¿Cómo evita Google Analytics la suplantación de tráfico?

Question

Queremos incorporar un servicio de estilo AJAX en varios de nuestros sitios web, cada uno con una clave API única. El problema que puedo ver es que debido a que la clave api está almacenada en el archivo javascript, el usuario podría potencialmente tomar la clave, suplantar la referencia http y hacer millones de solicitudes a la API bajo esa clave api.

Entonces, ¿me pregunto cómo evita Google la suplantación de Analytics? Como esto usa casi la misma idea.

También estoy abierto a otras ideas, esencialmente aquí está el proceso.

SiteA -> Usuario < -> Ajax < -> SitioB

EDITAR - ¿hay alguna manera de proteger la API de ser abusado, mientras que después de haber llamado a través de AJAX?

Answer 1

No creo que existan medidas de protección similares. La suplantación del tráfico es un problema grave para otros servicios de Google, como Adwords. Por ejemplo, una persona malintencionada que puja por AdWords puede generar muchos clics falsos para los anuncios de su competidor para aumentar sus costos de publicidad y, por lo tanto, el precio de las acciones de Google. Lo contrario también es cierto, las personas generarán clics falsos en su sitio para obtener dinero adicional de un anuncio Click de PayPer en su sitio.

Al final del día, un hacker puede acumular una lista de más de 10,000 servidores proxy anónimos sin demasiada dificultad y no hay mucho que pueda hacer al respecto. Un hacker también podría usar un botnet, algunos de los cuales tienen millones de tamaño. El tráfico generado a partir de una red de bots puede parecer máquinas legítimas con una Cookie legítima de Google, porque fueron secuestradas.

Muchos proxies y máquinas con bonet'ed están enumerados por Realtime Black Lists (RBL) como el ejecutado por , y muchas direcciones IP legítimas también están en esa lista. También hay proxies que no se pueden usar para el correo no deseado, pero podrían utilizarse para el fraude de clics y, por lo tanto, no se incluirán en esa lista.

Answer 2

Supongo que la clave es la mitad de un par de claves públicas y privadas que (de alguna manera) incluye la URL como hash. De esta forma, la clave solo funcionará, y los hits solo se registrarán, si la solicitud es para la URL para la cual se generó la clave. No puede falsificar la solicitud, porque si lo hace va a la URL incorrecta y no ocurre nada.