推广链接挂了一天，成交没几单，预算却一上午就被点完了，后台看单个访客停留不到 2 秒、跳出率接近百分之百——这种情形先别怪落地页，要怀疑被恶意点击了。网站被恶意点击怎么办？结论是别急着停投、也别急着涨价，先搞清楚是谁在点、用哪种方式点，再分层拦截。恶意点击烧掉的是真金白银，顺序错了既浪费预算又容易误伤真实客户。
下面这套顺序在实际处置中比较通用：先用数据区分恶意点击和正常波动，再把点击证据固定下来，然后按成本从低到高做拦截，最后把监控跑成常态。
先分清恶意点击和正常流量波动
点击量涨了不等于被刷。判断主要看三条：点击曲线和转化曲线是否背离，恶意点击的典型形态是点击陡增、转化接近零；请求是否集中在少数几个 IP 或同一个城市；点击是否集中在凌晨这类非业务时段，正常用户很少在那个点密集访问。验证办法是在统计工具里拉分时报表，把点击数、独立访客数、咨询提交数放在同一张表里对比。正常流量的三个指标会同向变化，被刷的流量只有点击数独自飙升，另外两项趴着不动。
取证：把点击来源固定下来
定性之后先别动手封，把证据留全，后面跟投放平台申诉、走投诉流程都要用。打开站点的访问日志，重点看客户端 IP、请求时间、请求 URL、User-Agent、Referer 这五个字段。恶意点击的特征很集中：同一个 IP 在几分钟内反复请求同一个落地页，UA 高度一致甚至为空，Referer 指向可疑的第三方页面。下面这段脚本读取访问日志，按 IP 汇总请求次数并打印排名靠前的来源，你据此判断是一个 IP 在刷，还是一批 IP 在轮换。
# 统计访问日志里各 IP 对落地页的请求次数，定位高频点击来源
import re
from collections import Counter
LOG = "/www/wwwlogs/example.com.log" # 改成你的访问日志路径
LANDING = "/ad/landing.html" # 改成你的落地页路径
# Nginx combined 日志格式的行解析
PAT = re.compile(r'(\S+) \S+ \S+ \[([^\]]+)\] "(\S+) ([^"]*)[^"]*" (\d+) (\d+) "([^"]*)" "([^"]*)"')
counter = Counter()
for line in open(LOG, "r", encoding="utf-8", errors="ignore"):
m = PAT.match(line)
if not m:
continue
ip, ts, method, url, status, size, referer, ua = m.groups()
if LANDING in url:
counter[ip] += 1
for ip, n in counter.most_common(20):
print("IP: %-16s 请求次数: %d" % (ip, n))
跑完看两个信号。头部某个 IP 的请求量远超其他、且时间集中在几分钟内，那是单一来源在刷；如果几十个 IP 各请求上百次、分布均匀，就是分布式刷量，单纯封 IP 解决不了，要往人机校验和防火墙规则上走。把命中的原始日志行单独导出，文件名带上日期，连同统计报表截图一起存成证据包。
拦截：按成本从低到高排列
第一层走平台侧，把证据整理好提交给投放平台，申请核查无效点击、退回被扣的费用，正规平台都有无效点击核查机制，证据越结构化处理越快。第二层做服务端限流，对落地页按 IP 限制请求频次。第三层加人机校验，表单提交或关键动作前加验证码，脚本点击过不了这一关。第四层用防火墙或 CDN 的 WAF 规则，按 IP 段、UA 指纹、请求特征拦截，规则上线前先只记录不拦截，观察一两天确认没有误伤真实客户再放开。
下面这段 Nginx 配置给落地页加一个按 IP 的请求频次限制，burst 允许少量突发，超过阈值直接返回 429。把共享内存区后面的速率、location 里的路径换成你自己的落地页地址，改完先跑 nginx -t 检查语法，再 reload 生效。
# Nginx：对落地页按 IP 限流，超过阈值返回 429
# 放在 http 块里定义共享内存区
limit_req_zone $binary_remote_addr zone=landing:10m rate=30r/m;
server {
listen 443 ssl;
server_name example.com;
# 落地页单独加限流，burst 允许短时突发
location = /ad/landing.html {
limit_req zone=landing burst=10 nodelay;
limit_req_status 429;
root /www/example.com;
}
}
改完盯日志里 429 的比例。比例很低说明阈值合适；比例突然升高，说明阈值定得太低、正常用户也被拦了，把速率往上调一档再看一天。限流只解决单点高频，分布式刷量还得靠验证码和 WAF 配合。
复盘与长期监控
拦下来只是这一轮结束。要做两件事把损失长期压住：一是把这次的特征写进定时监控，每天统计落地页的 IP 请求分布，出现异常直接发告警，不要等预算烧完才发现；二是回头检查投放设置，落地页路径是不是太好枚举、有没有开地域限制、点击单价是否高到值得被针对。先定性、再取证、后拦截，最后把监控跑起来，这一轮走完，损失基本能压回可控范围；反过来，一上来就封 IP，往往封完又被换一批 IP 接着点。
相关阅读：
申请创业报道，分享创业好点子。点击此处，共同探讨创业新机遇！
