İçindekiler
Google Ads hesabınıza baktığınızda tıklama sayılarının yüksek, dönüşümlerin ise son derece düşük olduğunu fark ettiniz mi? Reklam bütçeniz öğleden önce tükeniyor ama o gün tek bir müşteri aramıyor mu? Bu tablonun arkasında çoğu zaman bot saldırısı var.
Google Ads ekosistemi her gün milyarlarca tıklama işliyor. Bu tıklamaların önemli bir kısmı gerçek kullanıcılardan değil, otomatik yazılımlardan — botlardan — geliyor. Botlar; rakipler, organize dolandırıcılık grupları veya para kazanmak isteyen yayıncılar tarafından çalıştırılıyor. Sonuç her zaman aynı: boşa harcanan bütçe, bozulan veri ve düşen kampanya performansı.
Bu rehberde bot saldırılarının teknik detaylarını, tespit yöntemlerini, önleme stratejilerini ve — en çok merak edilen konu olan — geçersiz tıklama formunu adım adım anlatıyoruz.
1. Google Ads Bot Saldırısı Nedir?
Bot saldırısı, bir Google Ads reklamına gerçek kullanıcı yerine otomatik yazılım (bot) tarafından tıklanmasıdır. Her tıklama reklam verenin bütçesinden kesildiği için bot tıklamaları doğrudan finansal kayba yol açar. Ancak zararın yalnızca parasal olmadığını vurgulamak gerekiyor.
Bot tıklamaları beraberinde şu sorunları da getirir:
- Veri kirliliği: Bot tıklamaları Google'ın akıllı teklif algoritmalarını yanıltır. Algoritma, gelen "ziyaretçilerin" dönüşüm gerçekleştirmediğini görüp teklifleri ve hedeflemeyi yanlış yönde optimize eder.
- Kalite skoru bozulması: Yüksek tıklama — düşük dönüşüm kombinasyonu, Google'ın reklam relevansını sorgulamasına neden olabilir.
- Rakip avantajı: Siz sahte tıklamayla uğraşırken rakibinizin reklamı görünür kalır.
- Bütçe bitimi: Günlük bütçe erken tüketilince reklamınız öğleden sonra tamamen kapanır ve gerçek müşterilere ulaşamazsınız.
2. Bot Tıklama Nasıl Çalışır?
Bot tıklamayı anlamak için önce iki ana kategoriyi ayırt etmek gerekiyor: basit botlar ve gelişmiş botlar. İkisi arasındaki fark hem teknik karmaşıklık hem de tespit edilebilirlik açısından büyüktür.
Basit Botlar
Basit botlar, bir web tarayıcısı simüle etmeden doğrudan HTTP istekleri gönderir. Sabit IP adresleri kullanırlar, JavaScript çalıştırmazlar ve insan davranışını taklit etmezler. Google'ın filtreleme sistemi bu tip botları büyük oranda tespit edebilir. Bir reklam verenin gerçekten endişelenmesi gereken kategori bu değil.
Gelişmiş Botlar (Headless Browser Botları)
Asıl tehdit, gerçek bir tarayıcıyı simüle eden gelişmiş botlardan geliyor. Bu botlar Chromium veya Firefox motorunu "headless" (ekransız) modda çalıştırır. JavaScript'i tam anlamıyla yürütürler, sayfanın her yerini yüklerler ve insan benzeri davranışlar sergilerler:
- Fare imlecini rastgele hareket ettirirler
- Sayfayı belirli hızlarda kaydırırlar
- Birden fazla sayfayı ziyaret edebilirler
- Her tıklamada farklı IP (proxy ağı veya konut IP'si) kullanırlar
- Ziyaret süresini gerçekçi aralıklarda tutarlar (2-15 saniye)
Konut IP'leri (residential proxies), gerçek ev internet bağlantılarından kiralanan IP adresleridir. Bot bu IP'leri kullandığında, Google gözünde sıradan bir ev kullanıcısı gibi görünür. Bu durum, coğrafi hedefleme filtrelerini tamamen etkisiz kılar.
Bot Saldırısı Anatomisi — Adım Adım
1. Hedef Tespiti
Saldırgan, Google'da hedef anahtar kelimede arama yapar ve reklamınızı belirler. Çoğunlukla yüksek TBM'li (tıklama başına maliyet) reklamlar tercih edilir.
2. Bot Ağının Aktive Edilmesi
Onlarca veya yüzlerce farklı IP adresinden arama sorguları başlatılır. Her bot farklı tarayıcı parmak izi (user agent, ekran çözünürlüğü, dil ayarı) kullanır.
3. Tıklama ve "İnsan" Davranışı
Bot reklamınıza tıklar, açılış sayfanıza yönlendirilir. 3-12 saniye arası sayfada "kalır", ardından ayrılır. Dönüşüm gerçekleşmez.
4. Döngünün Tekrarı
Aynı işlem farklı IP ve zamanlarda tekrarlanır. Saatte 20-50 tıklama bile ortalama TBM 15 TL olan bir reklamda günlük 300-750 TL kayba yol açar.
5. Bütçe Tükenmesi
Günlük bütçe sahte tıklamalarla erken tükenir. Öğleden sonra reklamınız kapanır; rakibinizin reklamı görünür kalmaya devam eder.
3. Sektör İstatistikleri ve Grafikler
4. Bot Saldırısını Nasıl Tespit Edersiniz?
Bot saldırısını erkenden fark etmek, hem bütçe kaybını sınırlar hem de iade talebini güçlendirir. Aşağıdaki sinyallerin birkaçı aynı anda görünüyorsa hesabınız saldırı altında olabilir.
Google Ads Raporlarında Dikkat Edilecekler
- Olağandışı CTR artışı: Normalde %3-5 olan CTR'ınız bir günde %12-15'e çıktıysa bu anormaldir. Gerçek kullanıcı davranışında bu kadar ani sıçrama olmaz.
- Geçersiz tıklama sütunu: Google Ads arayüzünde Kampanyalar → Sütunlar → Geçersiz Tıklama eklendiğinde, bu sayı toplam tıklamaların %10'unu geçiyorsa inceleme zamanıdır.
- Erken bütçe tükenmesi: Bütçeniz normalde gün boyu yayılıyorken bir anda sabahın erken saatlerinde tükeniyorsa bot aktivitesi kuvvetle muhtemeldir.
- Belirli konumlara yoğunlaşma: Hedeflemediğiniz şehirlerden veya ülkelerden tıklama geliyorsa şüphelenin.
Google Analytics 4'te Kontrol Edilecekler
- Ortalama oturum süresi sıfıra yakın: GA4'te Paid Search kanalından gelen kullanıcıların ortalama etkileşim süresi 0-2 saniyeyse, sayfaya gerçekten bakılmıyor demektir.
- Hemen çıkma oranı %90 üzeri: Tek sayfa ziyareti, sıfır etkileşim ve anında çıkış — bot davranışının klasik imzası.
- Yeni kullanıcı oranı %99+: Bot'lar çerez kabul etmediği veya saklamadığı için GA4 her seferinde bunları "yeni kullanıcı" olarak görür.
- Dönüşüm oranının çöküşü: Geçen aya kıyasla tıklama artarken dönüşüm sabit veya düşüyorsa sahte tıklamayı düşünün.
5. Google'ın Otomatik Koruması ve Sınırları
Google Ads, geçersiz tıklamaları filtrelemek için iki katmanlı otomatik sistem kullanır: gerçek zamanlı filtreleme ve gecikmeli analiz.
Gerçek zamanlı filtreleme, tıklama anında devreye girer. Bilinen bot IP'leri, veri merkezi IP'leri ve açık proxy'ler anında engellenir. Bu sayede tıklama sayaçlarına yansımadan elenir ve bütçenizden kesilmez.
Gecikmeli analiz ise tıklama gerçekleştikten sonra, genellikle birkaç saat ila birkaç gün içinde çalışır. Bu analiz; tıklama örüntüleri, kullanıcı davranışı ve kampanya verileriyle birlikte değerlendirilir. Gecikmeli tespitlerde ücretler iade edilir.
| Bot Türü | Google Tespit Oranı | Otomatik İade | Form Gerekli mi? |
|---|---|---|---|
| Veri merkezi botları (basit) | ✓ Yüksek (%90+) | ✓ Evet | ✗ Hayır |
| Bilinen botnet IP'leri | ✓ Orta-Yüksek | ✓ Genellikle | Bazen |
| Konut IP'li gelişmiş botlar | ✗ Düşük (%30-50) | ✗ Genellikle hayır | ✓ Evet |
| Manuel rakip tıklamaları | ✗ Çok Düşük | ✗ Hayır | ✓ Evet |
| Tıklama çiftliği (insan) | ✗ Çok Düşük | ✗ Hayır | ✓ Evet |
6. Bot Saldırısını Önleme Yöntemleri
Google'ın korumasını tamamlayan kendi önlemlerinizi almak, hem anlık zararı azaltır hem de geçersiz tıklama formunu güçlendiren veri toplar.
IP Hariç Tutma Listesi
Google Ads, kampanya düzeyinde IP adresi hariç tutmaya izin verir. GA4 veya sunucu loglarından bot IP'lerini tespit ederek Paylaşılan Kitaplık → IP Hariç Tutmaları menüsüne ekleyin. Bu yöntem manuel ve sınırlıdır — bot ağları genellikle IP rotasyonu yaptığı için tek başına yeterli değildir.
Reklam Planlaması ile Saldırı Saatlerini Dışlama
Yukarıdaki grafikten de görüldüğü gibi botlar gece saatlerinde daha aktiftir. Hedef kitlenizin gerçekten aktif olmadığı gece 00:00–06:00 arasını kampanya takviminizden çıkarmak, hem bot maruziyetini hem de boşa harcamayı düşürür.
Dönüşüm İzleme ile Negatif Kitle Oluşturma
GA4'te 0-3 saniye oturum süresi olan ve hiç etkileşim gerçekleştirmeyen kullanıcıları negatif kitle olarak tanımlayıp Google Ads'e aktarabilirsiniz. Bu kitleye yapılan tıklamalar tekliften çıkarılır.
Üçüncü Taraf Bot Koruma Araçları
IP engelleme ve bot filtrelemede uzmanlaşmış araçlar, Google'ın otomatik sistemini tamamlar. Anticlick.com.tr gibi yerel çözümler, gerçek zamanlı tıklama analizi ve otomatik IP engelleme özelliği sunar. Bu araçlar şüpheli tıklamayı Google'a iletmeden önce filtreler ve raporlar.
Açılış Sayfasına CAPTCHA / Davranış Analizi Ekleme
Google reCAPTCHA v3, bot davranışını arka planda puanlar ve şüpheli oturumları işaretler. Bu veriler hem saldırı kanıtı hem de conversion tracking açısından değerlidir.
7. Geçersiz Tıklama Formu Nasıl Doldurulur?
Google, kasıtlı bot saldırılarından kaynaklanan ve otomatik sistemin tespit edemediği geçersiz tıklamaları manuel inceleme yoluyla değerlendiriyor. Bunun için resmi şikayet formu kullanılıyor. Formu doğru ve eksiksiz doldurmak, iade alma ihtimalini doğrudan etkiliyor.
Formda Bulunması Gereken Bilgiler
- Müşteri Kimliği (Customer ID): Google Ads hesabınızın üst köşesinde yazan XXX-XXX-XXXX formatındaki numara. Bu olmadan form işleme alınmaz.
- Kampanya ve reklam grubu adı: Saldırıdan en çok etkilenen kampanyayı belirtin.
- Etkilenen tarih aralığı: Anormalliğin başladığı ve bittiği tarihleri gün hassasiyetiyle yazın. "Geçen hafta" gibi muğlak ifadeler kullanmayın.
- Şüpheli tıklama sayısı ve tahmini tutar: Google Ads raporundan Geçersiz Tıklama sütununu ekleyerek ilgili dönemdeki sayıyı not alın.
- Kanıt ekler: GA4 ekran görüntüleri (oturum süresi, hemen çıkma), anormal saatlerdeki tıklama grafiği, sunucu loglarından IP listesi varsa ekleyin. Kanıt ne kadar somut olursa inceleme o kadar hızlı sonuçlanır.
- Sorun açıklaması: "Sahte tıklama var" yazmak yetmez. "X tarihinden itibaren CTR %4'ten %18'e yükseldi, GA4'te oturum süresi ortalaması 1 saniyeye düştü, 23 farklı yabancı IP'den 47 tıklama geldi, bu saatler hedef kitlem için uygun değil" gibi somut verilerle destekleyin.
Formda Yapılan Yaygın Hatalar
- Yeterli veri vermemek: Yalnızca "tıklamalarım sahte" demek Google'ı ikna etmez. Sayısal veri şarttır.
- Yanlış tarih aralığı: 30 günü geçen dönemler için iade çok daha zor. Anormalliği fark eder fark etmez form doldurun.
- Hesap sahibi olmayan kişinin doldurması: Form, Google Ads hesabına yönetici erişimi olan kişi tarafından doldurulmalıdır.
- Aynı formu tekrar tekrar göndermek: Mükerrer başvurular inceleme sürecini uzatır. Bir başvuru gönderdikten sonra sonucu bekleyin.
8. İade Süreci ve Sonuçlar
Google, formu aldıktan sonra genellikle 5-15 iş günü içinde inceleme yapar. Sonuç üç şekilde gelebilir:
- Tam kredi iadesi: Google, geçersiz tıklamaları teyit eder ve ilgili tutarı hesabınıza kredi olarak yükler. Bu kredi bir sonraki reklam döneminde otomatik kullanılır.
- Kısmi kredi: Google, şüpheli tıklamaların bir kısmını geçersiz kabul eder, kalanını gerçek sayar.
- Red: Google, tıklamaların sistemin kabul ettiği sınırlar içinde olduğuna kanaat getirir ve iade yapmaz. Bu durumda ek kanıt sunarak itiraz edebilirsiniz.
İade Sonrası Yapılması Gerekenler
İade alındıktan sonra saldırı tekrarlanma ihtimaline karşı şu adımları atın:
- Tespit ettiğiniz IP'leri Google Ads IP hariç tutma listesine ekleyin
- Gece saatlerinde reklam yayınını kısıtlayın
- Üçüncü taraf bot koruma aracı entegre edin
- Haftalık olarak Geçersiz Tıklama raporunu izleyin
- GA4'e oturum süresi uyarısı (alert) kurun: ortalamanın %30 altına düştüğünde bildirim alın
9. Özet Kontrol Listesi
| # | Adım | Araç | Süre |
|---|---|---|---|
| 1 | Google Ads'e Geçersiz Tıklama sütunu ekle ve son 7 günü kontrol et | Google Ads | 5 dk |
| 2 | GA4'te Paid Search kanalı oturum süresini incele | GA4 | 10 dk |
| 3 | Tıklama saati dağılımını çıkar, gece anormalliği var mı kontrol et | Google Ads | 5 dk |
| 4 | Şüpheli IP'leri sunucu loglarından veya GA4'ten tespit et | GA4 / cPanel | 20 dk |
| 5 | IP'leri Google Ads hariç tutma listesine ekle | Google Ads | 5 dk |
| 6 | Gece 00:00-06:00 arasında reklam planlamasını durdur | Google Ads | 5 dk |
| 7 | Geçersiz tıklama formunu kanıtlarla doldur ve gönder | Google Ads Destek | 30 dk |
| 8 | Bot koruma aracı entegre et (Anticlick vb.) | Üçüncü taraf | 1-2 saat |
| 9 | GA4'e haftalık oturum süresi uyarısı kur | GA4 | 10 dk |
| 10 | İade sonucunu takip et (5-15 iş günü) | Google Ads Faturalama | — |
Sonuç
Google Ads bot saldırıları, küçük ve orta ölçekli işletmeleri orantısız biçimde etkileyen, giderek karmaşıklaşan bir tehdit. Basit botlar artık Google tarafından büyük oranda filtrelenirken, konut IP'si kullanan gelişmiş botlar ve manuel tıklama saldırıları savunmanın zayıf kaldığı noktalar olmaya devam ediyor.
Savunma stratejisinin üç ayağı var: erken tespit (anormal metrikleri izlemek), aktif önleme (IP engelleme, reklam planlaması, üçüncü taraf araçlar) ve geçersiz tıklama formu (kayıpları geri almak). Bu üç adımın hiçbirini atlamamak, bütçenizin gerçek müşterilere ulaşmasını sağlamanın en etkili yolu.
Hesabınızda bot saldırısı şüphesi varsa ve nereden başlayacağınızı bilmiyorsanız, ücretsiz görüşme rezervasyonu alabilirsiniz — hesabınızı birlikte inceleriz.
Derinlemesine: Bot Saldırısından Sonra Hesabı Toparlamak
Bir bot saldırısı fark edilip önlemler alındıktan sonra iş bitmiş olmuyor. Saldırı döneminde gelen sahte tıklamalar, akıllı teklif stratejilerinin öğrendiği veriyi de bozmuş olabiliyor. Bu yüzden biz saldırının yaşandığı tarih aralığını not ediyor, o dönemin verisini kampanya değerlendirmelerinde ayrı tutuyoruz. Dönüşüm verisi de etkilendiyse, sahte form gönderimlerini temizlemek ve gerekirse teklif stratejisini kısa bir süre daha kontrollü bir moda almak, hesabın yeniden sağlıklı öğrenmesine yardımcı oluyor. Saldırının geri dönüp dönmediğini anlamak için de sonraki birkaç hafta tıklama ve dönüşüm oranlarını her gün kısaca kontrol ediyoruz.