Спам-заявки с сайта: как отличить бота и защитить форму

Как выглядит бот-заявка

Практики описывают три разные угрозы, и против каждой работает своё. Первая — простые боты и скрипты. Вторая — правдоподобные заявки с реальными чужими номерами. Третья — скликивание поиска конкурентами: оно до формы не доходит, поэтому защита формы против него бесполезна.

• Простые боты: пустые и мусорные поля, повторяющиеся цифры, «asdf», пачки заявок по ночам. Это список вендора Ananas.Click, то есть реклама (sostav.ru/blogs/290601/109789). Бывает отправка в обход формы, прямо в API или вебхук сайта (Блог Строкова, 01.10.2026, t.me/yandex_direct_strokov/249?comment=12734).
• Чужие реальные номера. Подписчик канала «Корбут и коллеги» описал волну 2026 года: текст скопирован, имена совпадают с теми, что показывает GetContact, номера нерабочие или их владельцы заявку не оставляли, IP разные и из нужного региона, заявок вдвое больше на всех кампаниях. Капчу и Botfaqtor они проходят (t.me/coreboot_marketing/3680, 03.03.2026).
• Один ClientID (номер посетителя в Метрике) присылает заявки с разными контактами (t.me/coreboot_marketing/3679, 03.03.2026).
• Заявки без пары. В одном проекте в CRM было 49 заявок с utm_source=yandex против 12 в Метрике, а спам шёл с кампании, которая неделю стояла на паузе (t.me/coreboot_marketing/3341, 13.10.2025). Но такое расхождение бывает и от ошибки разметки: в другом проекте 46 «заказов» в Метрике дал сбойный триггер в Тег Менеджере (t.me/socialkontekst/378, 27.10.2025).
• Визит 0–2 секунды перед целью. У одного практика на такие визиты приходилось до 70% «лидов» (t.me/larkina_kontext/467?comment=2715, 23.05.2026).

Ни один признак бота не доказывает. Агентство Realweb считает трафик подозрительным, когда сработали минимум три сигнала сразу (ppc.world, 26.02.2026, ppc.world/articles/kak-za-8-shagov-nayti-frod-v-vebe-s-pomoschyu-yandeks-metriki-gayd-instrukciya-dlya-ecommerce/). Доля фейков сильно зависит от ниши, а общего замера нет: по отдельным проектам практики называют от 3–5% (стройка в Москве, t.me/coreboot_marketing/3767?comment=311249, 09.04.2026) до «заявки с форм на 98% все фродовые» (коттеджи, t.me/socialkontekst/411, 24.04.2026).

Не всякий «спам» в CRM — бот

В стоматологии в Петербурге 46 настоящих обращений из Директа за июнь получили статус «спам» после одного недозвона. Агентство ввело правило: три попытки дозвона в день обращения и на следующий день плюс сообщение в мессенджер (t.me/bossmarketer/799, 15.07.2026). Если вешать «спам» после одного недозвона, стратегия научится обходить живых людей. Сверка таблицы заявок с «Управлением заказами» в другом проекте нашла обратное: форма показывала «спасибо», но заявки не передавала (t.me/goryachiy_spros/381, 29.09.2026). Поэтому сначала проверьте форму и разметку, а потом ищите ботов.

Слой 1. Цель в Директе только после ответа сервера

Если цель срабатывает по клику на «Отправить» или по автоцели «Отправка формы», бот получает оплаченную конверсию, даже когда скрытое поле или проверка отсекли заявку уже после. Событие цели нужно отправлять только после ответа сервера о приёме заявки. Вендор Botfaqtor сам признаёт: за конверсию с заполненным скрытым полем деньги всё равно спишутся, ловушка лишь подсказывает отделу продаж, какие заявки пропустить (botfaqtor.ru/blog/spam-zayavki-kak-zashchitit-reklamu-ot-botov/, 24.06.2025). Значит, ловушка должна отменять и отправку, и цель.

В «Блоге Строкова» автоцель «Отправка формы» названа плохой, потому что, похоже, ловит нажатие кнопки, а цель «Отправил контактные данные» оценена как «99% норм»; клик по номеру в РСЯ ставить в цели «ни в коем случае». Это опыт одного специалиста (t.me/yandex_direct_strokov/247, 22.08.2026).

Слой 2. Скрытое поле, таймер и серверный приём

На одном сайте скрытое поле, таймер на 3 секунды, перехват Enter и кнопки и серверный вебхук сократили около 3000 спам-заявок в месяц до нуля. Вебхук отклонял пустые отправки и отправки без источника или с чужим источником. Потери живых заявок автор не считал (saxonov-marketing.ru/blog/kak-zashchitit-formy-tilda-ot-spam-botov, 26.06.2026). В другом проекте скрытое поле «легко решило» 100 бот-заявок в день (t.me/yandex_direct_strokov/249?comment=12733, 01.10.2026). Представители Яндекса в комментариях называют скрытые поля допустимой механикой (t.me/ya_gromov/564?comment=54036, 15.10.2025). Цена — часы разработчика; живой человек скрытое поле не видит, так что риск потерять его низкий, хотя и не измерен.

Минусы. Если оставить стандартный приёмщик Tilda, спам пойдёт в обход защиты, а бот, написанный под конкретный сайт, обойдёт любую защиту без капчи (saxonov-marketing.ru, там же). У владельца сайта на Tilda боты проходили и капчу, и ловушку, а часть заявок шла прямо через API и вебхуки (t.me/yandex_direct_strokov/249?comment=12734). Против живых исполнителей скрытое поле бесполезно.

Слой 3. Капча

Yandex SmartCaptcha даёт 10 тыс. успешных проверок в месяц бесплатно, дальше 109,8 ₽ за 1 000 (yandex.cloud/ru/docs/smartcaptcha/pricing). Показывать её лучше при подозрительной активности, а не всем посетителям: уровень «Агрессивная» в Tilda автор разбора не советует, ссылаясь на опрос Fastly, где 23% покупателей бросают оформление (ссылка вторичная).

Минус — боты капчу проходят. В кейсе вендора KillBot они решали капчу на промежуточной странице и перестали, только когда автор сделал её почти прозрачной (непрозрачность ниже 0,29); все были на Android и ходили через VPN (habr.com/ru/articles/1038738/, 25.05.2026). Это замер, но в рекламной статье. Волна 2026 года с чужими реальными номерами проходит капчу тоже.

Слой 4. Подтверждение номера

Это единственная мера против чужих реальных номеров. Цены: звонок-сброс (flash-call) около 0,20 ₽ за подтверждённый звонок (flashcall.ru), звонок с вводом 4 цифр в квизе Marquiz — 1 ₽ (marquiz.ru/blog/fichi-antispam/); SMS, по словам практика, «дороже раз в 10». Минус — конверсия. По словам того же практика, SMS режет её на 30–50%, звонки меньше (t.me/coreboot_marketing/3680?comment=305833, 03.03.2026); это мнение с цифрой, без описания замера.

Автодилер поставил квиз с проверкой кода: спам исчез, лидов стало примерно 2–3 в день вместо 7–9. В эту разницу входит и отсечённый спам, так что сколько живых заявок потеряно, неизвестно (t.me/coreboot_marketing/3680?comment=306406, 04.03.2026). Через месяц проверку убрали, а спама «так и нет до сих пор» (t.me/coreboot_marketing/3680?comment=306260) — это один случай. Компромисс, который мы выводим из этих кейсов (рецепт не проверен): принимать заявку всегда, а конверсию отдавать в Директ только после подтверждения номера. Менеджер получит и неподтверждённую заявку, а стратегия не будет учиться на мусоре.

«Живые» фейки: капча и подтверждение номера бессильны

По словам автора видео «Почему Яндекс не жалко?» Романа Сакутина (youtube.com/watch?v=XI15qRZApRI, 21.10.2026), появился новый вид фейков: живые люди отвечают на первый звонок, подтверждают заявку и пропадают. Из 400 тыс. ₽ Яндекс вернул ему 130 ₽; это слова автора о своей компании, проверить их нельзя. Подтверждение номера против таких заявок бессильно: отличает их только статус в CRM — «встреча», «сделка» или «оплата».

С возвратом тут серая зона. Справка Директа относит к фроду клики «мотивированных» пользователей и заявки с несуществующим номером, но фродом не считает неверно заполненные поля и формы, заполненные за вознаграждение (yandex.ru/support/direct/ru/technologies-and-services/antifraud). Про заявку с реальным, но чужим номером справка молчит, поэтому опираться на возврат за такие заявки не стоит.

Статус в CRM или «Управлении заказами» — самый надёжный фильтр

Офлайн-конверсии загружают в Директ по ClientID со статусами PAID, IN_PROGRESS, CANCELLED и SPAM (habr.com/ru/articles/983010/, 05.01.2026). Без CRM то же делает «Управление заказами» в Метрике: статусы заказов становятся обычными целями (b2b.yandex.ru/adv/news/upravlyat-zakazami-teper-mozhno-pryamo-v-metrike). Условие — объём: для обучения нужно от 10 конверсий в неделю на кампанию и около квартала на раскачку; при цене лида 4 000 ₽ это от 40 000 ₽ в неделю на кампанию (t.me/bossmarketer/703, 16.02.2026).

Есть два замера. В одном проекте цель по форме дала 1 достижение, а цель из CRM — 6, все целевые, потому что CRM собирает и форму, и почту, и Telegram, и звонки (t.me/yandex_direct_strokov/249?comment=12595, 28.09.2026). В другом статус «спам» из «Управления заказами» превратили в сегмент и похожую аудиторию с корректировкой −100%, и за неделю спама стало вдвое меньше, ценой ручного ввода заказов (t.me/trafficonwb/740, 05.05.2026). Следите за пересечением аудиторий: действует большая корректировка, и −100% на сегмент «фрод» вместе с 0% на аудиторию наблюдения даёт в итоге 0% (t.me/coreboot_marketing/3350?comment=286251, 16.10.2025). CRM-цель меняет то, чему учится стратегия, но вход ботам не закрывает — это наш вывод.

Чего лучше не делать

• Банить IP в Tilda: это уводит заявки мимо CRM (t.me/coreboot_marketing/3762?comment=311106, 08.04.2026).
• Делать рассылки и рекламные звонки по номерам из непроверенных заявок: боты оставляют чужие номера, и компания рискует получить штраф (click.ru, t.me/b2b_click/1737, 15.10.2025).
• Ставить «спам» по одному недозвону: так в петербургской клинике пометили 46 настоящих обращений.
• Покупать платный антибот-сервис как гарантию. Цены: Botfaqtor 3 600–5 400 ₽ в месяц до 3 тыс. визитов, ClickFraud от 2 900 ₽, KillBot от 999 ₽ (vc.ru, 16.09.2026, vc.ru/services/3141520-antibot-servisy-zashchita-sayta). Эффект заявлен только вендорами. Отдельные практики пишут, что Botfaqtor режет и квалифицированные заявки (t.me/worldppc/10353?comment=14609, 11.11.2025), а антифрод Callibri блокировал реальные звонки (t.me/coreboot_marketing/3315?comment=284446, 04.10.2025).

Что здесь может сделать Righty

Righty не проверяет заявки, не ставит защиту на форму и не размечает спам в CRM. Бесплатная проверка Метрики на сайте помогает убедиться, что счётчик установлен, прежде чем настраивать цели. Антифрод-отчёт считает по агрегатам Метрики за период: долю визитов короче 10 секунд, отказы, ночной трафик, перекос в один источник и визиты из стран вне целевых. Он покажет перекосы в трафике, но не видит отдельных заявок и ничего не блокирует.