Сравнение внешних запросов трекеров Keitaro и Binom v2

После новости об обновлении правил использования Keitaro мы проверили, какие запросы отправляют Binom v2 и Keitaro при установке, создании кампаний и добавлении домена. Зафиксировали адреса, методы и частоту обращений, разобрали доступное содержимое.

Стенд и методика

Трекеры установили на отдельных VPS Friendhosting и подали небольшой поток переходов для естественности и наблюдали обычную работу. Основное наблюдение длилось сутки, затем на работающих установках добавили домены и наблюдали ещё два часа.

В каждом трекере создали по три источника трафика, оффера, кампании и потока с тестовыми метками. Проверили переименование, а в середине теста добавили ещё по три объекта каждого типа. По меткам искали названия в исходящих данных.

Записывали соединения, DNS и доступный HTTP, в том числе до шифрования TLS. Браузерные запросы сохраняли отдельно, браузер закрывали после действий.

В таблицах указано, сколько HTTP-запросов трекер пытался отправить по нашим наблюдениям. Сетевые соединения и DNS-запросы считали отдельно и к числу HTTP-запросов не прибавляли.

Cравнение трекеров Binom v2 и Keitaro под нагрузкой и на реальном трафике доступно здесь: https://cpa.rip/services/binom-vs-keitaro/

Запросы при установке

• Binom загружал установщик и базы с data.binom.org, Protect с private.binom.dev, Observer из Amazon S3; проверял IP, лицензию и версии.
• Keitaro загружал скрипты и компоненты с files.keitaro.io, базы геолокации, ботов и операторов с keitaro.io и keitaro-geo-db.keitaro.io; проверял IP и лицензию, отправил первый POST на maintenance.

Браузерные запросы из админ-панели

Отдельно проверили браузерные запросы, для этого админки обоих трекеров открывали в отдельных чистых профилях.

Админка Keitaro обращалась к analytics.google.com, stats.g.doubleclick.net, www.googletagmanager.com и www.google.com.vn. В запросах передавались сведения о просмотренных страницах и взаимодействиях с формами, параметры браузера, роль пользователя, редакция приложения и идентификатор лицензии.

В 54 запросах Google Analytics адрес страницы или реферер содержал IP трекера. При этом тестовые названия объектов и добавленный домен в доступных для чтения данных браузерных запросов не найдены.

Параметр dp содержал путь открытой страницы и параметры её URL. Например, при работе с кампанией в нём передавался её внутренний ID: dp=/campaign/<ID_КАМПАНИИ>/main. На странице статистики период, часовой пояс, выбранные показатели и столбцы отчёта, и т.д.

Ниже пример запроса со страницы статистики со всеми параметрами URL. Значения показаны после одного уровня URL-декодирования. Длинное поле dp содержит настройки отображения отчёта; самих значений расходов, доходов и других показателей в нём нет.

POST https://analytics.google.com/g/collect

Параметры URL:
v=2
tid=<ID_РЕСУРСА_GA>
gtm=45je6ac1v9191639167za200zd9191639167xf1
_p=<ID_СТРАНИЦЫ>
_gaz=1
gcd=13l3l3l3l1l1
npa=0
dma=0
ecid=<ECID>
_eu=AAAAAGAC
cid=<ID_КЛИЕНТА_GA>
ec_mode=a
frm=0
pscdl=noapi
rcb=9
sr=1280x720
uaa=arm
uab=64
uafvl=Google%20Chrome;155.0.8059.41|Chromium;155.0.8059.41|Not(A%3ABrand;24.0.0.0
uam=
uamb=0
uap=macOS
uapv=27.0.1
uaw=0
ul=ru-ru
gaf=2
_s=1
tag_exp=115616986~115938466~115938468~118897920~118897930~120213116~120385422~120469145~120469153~121246026~121246034
dp=/dashboard/?s=%7E%28campaign%7Enull%7Erange%7E%28from%7E%272026-10-14%7Eto%7E%272026-10-14%7Einterval%7E%27today%7Etimezone%7E%27UTC%29%7EenabledMetrics%7E%28%7E%27clicks%7E%27campaign_unique_clicks%7E%27conversions%7E%27cost%7E%27sale_revenue%7E%27profit_confirmed%7E%27roi_confirmed%29%7EenabledEntities%7E%28%7E%27campaign%7E%27landing%7E%27offer%7E%27ts%29%7ElastClicksColumns%7E%28%7E%27event_id%7E%27datetime%7E%27campaign%7E%27os_icon%7E%27browser_icon%7E%27ip%7E%27destination%29%7EtopMetrics%7E%28%7E%27clicks%7E%27campaign_unique_clicks%7E%27conversions%29%29
sid=<ID_СЕССИИ_GA>
sct=1
seg=0
dl=https://<IP_ТРЕКЕРА>/admin/
dr=https://<IP_ТРЕКЕРА>/admin/
dt=Dashboard
en=page_view
_fv=1
_nsi=1
_ss=1
_ee=1
epn.license_id=<ID_ЛИЦЕНЗИИ>
up.user_role=admin
up.app_edition=starter
tfd=2980

Какие запросы передавал Binom

За сутки зафиксировали 217 внешних HTTP-запросов: 206 в TLS и 11 в открытом HTTP. Включены компоненты трекера, сертификат и ОС.

В служебных запросах видны идентификатор трекера, версии и теги компонентов, данные для авторизации и роль пользователя. При установке также зафиксирован запрос GET checker.binom.lgbt/check с параметром url, который в нашем тесте содержал IP сервера.

Также зафиксированы POST tinker.binom.org/updates/observer/result/save с полями tracker_id, version, status, message, output (пустое) и POST /updates/observer/version/save с идентификатором трекера и версией.

Содержимое запроса на metrics.binom.dev

Observer сделал одну наблюдаемую попытку POST /api/v2/tracker. Полное тело запроса содержит JSON размером 3 555 байт с единственным полем body: 3 544 символа Base64. После обратного преобразования получили 2 657 байт, но прочитать их содержимое не удалось. За сутки зафиксирована одна отправка такого запроса.

Какие запросы передавал Keitaro

На сервере с Keitaro 11.4.1 за сутки зафиксировали 153 исходящих HTTP-запроса к внешним серверам: 141 при работе с TLS и 12 в незашифрованном HTTP. Из них 102 к сервисам Keitaro, 51 к репозиториям Linux, то есть источникам пакетов и обновлений.

Что было в поле data

Полностью прочитали внешнюю структуру двух POST /v1/maintenance: до начала суточного наблюдения и во время него. Между запросами прошло около 24 часов, размеры тел 304 и 302 байта.

В обоих поле data содержит 217 символов: две части Base64, разделённые двоеточием. Назначение hash, способ преобразования и содержимое data неизвестны.

Запросы при добавлении домена

После основного теста добавили в трекеры по одному доменую. Отдельно записали сами действия и два часа после закрытия браузера.

• Binom: домен найден в POST /acme/new-order и /acme/finalize/… к Let’s Encrypt. Это обмен с центром сертификации.
• Keitaro:во время добавления и за два часа после получили 10 TLS/SNI-записей с именем Let’s Encrypt. Они показывают начало защищённого соединения и адресата; HTTP-содержимое прочитать не удалось.

Имя домена найдено в DNS-запросах: 2 раза у Binom, 80 у Keitaro. Это технические запросы к DNS о домене, возможны повторы.

Разобрали и отдельные фрагменты с доменами. У Binom один оказался ответом админки нашему браузеру на GET /api/domains. У Keitaro три: ответы базы MariaDB с данными поля keitaro_domains.name; какая именно программа их получила, неизвестно.

Промокод CPARIP дает 30 дней триала трекера Binom без оплаты. После триала промокод CPARIPдает скидку 40% на первую оплату лицензии Binom на своём сервере.