пропускай по ним без капчи, а не по юзерагенту.

Если трафик Россия, то можно смело действовать жестко с прямыми заходами. А если США то тут головняк жёсткий: дорогой рекламодатель сначала обращается в агентства, которые запускают своих ботов для аналитики и если бот получает капчу то для него это значит Сайт недоступен и нормальной рекламы не будет. Твой сайт просто не будут рекомендовать.

Не, я про сейчас и на своем сайтике)) имеет смысл?

Ну так какой-то WAF же нужно на своей стороне разместить, + считывать параметры с браузера. Правила писать вида 
- прямой заход
- нет кукис с _ym_uid=
- список исключений, в который запихивать все служебные обращения
- перед этим правила с пропуском по белым спискам