Je blokkeerde het IP. De bot ging verder.

Het meest bevredigende scherm in elke tool tegen klikfraude is de uitsluitingslijst. Cijfers erin, dreigingen eruit. Het voelt als vooruitgang.

Het is ook het onderdeel dat het snelst veroudert.

Een IP-adres uitsluiten is een momentopname van iets dat beweegt. Residentiële proxypools wisselen voortdurend van adres — de pool is het product, en is ontworpen om precies dit te overleven. Datacenterbereiken worden gerecycled tussen klanten, dus het adres dat je vandaag blokkeert kan morgen een legitieme bezoeker zijn. Een concurrent die vanaf zijn telefoon klikt, zit op een mobiel-provider-IP dat tegen de middag alweer anders kan zijn. En uitsluitingslijsten hebben grenzen: je kunt niet eindeloos blijven toevoegen, dus uiteindelijk kost elke nieuwe blokkade je stilletjes een oude.

Erger nog, de lijst veroudert in een richting die je niet kunt zien. Niets vertelt je dat het zevenenveertigste adres op je lijst de afgelopen drie maanden bij het kantoor van een echte klant hoorde.

Gedrag draait niet rond

De uitweg is geen betere lijst. Het is het volgen van een ander signaal. Een bezoek rendert de pagina wel of niet. Een muis beweegt wel of niet. Een sessie duurt langer dan een seconde of niet. Een browser rapporteert een aannemelijke combinatie van eigenschappen of spreekt zichzelf tegen. Een klik-ID verschijnt één keer of duikt drie keer op. Die signalen reizen mee met het bezoek in plaats van met het adres, dus een vers IP levert dezelfde bezoeker niets op.

Dit is ook wat het bewijs later leesbaar maakt. "We hebben dit IP geblokkeerd" verklaart op zich niets. "Deze klik kwam uit een datacenterbereik, rendeerde niets, en hergebruikte een klik-ID die al twee keer eerder was gezien" is een beschrijving van wat er echt gebeurde.

SaveMyBudget markeert eerst op gedrag, vanaf één tag op je eigen site, en voegt de reden toe aan elke gemarkeerde klik. Blokkeren heeft nog steeds zijn plaats — het werkt alleen beter vanuit een lijst die je kunt verantwoorden dan een die je erfde.