Google Analytics ngăn chặn giả mạo lưu lượng truy cập

Question

Chúng tôi muốn nhúng dịch vụ kiểu ajax vào một số trang web của chúng tôi, mỗi trang web có khóa api duy nhất. Vấn đề mà tôi có thể thấy là bởi vì khóa api được lưu trữ trong tệp javascript người dùng có khả năng lấy chìa khóa, giả mạo liên kết giới thiệu http và tạo hàng triệu yêu cầu cho api theo khóa api đó.

Vì vậy, tôi tự hỏi cách Google ngăn chặn giả mạo Analytics? Vì điều này sử dụng gần như cùng một ý tưởng.

Tôi cũng mở cho các ý tưởng khác, về cơ bản ở đây là quy trình.

Sitea -> User < -> Ajax < -> SiteB

EDIT - là có cách nào để bảo vệ các API từ bị lạm dụng trong khi có nó gọi qua ajax?

Answer 1

Tôi không tin rằng có bất kỳ biện pháp bảo vệ nào như vậy. Giả mạo lưu lượng truy cập là một vấn đề nghiêm trọng đối với các dịch vụ khác của Google, chẳng hạn như Adwords. Ví dụ, một cá nhân độc hại đang đặt giá thầu trên adwords có thể tạo ra nhiều nhấp chuột giả mạo cho quảng cáo của đối thủ cạnh tranh để tăng chi phí quảng cáo của họ và do đó, giá cổ phiếu của Google. Nghịch đảo cũng đúng, mọi người sẽ tạo ra các nhấp chuột giả mạo trên trang web của họ để nhận thêm tiền từ quảng cáo Click Payer trên trang web của họ.

Vào cuối ngày, tin tặc có thể tích lũy danh sách 10.000 máy chủ proxy ẩn danh mà không gặp quá nhiều khó khăn và bạn không thể làm gì nhiều. Một hacker cũng có thể sử dụng một botnet, một số trong đó có hàng triệu người. Lưu lượng truy cập được tạo ra từ botnet có thể xuất hiện là máy hợp pháp với Google Cookie hợp pháp, vì chúng bị tấn công.

Nhiều máy proxy và máy tính được liệt kê theo Danh sách đen thời gian thực (RBL) được thực hiện bởi và nhiều địa chỉ IP hợp pháp cũng nằm trong danh sách đó. Ngoài ra còn có các proxy không thể được sử dụng cho thư rác nhưng có thể được sử dụng cho gian lận nhấp chuột và do đó chúng sẽ không nằm trong danh sách đó.

Answer 2

Khi đoán, tôi muốn nói khóa là một nửa của cặp khóa công khai riêng tư (bằng cách nào đó) bao gồm URL dưới dạng băm. Bằng cách này, khóa sẽ chỉ hoạt động và các lần truy cập chỉ được đăng ký, nếu yêu cầu là cho URL mà khóa được tạo. Bạn không thể giả mạo yêu cầu, bởi vì nếu bạn làm điều đó đi đến URL sai và không có gì xảy ra.