Кликджекинг и борьба Яндекса с ним

В конце декабря 2015 года Яндекс запустил алгоритм ранжирования, который может понижать позиции сайтов, использующих технологию кликджекинга. В этой статье мы расскажем о том, что это за технология и как она влияет на ранжирование сайта.

Clickjacking подразумевает размещение на сайте невидимых элементов, с которыми пользователь взаимодействует без своего согласия. То есть он, не подозревая об этом, выполняет выгодное для злоумышленника действие.

Примеры кликджекинга

Эта обманная технология эффективно используется в целях деанонимизации посетителей сайта. Наиболее часто к ней прибегают для идентификации ID в социальных сетях («ВКонтакте», Facebook, Twitter и др.). Происходит это следующим образом:

1. Злоумышленник скрывает в прозрачном iFrame кнопку из социальной сети («Мне нравится», Follow и т. п.). Невидимый глазу iFrame размещается над элементом страницы, на который пользователь должен нажать. Типовой пример такого элемента — кнопки воспроизведения видео, которые обычно располагаются в нижнем левом углу либо в центре окна плеера. Также распространен вариант, при котором iFrame перемещается вслед за курсором мыши.
2. Посетитель страницы жмет на скрытую кнопку — допустим, это «лайк» или вступление в группу во «ВКонтакте».
3. Злоумышленник таким образом получает информацию о профиле пользователя в соцсети и, как правило, прямой доступ к нему через личные сообщения или по контактным данным, если такие указаны на странице.

Отношение поисковой системы к таким манипуляциям ярко негативное. Несмотря на это, некоторые «специалисты» предлагают его в качестве «сервиса по увеличению продаж», причем нередко даже не ставят клиента в известность о том, что в действительности будут делать. Поэтому стоит насторожиться, если Вам предлагают сервис, который выполняет следующие действия:

• предоставляет информацию, которую пользователь не сообщает самостоятельно;
• производит идентификацию профиля в соцсети;
• осуществляет звонки без явного запроса номера телефона.

Все эти действия могут повлечь за собой санкции Яндекса за применение кликджекинга.

Что нужно знать о влиянии кликджекинга на ранжирование?

Для многих веб-мастеров и владельцев сайтов внедрение нового алгоритма стало неожиданностью. О работе кликджекинг-фильтра они узнали уже после того, как их сайты резко потеряли по 20–30 позиций в выдаче. Причина пессимизации прояснилась только после обращения в службу техподдержки ПС.

Как сообщает Яндекс, алгоритм работает только по факту реального применения кликджекинга. То есть если такой код имеется на сайте, но не активен, то фильтр на него не среагирует.

Также стоит отметить, что ограничения вводятся на основании анализа данных за краткосрочный период. Если кликджекинг использовался, например, несколько недель назад, это никак не отразится на позициях сайта в текущий момент.

Санкции распространяются только на сайты, на которых фильтр обнаружил активный код кликджекинга. При этом ресурсы, предлагающие обманные сервисы, под действие алгоритма не подпадают. К слову, за январь 2016 года Яндекс обнаружил более 15 000 сайтов, использующих эту технологию, и около 50 сервисов, предоставляющих ее. В их числе vk-tracker.ru, soceffect.ru, soctracker.com, soctracker.ru, soctraffic.ru, soc-spy.ru и др.

При обнаружении на сайте технологии кликджекинга позиции по каждому из запросов стремительно упадут, а на их восстановление уйдет около двух недель. При этом поисковая система не гарантирует их 100%-го возвращения на прежний уровень.

Для убедительности покажем пару наглядных примеров из реальной практики.

Пример 1. Фильтр Яндекса среагировал на действие сервиса CoMagic. Позиции упали, на их восстановление ушло несколько дней. С учетом того, что эти произошло в канун Дня влюбленных и незадолго до 23 февраля, Вы можете себе представить, сколько потенциальных переходов на сайт было упущено.

Пример 2. Применение санкций спровоцировал сервис, предложенный ресурсом http://admeo.ru/. В среднем позиции упали на 18,94, а после снятия фильтра возросли лишь на 17,88 пункта. Отрицательная разница — 1,06. «Мелочи», — скажете Вы? Нет. Это упущенная выгода.

Как проверить сайт на наличие кликджекинга?

Узнать, работает ли на сайте кликджекинг, можно в службе техподдержки внешнего сервиса. Тем не менее, как показывает практика, не все сервисы признают факт использования данной технологии.

Проверку сайта можно осуществить и самостоятельно. Например, современные браузеры содержат специальные инструменты для веб-разработчиков, позволяющие узнать, обращается ли сервис к соцсетям, работая с сайтом.

Отчет плагина Firebug об обращении к соцсетям

Если сайт не интегрирован с соцсетями, может быть полезен стандарт CSP (Content Security Policy), ограничивающий использование внешних ресурсов.

Узнать о применении технологии кликджекинга можно в сервисе Яндекс.Вебмастер. Там в разделе «Нарушения» должно появиться специальное предупреждение.

Кликджекинг-фильтр будет безопасен для позиций сайта, когда на нем останутся только «чистые» сервисы, позволяющие определить контактные данные пользователя исключительно с его согласия (наиболее известный пример — форма обратной связи). В таком случае будет достигнута главная цель внедрения алгоритма — ограждение пользователя от навязчивой рекламы и возможных вредных действий со стороны злоумышленников.