# چرا این ترافیک علامت خورد

هر پرچم در محافظت در برابر تقلب یک بسته شواهد پشت خودش دارد: کدام سیگنال‌ها آتش گرفتند، با چه اندازه‌ای، و کدام‌شان تصمیم را گرفت. ادپیکس فقط سیگنال‌هایی را می‌نویسد که واقعا فعال شده‌اند — پس فهرست دلایل هیچ‌وقت متن آماده نیست.

## دو جایی که یک پرچم را می‌بینید

در «محافظت در برابر تقلب» دو تب شما را از یک عدد کلی به شواهد می‌رسانند:

- **«ریزبینی»** از بالا شروع می‌کند. یک بعد انتخاب می‌کنید — کانال، منبع، رسانه یا کمپین — و ادپیکس همان بعد را بر اساس نشست‌های علامت‌خورده مرتب می‌کند. سطر اول «منبع اصلی تقلب» شماست.
- **«موجودیت‌ها»** فهرست تخت همه برش‌های امتیازدهی‌شده است، با ستون «سیگنال برتر» و امکان فیلتر بر اساس شدت.

هر دو به یک جا می‌رسند: کشوی شواهد یک موجودیت. اینجاست که «چرا» نوشته شده.

> **نرخ نامعتبر شامل ردیف‌های بازبینی نیست**
>
> شدت «بازبینی» یعنی ادپیکس عمدا تصمیم نگرفته و پرونده را به یک انسان سپرده. این نشست‌ها جدا شمرده می‌شوند و هیچ‌وقت داخل نرخ نامعتبر نمی‌آیند. اگر عددی در «در حال بازبینی» می‌بینید، هنوز ادعایی درباره‌اش نشده است.

## یک «موجودیت» دقیقا چیست

واحد امتیازدهی، یک کاربر یا یک IP نیست — یک **برش ترافیک** است، ساخته‌شده از پنج بعد که با `|` به هم چسبیده‌اند:

```
source | medium | channel | campaign | device
```

مثلا `google|cpc|Paid Search|spring-sale|mobile` یک برش است و همان کمپین روی دسکتاپ برشی دیگر. این تفکیک عمدی است: کلاهبرداری معمولا در یک گوشه مشخص از خرید رسانه‌ای شما جمع می‌شود، نه در کل کانال. همین باعث می‌شود پرچم قابل‌اقدام باشد — شما یک برش را متوقف می‌کنید، نه یک کانال کامل را.

## رسیدن به بسته شواهد

1. در فهرست کناری، گروه «محافظت در برابر تقلب» و بعد صفحه «محافظت در برابر تقلب» را باز کنید.
2. تب «ریزبینی» را انتخاب کنید و بعد مورد نظرتان را از «تفکیک بر اساس» بردارید.
3. روی سطری که بیشترین نشست علامت‌خورده را دارد کلیک کنید. کشو باز می‌شود و زیر «چرا پرچم گذاری شد» همه برش‌های علامت‌خورده یا در حال بازبینی زیر آن مقدار را می‌بینید.
4. روی یکی از آن برش‌ها کلیک کنید تا بسته شواهد کامل باز شود: امتیاز، اطمینان، «سیگنال های تشخیص»، «امتیازهای آشکارساز» و «زمینه شبکه».

اگر ترجیح می‌دهید از فهرست کامل شروع کنید، تب «موجودیت‌ها» همان کشو را با یک کلیک روی شناسه موجودیت باز می‌کند.

## کارت «سیگنال های تشخیص»

این کارت مهم‌ترین چیز صفحه است. هر خطش یک شرط است که **واقعا روی داده همین برش برقرار بوده**. ادپیکس برای پرکردن فضا دلیل تولید نمی‌کند و دلیلی را که در تصمیم نقشی نداشته نمی‌نویسد؛ اگر شرطی آتش نگرفته باشد، خطش هم وجود ندارد. بنابراین یک فهرست تک‌خطی نشانه شواهد ناقص نیست — نشانه یک امضای تمیز است.

> **سیگنال ها به انگلیسی چاپ می‌شوند**
>
> رشته‌های سیگنال را موتور امتیازدهی تولید می‌کند و در هر دو زبان به همان شکل انگلیسی نمایش داده می‌شوند. جدول زیر معادل هرکدام را می‌دهد.

## دیکشنری سیگنال‌ها

| سیگنالی که می‌بینید | یعنی چه | چه وقت آتش می‌گیرد |
| --- | --- | --- |
| `fingerprint shared across many businesses` | یک اثرانگشت مرورگر در چند کسب‌وکار مستقل روی شبکه ادپیکس دیده شده — امضای کلاسیک حلقه ربات | اثرانگشت مشترک بین ۵ سازمان یا بیشتر |
| `datacenter/proxy traffic` | بیشتر نشست‌ها از مرکز داده، پروکسی یا ربات‌های شناخته‌شده آمده‌اند | بیش از نیمی از نشست‌های برش |
| `click flooding — repeated hits from one address within minutes, no interaction` | سیل کلیک: انبوهی از نشست‌ها از یک بلوک آدرس در یک ساعت، بدون هیچ تعاملی | ۸ نشست یا بیشتر از یک `/24` در یک ساعت، همراه با نرخ تعامل زیر ۱۰٪ |
| `one device rotating across many networks (IP-block evasion)` | یک دستگاه که آدرسش را مدام عوض می‌کند تا از مسدودسازی IP فرار کند | یک اثرانگشت روی ۸ بلوک `/24` یا بیشتر، با محافظ‌های زیر |
| `uniform dwell (human-variance collapse)` | مدت حضور همه نشست‌ها تقریبا یکسان است؛ آدم‌ها این‌طور رفتار نمی‌کنند | ضریب تغییرات ماندگاری زیر ۰٫۱ روی دست‌کم ۲۰ نشست |
| `near-total bounce` | تقریبا هیچ نشستی از صفحه اول جلوتر نرفته | نرخ پرش بالای ۸۰٪ |
| `sub-3s sessions` | میانگین ماندگاری زیر سه ثانیه | همیشه به‌عنوان سیگنال همراه، نه سیگنال اصلی |
| `paid ad clicks — advertiser budget is being consumed` | این برش عمدتا از کلیک پولی آمده، یعنی سیل کلیک مستقیم بودجه شما را می‌خورد | نیمی یا بیشتر از نشست‌ها با شناسه کلیک تبلیغاتی |
| `anomalous behavior profile` | هیچ امضای ساختاری‌ای پیدا نشد؛ فقط از نظر آماری پرت است | فقط با یک نشانه رفتاری ضعیف تاییدکننده |
| `too few sessions to confirm — needs human review` | شواهد شاید درست باشد، ولی حجم برای ادعای قطعی کافی نیست | زیر ۳ نشست، روی هر مسیری |
| `converting but carries structural fraud signals — needs human review` | برش هم تبدیل دارد و هم امضای ساختاری تقلب؛ تصمیم با انسان است | همیشه به «بازبینی» می‌رود، نه بیشتر |

## سیگنال‌های تازه، به زبان بازاریاب

چهار سنجه از این‌ها به‌تازگی اضافه شده‌اند و دقیقا همان چیزی را می‌سنجند که یک آدم واقعی انجام می‌دهد و یک ربات نه.

**سیل کلیک (`burst_max`).** شلوغ‌ترین ترکیب «یک بلوک آدرس، یک ساعت» را می‌شمارد. هشت نشست از یک بلوک در یک ساعت به‌تنهایی چیزی را ثابت نمی‌کند — یک دفتر با یک خط اینترنت هم همین شکل را دارد. چیزی که مزرعه کلیک را از شبکه یک شرکت جدا می‌کند، **محافظ تعامل** است: آدم‌های آن دفتر اسکرول می‌کنند، کلیک می‌کنند، فرم پر می‌کنند. اگر نرخ تعامل زیر ۱۰٪ باشد و در عین حال آن انفجار وجود داشته باشد، این دیگر یک دفتر نیست.

**چرخش پروکسی (`ips_per_fp`).** وقتی یک شبکه تبلیغاتی یا فایروال شما IPها را مسدود می‌کند، جواب مهاجم چرخاندن آدرس است. این سیگنال یک اثرانگشت دستگاه را روی بلوک‌های آدرس مختلف دنبال می‌کند. سه محافظ دارد تا کاربر واقعی را نگیرد: اثرانگشت باید سهم غالب برش را داشته باشد (یک اثرانگشت رایج به‌طور طبیعی در صدها شبکه دیده می‌شود)، نرخ تعامل باید زیر ۲۰٪ باشد، و **ترافیک موبایل باید غالب نباشد** — یعنی کمتر از نیمی از نشست‌ها روی شبکه اپراتور موبایل، چون CGNAT اپراتورها یک گوشی واقعی را به‌شکل کاملا عادی بین بلوک‌های آدرس جابه‌جا می‌کند.

**نرخ تعامل (`interaction_rate`).** سهم نشست‌هایی که دست‌کم یک رویداد تعامل واقعی داشته‌اند: کلیک، اسکرول، شروع یا ارسال فرم، پخش ویدیو، دانلود فایل، جستجوی داخل سایت. این عمدا سخت‌گیرتر از تعریف نشست درگیر است. رباتی که دو صفحه را باز می‌کند، از سد «درگیر» گوگل آنالیتیکس رد می‌شود ولی هیچ‌وقت اسکرول نمی‌کند.

**نرخ کلیک پولی (`paid_click_rate`).** سهم نشست‌هایی که با شناسه کلیک تبلیغاتی رسیده‌اند. این سنجه چیزی را کشف نمی‌کند؛ اولویت را تعیین می‌کند. ترافیک نامعتبر ارگانیک آزاردهنده است، ترافیک نامعتبر پولی هزینه دارد.

**سهم موبایل (`mobile_share`).** سهم نشست‌هایی که روی شبکه اپراتور موبایل بوده‌اند. این سنجه هیچ‌وقت چیزی را پرچم نمی‌کند — فقط محافظت می‌کند، و همان چیزی است که میلیون‌ها کاربر واقعی روی شبکه‌های موبایل را از افتادن در دام امضای چرخش IP نجات می‌دهد.

## چرا چیزی که مشکوک به نظر می‌رسد پرچم نخورده

اگر برشی را می‌بینید که خودتان مشکوک می‌دانید ولی «پاک» یا «بازبینی» علامت خورده، احتمالا یکی از این محافظ‌ها جلویش را گرفته. همه‌شان عمدی‌اند و همه‌شان به نفع دقت‌اند.

| محافظ | اثرش |
| --- | --- |
| تبدیل | برشی که تبدیل می‌کند — خرید، رویداد کلیدی ثبت‌شده دارایی، درآمد، یا نرخ تبدیل کل آن منبع بالای ۲٪ — واقعی فرض می‌شود و پرچم نمی‌خورد |
| تبدیل به‌همراه سیگنال ساختاری | تبدیل هرگز روی امضای ساختاری غلبه نمی‌کند (وگرنه هر حلقه‌ای خودش را سفید می‌کرد)، ولی پرچم خودکار هم نمی‌شود؛ نتیجه «بازبینی» است |
| نشست درگیر | برشی که دست‌کم نیمی از نشست‌هایش درگیرند، صرفا با نظر مدل پرچم نمی‌شود |
| حجم | زیر ۳ نشست هیچ چیز از «بازبینی» فراتر نمی‌رود؛ حلقه اثرانگشت برای «تاییدشده» دست‌کم ۵ نشست می‌خواهد |
| ترافیک مستقیم | «مستقیم» سطل ترافیک بدون اسناد است؛ فقط یک سیگنال ساختاری سخت می‌تواند پرچمش کند |
| استثناهای ارجاع | درگاه‌های پرداخت و میزبان‌هایی که خودتان استثنا کرده‌اید، همراه با دامنه و برند خودتان، از ابتدا پاک شمرده می‌شوند |

## امتیاز، اطمینان و امتیازهای آشکارساز

سه عدد بالای کشو، سه چیز متفاوت می‌گویند.

- **«امتیاز تقلب»** جایگاه نسبی این برش در توزیع ترافیک خودِ شماست، نه یک احتمال. در هر مجموعه داده‌ای — حتی کاملا سالم — همیشه کسی در صدک بالاست. به‌همین دلیل امتیاز بالا به‌تنهایی هیچ‌وقت کافی نیست.
- **«اطمینان»** از تعداد آشکارسازهایی می‌آید که هم‌نظر بوده‌اند و از اینکه شدت نهایی یک ادعای مثبت است یا نه.
- **«امتیازهای آشکارساز»** سه عضو مستقل گروه را جدا نشان می‌دهد: `ecod`، `copod` و `iforest`. وقتی برچسب انسانی کافی وجود داشته باشد یک عضو `pu` هم اضافه می‌شود. اگر هر سه بالا باشند، سه روش مستقل به یک نتیجه رسیده‌اند؛ اگر فقط یکی بالا باشد، امضا ضعیف است.

«زمینه شبکه» زیر همین‌ها می‌گوید آیا این موجودیت در حلقه‌ای دیده شده که چند کسب‌وکار مستقل را لمس می‌کند. اینجا فقط شمارش نمایش داده می‌شود — هیچ شناسه‌ای از هیچ سازمان دیگری افشا نمی‌شود.

## بعد از اینکه شواهد را خواندید

سه کار منطقی باقی می‌ماند:

- **موافقید.** برش را در پلتفرم تبلیغاتی متوقف یا محدود کنید و برای شبکه‌های مربوطه سراغ فهرست‌های مسدودسازی بروید.
- **می‌خواهید پرونده مالی بسازید.** «دانلود شواهد اعتراض» را بزنید تا خلاصه موجودیت، سیگنال‌ها، امتیاز هر آشکارساز و زمینه شبکه در یک CSV بیرون بیاید.
- **مخالفید.** «گزارش مثبت کاذب» را بزنید. توضیح شما به‌عنوان برچسب ثبت می‌شود و وارد چرخه بازآموزی می‌شود؛ [حساسیت و مثبت کاذب](analytics/fraud/sensitivity-and-false-positives) دقیقا می‌گوید بعدش چه اتفاقی می‌افتد.

اگر پرچم روی یک شبکه یا ASN است و نه یک برش ترافیک، مسیرش فرق می‌کند — [شبکه ها و ASN](analytics/fraud/networks-and-asn) آن طرف ماجراست.

## پرسش‌های پرتکرار

### چرا دو منبع با امتیاز نزدیک به هم، شدت‌های متفاوت دارند؟

چون شدت را امتیاز تنها تعیین نمی‌کند. تصمیم روی یک نردبان گرفته می‌شود — اول تبدیل، بعد سیگنال‌های ساختاری، بعد حجم نشست، و در آخر نظر مدل. منبعی که تبدیل دارد یا نشست‌هایش درگیر شمرده می‌شوند، حتی با امتیاز بالا هم به‌صورت خودکار پرچم نمی‌خورد و حداکثر به «بازبینی» می‌رود.

### چرا فهرست سیگنال‌ها فقط یک خط دارد؟

چون فقط یک شرط آتش گرفته. ادپیکس برای هر پرچم متن ثابت تولید نمی‌کند؛ هر خطی که می‌بینید یعنی آن شرط با داده واقعی همین برش سنجیده شده و برقرار بوده است. یک سیگنال کافی است، به‌شرط اینکه سیگنال ساختاری و حجم کافی باشد.

### «anomalous behavior profile» یعنی چه؟

یعنی هیچ امضای ساختاری مشخصی پیدا نشده و این برش صرفا از نظر آماری بیرون از توزیع بقیه ترافیک شماست. این ضعیف‌ترین شکل شواهد است؛ به‌تنهایی هرگز به «تاییدشده» نمی‌رسد و روی ترافیک درگیر یا کم‌حجم اصلا پرچم نمی‌شود.

### شواهد را می‌شود برای شبکه تبلیغاتی فرستاد؟

بله. در همان کشوی شواهد دکمه «دانلود شواهد اعتراض» یک CSV می‌سازد که موجودیت، شدت، امتیاز، نسخه مدل، سیگنال‌ها، امتیاز هر آشکارساز و زمینه شبکه را دارد. برای پرونده بازپرداخت، مدارک مهرشده سطح شبکه ابزار دقیق‌تری است.

## مطالب مرتبط

- [نمای کلی و رده‌های شدت](https://docs.adpix.io/fa/analytics/fraud/overview-and-severity/)
- [حساسیت و مثبت کاذب](https://docs.adpix.io/fa/analytics/fraud/sensitivity-and-false-positives/)
- [تقلب در سطح شبکه و ASN](https://docs.adpix.io/fa/analytics/fraud/networks-and-asn/)
- [ترافیک نامعتبر چیست](https://docs.adpix.io/fa/analytics/fraud/what-is-invalid-traffic/)

---

[مستندات](https://docs.adpix.io/fa/analytics/fraud/why-was-this-flagged/) · AdPix