Питання конфіденційності та телеметрії в трекерах завжди викликали підвищений інтерес серед медіабаєрів та тімлідів. Якщо раніше арбітражники фокусувалися виключно на швидкості обробки кліків та відсутності втрат трафіку, то зараз фокус уваги змістився на те, які саме дані «лізуть» назовні з інфраструктури. Детальне дослідження зовнішніх запитів Binom v2 та Keitaro показало кардинально різний підхід розробників до безпеки й аналітики.
Методика тестування та стенд
Щоб зафіксувати чисту картину без «шуму» від реальних рекламних кампаній, обидва трекери розгорнули на окремих VPS-серверах. На кожну установку подали мінімальний тестовий потік трафіку для імітації природного навантаження.
Експеримент тривав добу, після чого на робочих конфігураціях додатково додали домени і спостерігали за поведінкою ще дві години. Дослідники фіксували усі мережеві з'єднання, DNS-запити та HTTP-трафік (включно з фазою до шифрування TLS), а браузерні запити перевіряли через ізольовані чисті профілі.
Що відправляють трекери з адмін-панелі
Головна відмінність між платформами виявилася в тому, як вони поводяться під час роботи баєра всередині інтерфейсу.
Binom v2: За час тестування у сесіях створення кампаній, офферів та джерел з боку адмінки зафіксовано рівно нуль зовнішніх HTTP-запитів. Усі 3 775 запитів пішли виключно на власний сервер користувача.
Keitaro: Під час роботи в адмінці браузер відправив 72 зовнішні запити до сервісів Google (зокрема через Google Analytics та Google Tag Manager).
Аналіз цих 72 запитів показав, що утиліта передає параметри браузера, ідентифікатор ліцензії, роль користувача та редакцію додатка. Що критичніше для конфіденційності — у параметрі dp (path) та реферерах фіксувалися внутрішні ID кампаній, а також налаштування звітів (часові пояси, обрані показники, діапазони дат і стовпці). Наприклад, шлях виглядав як dp=/campaign/<ID_КАМПАНІЇ>/main.
Тестові назви об'єктів чи самі цифри доходів/витрат у відкритих для читання параметрах Google Analytics не виявили, проте сам факт передачі внутрішньої структури кабінету трекера третій стороні навряд чи потішить афіліатів, які звикли тримати свої зв'язки в строгій таємниці.
Запити до розробників та закриті пакети
Обидва трекери звертаються до власних серверів для перевірки ліцензій, завантаження геобаз та оновлення системних компонентів.
Binom періодично стукає на сервери оновлень (tinker.binom.org), перевіряє ліцензію (license-v2.binom.org) та надсилає службові пакети від Observer (metrics.binom.dev). Один із таких пакетів містив зашифрований JSON розміром 3 555 байт (після Base64-декодування — 2 657 байт), вміст якого прочитати не вдалося.
Keitaro регулярно надсилає пінги на license.keitaro.io (кожні 30 хвилин) та робить POST-запити на analytics-collector.keitaro.io (
/v1/maintenance). Поле dataу цих пакетах також складається з Base64-рядків, призначення та вміст яких залишаються невідомими.
Головний висновок із пакетів обох систем: прямих зливів назв кампаній чи крео у відкритому вигляді зафіксовано не було, проте наявність зашифрованих блоків залишає простір для роздумів.
🖋 UAFF — будь в курсі арбітражних інсайтів