Una parte del traffico che arriva a qualsiasi sito non proviene da persone. Motori di ricerca, servizi di monitoraggio, strumenti di anteprima dei link, scraper e script automatici visitano le pagine di continuo. Molti di questi non eseguono JavaScript e quindi non compaiono negli analytics lato client, ma alcuni sì. Quando entrano nei dati, gonfiano le visite, abbassano i tassi di conversione e possono far sembrare una campagna più efficace di quanto sia.
Tipi di traffico non umano
Conviene distinguere alcune famiglie, perché si riconoscono e si gestiscono in modo diverso:
- crawler dichiarati: si identificano con uno user agent riconoscibile e di solito non eseguono gli script di analytics;
- browser automatizzati: strumenti di test, monitoraggio o scraping che usano un vero motore di browser e quindi eseguono JavaScript come un visitatore;
- referral spam: visite, o finti eventi inviati direttamente ai server di raccolta, con un referrer inventato per attirare la curiosità di chi legge i report;
- traffico interno: non è un bot, ma le visite tue, del tuo team o dei tuoi strumenti di verifica distorcono i dati allo stesso modo.
I segnali da osservare
Nessun segnale da solo è una prova. Diventano indicativi quando se ne sommano diversi nello stesso segmento:
- picchi improvvisi da una sola città, rete o fornitore di hosting;
- sessioni con durata nulla o identica al secondo, ripetute centinaia di volte;
- risoluzioni dello schermo insolite o sempre uguali;
- lingua del browser assente o incoerente con il Paese;
- tutte le visite atterrano sulla stessa pagina senza nessuna interazione;
- referrer da domini sconosciuti che non contengono alcun link al tuo sito;
- visite registrate verso nomi host che non sono i tuoi.
Quest'ultimo segnale è tipico dello spam inviato direttamente al sistema di raccolta: lo script non è mai stato eseguito sul tuo sito, quindi il nome host riportato è falso o mancante.
Un'indagine in pratica
Supponi che il traffico di un martedì triplichi senza alcuna campagna attiva. La procedura che seguo è questa:
- isolare il giorno anomalo e confrontarlo con un martedì normale;
- scomporre per sorgente, Paese, dispositivo e pagina di atterraggio, cercando la dimensione dove si concentra l'aumento;
- guardare il comportamento di quel segmento: pagine per sessione, eventi, tempo di interazione;
- se possibile, incrociare con i log del server per vedere indirizzi, user agent e cadenza delle richieste.
Se l'aumento è tutto in un segmento con interazione zero e una cadenza regolare, si tratta quasi certamente di automazione.
Come filtrare
Ci sono tre livelli di intervento, ciascuno con vantaggi e limiti:
| Livello | Esempio | Pro | Contro |
|---|---|---|---|
| Prima della raccolta | regole sul server o sul firewall applicativo | i dati non vengono mai sporcati | rischio di bloccare visitatori reali |
| Nella configurazione | filtro sul nome host valido, esclusione di indirizzi interni | semplice, applicato a tutti i report | di solito non retroattivo |
| In fase di analisi | segmenti che escludono il traffico sospetto | reversibile, applicabile al passato | va ricordato ogni volta |
Un filtro molto efficace e poco rischioso è quello sul nome host: accettare solo i dati che dichiarano di provenire dai tuoi domini elimina gran parte dello spam inviato direttamente. Per il traffico interno, un parametro o un cookie impostato sui dispositivi del team è più affidabile dell'esclusione per indirizzo, che cambia quando si lavora da reti diverse.
Non esagerare
Filtri troppo aggressivi creano il problema opposto. Escludere un intero Paese perché ha prodotto un picco anomalo può cancellare clienti veri; escludere le sessioni brevi elimina anche chi ha trovato subito un numero di telefono. Ogni filtro dovrebbe colpire una caratteristica precisa del traffico non umano, non un comportamento che anche le persone possono avere.
Documentare
Ogni esclusione va registrata: che cosa fa, quando è stata attivata, perché. Un breve registro con data e motivazione permette di spiegare un calo improvviso nei report e di rimuovere un filtro diventato inutile. Senza documentazione, tra un anno nessuno saprà perché certi dati non ci sono più.
Bot e conversioni
Il caso più delicato è quello dei moduli. Gli invii automatici di spam possono gonfiare le conversioni registrate. Conviene contare come conversione solo l'invio che ha superato i controlli lato server, e non il semplice clic sul pulsante. In questo modo i report riflettono le richieste che qualcuno leggerà davvero.
In sintesi
- Non tutto il traffico registrato è umano: crawler, automazioni e spam entrano nei dati.
- Cerca concentrazioni anomale in un segmento con interazione nulla e cadenza regolare.
- Il filtro sul nome host e l'esclusione del traffico interno sono i primi passi più sicuri.
- Evita filtri che colpiscono comportamenti tipici anche delle persone reali.
- Documenta ogni filtro e conta come conversione solo l'invio validato dal server.
