Tráfico inválido y fraude publicitario: cómo se protege un publisher honesto

El fraude publicitario no siempre lo comete el dueño del sitio: muchas veces solo pasa por su casa y le deja la factura a su nombre. Esto es lo que significa tráfico inválido, por qué lo miran las plataformas y qué puedes hacer para que tus números aguanten una revisión.

Qué es el tráfico inválido

El sector llama tráfico inválido, o IVT por sus siglas en inglés (Invalid Traffic), a toda actividad publicitaria que no corresponde a una persona real con interés real en lo que se le muestra. Una impresión servida a un programa automático, un clic que nadie quiso dar, una página que se recarga sola en una pestaña que ya nadie mira: nada de eso le sirve al anunciante y no debería cobrarse.

Conviene separar dos palabras que se usan como sinónimos. Fraude implica intención: alguien monta un sistema para cobrar por publicidad que nadie vio. Tráfico inválido es la categoría amplia, y ahí cabe también lo accidental. Un sitio limpio, llevado por gente honesta, tiene siempre algo de tráfico inválido. El problema empieza cuando la proporción llama la atención.

General y sofisticado: dos problemas distintos

El tráfico inválido general, GIVT (General Invalid Traffic), es el que se identifica con reglas y listas: bots de buscadores, monitores de disponibilidad, rastreadores declarados, peticiones que salen de centros de datos conocidos, navegadores que se anuncian como automatizados. No se esconde. Se filtra casi entero antes de facturar y rara vez es señal de nada malo.

El sofisticado, SIVT (Sophisticated Invalid Traffic), está hecho para no ser detectado. Imita el comportamiento humano: mueve el ratón, hace scroll, espera antes de pulsar, sale de conexiones domésticas de dispositivos infectados. Ahí entran también los anuncios apilados uno detrás de otro, los espacios de un píxel y la suplantación de dominio, donde alguien vende inventario diciendo que es el tuyo. No se detecta con una lista, sino comparando comportamientos.

De dónde sale sin que tú lo busques

La pregunta que más se repite es cómo aparece esto en un sitio cuyo dueño no ha hecho nada raro. Las vías habituales son bastante prosaicas:

• Rastreadores y monitores que contrataste tú: herramientas de SEO, comprobadores de caída, servicios de captura de pantalla.
• Extensiones de navegador instaladas por el usuario que abren pestañas o recargan páginas en segundo plano.
• Agregadores y copias: sitios que replican tu contenido y, con él, tus etiquetas publicitarias.
• Tráfico comprado por un tercero: una agencia, un colaborador o alguien del equipo que decidió «ayudar» con una campaña barata de visitas.
• Redes de notificaciones push y de recomendación de contenido de calidad dudosa.
• Enlaces desde granjas de contenido que te descubrieron sin que tú hicieras nada.

Nada de eso exige mala fe del publisher. Varias de esas vías exigen solo desconocimiento, y una, la compra de tráfico, suele empezar con la mejor de las intenciones: llegar al mínimo de visitas que pide una red publicitaria.

El click spam y por qué hace daño aunque no lo provoques

Se llama click spam a la generación masiva de clics que el usuario no dio de forma consciente. En el mundo del publisher casi nunca aparece como un ataque: aparece como un diseño desafortunado (un anuncio pegado al botón de «siguiente»), como clics inyectados por extensiones, o como un socio de tráfico que prometió resultados y decidió fabricarlos.

El daño es indirecto y por eso tarda en verse. El porcentaje de clics sube, las conversiones no. El anunciante mide su retorno por sitio, no por usuario, así que la corrección la aplica a tu dominio: baja la puja o deja de comprarte. Tú no recibes ningún aviso: ves que el CPM (coste por mil impresiones) se hunde y no sabes por qué.

El fraude no siempre entra por la puerta. A veces solo pasa por tu casa y deja la factura a tu nombre.

Cómo lo detectan las plataformas

Ninguna plataforma publica su método, pero los tipos de señal son conocidos: huellas técnicas (coherencia entre navegador, sistema y pantalla, origen de la conexión), patrones temporales (tráfico plano de madrugada, picos idénticos cada día a la misma hora), comportamiento dentro de la página y correlación entre sitios. Cuando los mismos identificadores aparecen en decenas de dominios sin relación, salta el aviso.

A eso se suma la cadena de suministro. El archivo ads.txt declara quién está autorizado a vender tu inventario, y el sellers.json de cada intermediario declara a quién representa: sirven para que un comprador distinga tu dominio de quien dice ser tu dominio. Tenerlos correctos y actualizados es lo mínimo; su ausencia ya es una señal negativa.

Qué pasa cuando lo detectan

Las consecuencias van por grados. Primero el descuento: los ingresos ya visibles en el panel se ajustan a la baja al cerrar el periodo, porque las impresiones invalidadas no se pagan. Después, la retención del pago mientras se revisa. En los casos graves, el cierre de la cuenta y el saldo devuelto a los anunciantes.

Pero lo caro no es eso. Lo caro es el corte de demanda: compradores que meten tu dominio en su lista de exclusión y dejan de pujar. Eso no llega con una notificación ni tiene formulario de apelación, y no se arregla el mes siguiente. Un dominio con historial dudoso tarda en volver a recibir demanda premium.

Señales de alarma en tus propios paneles

No hace falta un sistema de verificación para ver los síntomas evidentes. Con tu analítica y tu servidor de anuncios ya puedes vigilar:

• Picos de sesiones sin causa editorial: no publicaste nada, no te enlazó nadie y el tráfico se duplica.
• Rebote casi total, con sesiones de pocos segundos, en un grupo grande de visitas.
• Un porcentaje de clics imposible en un formato que nunca lo tuvo.
• Sitios de referencia que no conoces, o un volumen sospechoso de tráfico «directo» sin campaña detrás.
• Distribución horaria plana: el tráfico humano sigue el reloj del país, el automático no.
• Un país que nunca fue tu público apareciendo de golpe entre los primeros.
• Discrepancia creciente entre las páginas vistas de tu analítica y las peticiones de anuncio de tu servidor.

Ninguna de estas señales prueba nada por separado. Dos o tres juntas, sostenidas varios días, merecen que pares y mires antes de que lo mire otro.

Brand safety: el anunciante también compra dónde aparece

Brand safety, o seguridad de marca, es el conjunto de controles con los que un anunciante evita que su anuncio salga junto a contenido que le perjudica: violencia, desinformación, la cobertura de una catástrofe, un hilo de comentarios sin moderar. No es una manía: una marca grande responde ante sus clientes por el sitio donde aparece su logotipo.

Por eso viene al caso. Los anunciantes directos y las campañas a CPM fijo se negocian mirando el sitio: quién lo escribe, de qué habla, qué hay alrededor del anuncio y qué tráfico recibe. Un dominio con sospechas de tráfico inválido no entra en esas conversaciones por mucho volumen que tenga. Calidad del tráfico y seguridad de marca son las dos condiciones de entrada a la demanda premium.

Cómo protegerte

La defensa realista de un publisher honesto es aburrida, y funciona:

• No compres tráfico para alcanzar un mínimo. Es la forma más rápida y más común de perder una cuenta.
• Si alguna vez compras promoción, que sea publicidad identificable en plataformas serias, con informes de origen y con la posibilidad de pararla.
• Controla quién tiene acceso a tus etiquetas y a tu servidor de anuncios, y revisa los scripts de terceros que hay en la página.
• Mantén ads.txt y sellers.json al día, y borra de ads.txt a los socios con los que ya no trabajas.
• No pongas anuncios donde se pulsan por error, ni pidas clics, ni premies la interacción con la publicidad.
• Lee los informes de tráfico inválido que te dé tu socio de monetización y pregunta cuando algo no cuadre.
• Si detectas una anomalía, avisa tú primero y documenta lo que hiciste: la buena fe demostrada cambia el desenlace de una revisión.

En ADEQ revisamos el tráfico de cada sitio antes de incorporarlo y lo seguimos revisando después. No por desconfianza: es lo que permite conectar un inventario a demanda premium, a anunciantes directos y a campañas a CPM fijo con Header Bidding con SmartTag. Un publisher honesto no necesita defenderse de una acusación; necesita que sus números aguanten una mirada.