Anatomia de uma cadeia de redirecionamentos

O que acontece num clique

Quando clica num anúncio de pesquisa, o browser não vai diretamente ao site anunciado. O primeiro salto é da própria plataforma — um URL de registo de clique que serve a faturação do anunciante e a medição do leilão. Até aqui, tudo normal: qualquer anúncio legítimo tem este primeiro intermediário. É a partir do segundo salto que a cadeia começa a contar a história do anunciante.

Num anúncio legítimo da marca, o segundo salto costuma ser o destino final, eventualmente com parâmetros de medição próprios (utm_campaign e afins). Numa cadeia intermediada, entre a plataforma e o destino aparecem um ou mais domínios que não pertencem nem a uma nem a outro — e cada tipo de intermediário tem uma assinatura própria.

Os intermediários e o que denunciam

• Trackers de redes de afiliação. Domínios dedicados ao registo de cliques de afiliados, reconhecíveis pelo padrão (track., go., click. + nome de rede) e pelos parâmetros — identificador de afiliado, identificador de campanha, id de clique. Num anúncio que imita a marca, este intermediário é a confissão: alguém quer o cookie de atribuição plantado antes de o entregar ao site verdadeiro.
• Encurtadores e domínios-ponte descartáveis. Registados há dias, sem conteúdo próprio, existem para uma coisa: esconder o destino final do sistema de revisão da plataforma no momento da aprovação do anúncio — e poder trocá-lo depois. Uma ponte recém-registada numa cadeia é, por si só, um sinal de alerta forte.
• Cloaking por geografia e dispositivo. O mesmo link que o leva a si, analista em desktop numa morada de escritório, para uma página inocente, leva o cliente em mobile para a loja falsa. Tecnicamente é um intermediário que decide o destino consoante quem pergunta — e é a razão pela qual a recolha séria se faz de vários pontos e dispositivos, nunca de um só.
• Parâmetros que sobrevivem à viagem. Mesmo quando os saltos se escondem, os parâmetros que chegam ao destino final contam história: um aff_id no URL de aterragem do seu próprio site é o vestígio de uma interceção, visível na sua própria analítica.

Como se captura uma cadeia

Manualmente, com o método do botão direito descrito no guia de verificação: copiar o endereço do anúncio sem clicar e inspecioná-lo. Para a cadeia completa — os saltos depois do primeiro — a ferramenta é o separador de rede das ferramentas de programador do browser, com a opção de preservar o registo entre navegações ativa: clica-se no anúncio numa janela descartável e lê-se a sequência de pedidos com estado 301, 302 ou redirecionamentos por JavaScript. Cada linha é um salto; a coluna de domínios é a cadeia.

Duas ressalvas honestas. Primeira: clicar num anúncio abusivo gasta o orçamento do abusador (bem) mas também pode expô-lo a destinos maliciosos (mal) — janela descartável, sem sessões, e nunca em máquinas com acessos sensíveis. Segunda: o cloaking pode mostrar-lhe a si uma cadeia diferente da que mostra à vítima-alvo, e é precisamente essa a limitação estrutural da verificação de um ponto único — a cadeia que capturou é verdadeira, mas pode não ser a única.

Ler a cadeia como prova

Uma cadeia capturada responde a três perguntas que nenhuma captura de ecrã responde:

• Quem beneficia? O identificador de afiliado ou de campanha na cadeia aponta para uma conta concreta numa rede concreta — o destinatário exato da queixa.
• Há engano? URL visível da marca + intermediário de terceiro = a definição operacional de interceção. A cadeia é a diferença entre «parece o anúncio da marca» e «faz-se passar pelo anúncio da marca».
• É uma operação ou um caso isolado? Cadeias de deteções diferentes que partilham intermediários, redes ou padrões de parâmetros pertencem à mesma operação — e o mapa da operação vale mais do que qualquer deteção individual, porque antecipa a próxima réplica.

É por tudo isto que cada deteção da BH ADS regista a cadeia integral com data, hora, geografia e dispositivo. Uma captura mostra o que o anúncio parecia; a cadeia prova o que o anúncio fazia. As plataformas, as redes de afiliação e os tribunais distinguem perfeitamente uma coisa da outra — e quem chega com cadeias documentadas fala outra língua.