Вопросы конфиденциальности и телеметрии в трекерах всегда вызывали повышенный интерес среди медиабаеров и тимлидов. Если раньше арбитражники фокусировались исключительно на скорости обработки кликов и отсутствии потерь трафика, то сейчас внимание сместилось на то, какие именно данные «выходят» наружу из инфраструктуры. Детальное исследование внешних запросов Binom v2 и Keitaro показало кардинально разный подход разработчиков к безопасности и аналитике.
Методика тестирования и стенд
Чтобы зафиксировать чистую картину без «шума» от реальных рекламных кампаний, оба трекера развернули на отдельных VPS-серверах. На каждую установку подали минимальный тестовый поток трафика для имитации естественной нагрузки.
Эксперимент длился сутки, после чего на рабочих конфигурациях дополнительно добавили домены и наблюдали за поведением ещё два часа. Исследователи фиксировали все сетевые соединения, DNS-запросы и HTTP-трафик (включая фазу до шифрования TLS), а браузерные запросы проверяли через изолированные чистые профили.
Что отправляют трекеры из админ-панели
Главное отличие между платформами оказалось в том, как они ведут себя при работе баера внутри интерфейса.
Binom v2: За время тестирования в сессиях создания кампаний, офферов и источников со стороны админки зафиксировано ровно ноль внешних HTTP-запросов. Все 3 775 запросов пошли исключительно на собственный сервер пользователя.
Keitaro: Во время работы в админке браузер отправил 72 внешних запроса к сервисам Google (в частности через Google Analytics и Google Tag Manager).
Анализ этих 72 запросов показал, что утилита передаёт параметры браузера, идентификатор лицензии, роль пользователя и редакцию приложения. Что критичнее для конфиденциальности — в параметре dp (path) и реферерах фиксировались внутренние ID кампаний, а также настройки отчётов (часовые пояса, выбранные показатели, диапазоны дат и столбцы). Например, путь выглядел как dp=/campaign/<ID_КАМПАНИИ>/main.
Тестовые названия объектов или сами цифры доходов/расходов в открытых для чтения параметрах Google Analytics не обнаружены, однако сам факт передачи внутренней структуры кабинета трекера третьей стороне вряд ли обрадует аффилиатов, привыкших держать свои связи в строгой тайне.
Запросы к разработчикам и закрытые пакеты
Оба трекера обращаются к собственным серверам для проверки лицензий, загрузки геобаз и обновления системных компонентов.
Binom периодически стучится на серверы обновлений (tinker.binom.org), проверяет лицензию (license-v2.binom.org) и отправляет служебные пакеты от Observer (metrics.binom.dev). Один из таких пакетов содержал зашифрованный JSON размером 3 555 байт (после Base64-декодирования — 2 657 байт), содержимое которого прочитать не удалось.
Keitaro регулярно отправляет пинги на license.keitaro.io (каждые 30 минут) и делает POST-запросы на analytics-collector.keitaro.io (
/v1/maintenance). Поле dataв этих пакетах также состоит из Base64-строк, назначение и содержимое которых остаются неизвестными.
Главный вывод из пакетов обеих систем: прямых сливов названий кампаний или крео в открытом виде зафиксировано не было, однако наличие зашифрованных блоков оставляет пространство для размышлений.
🖋 UAFF — будь в курсе арбитражных инсайтов