Đọc nhật ký máy chủ để phát hiện bot bấm quảng cáo

Báo cáo Google Ads không có cột IP cho từng lượt nhấp. Muốn biết ai bấm, bạn mở nhật ký máy chủ của trang đích và giữ lại đúng những dòng có tham số gclid. Số đo 30 ngày của Ads Xperts cho thấy bình quân chỉ 1,2 lượt nhấp trên mỗi IP (26.039 lượt, 21.698 IP). Đếm IP lặp mới là bước đầu, chưa phải kết luận.

Chỉ đọc được khi log có gclid và đủ sáu thông tin

Trước hết, bật tự gắn thẻ (auto-tagging) trong tài khoản Google Ads. Khi bật, mỗi lượt nhấp được gắn một tham số gclid riêng vào URL trang đích. Không có tham số này, log không phân biệt được khách từ quảng cáo với khách từ nguồn khác.

Sau đó kiểm log có đủ sáu thứ: IP, thời gian, URL kèm tham số, mã trạng thái, referrer và user-agent. Google khuyên dùng dạng log combined khi thiếu referrer hay user-agent. Nếu trang chạy sau CDN hoặc Cloudflare, IP đầu dòng có thể là IP máy chủ trung gian. Đọc tài liệu của nhà cung cấp để biết IP thật của người truy cập nằm ở đâu, rồi cấu hình ghi vào log trước khi phân tích.

Một dòng log cho bạn những gì

Quy tắc đầu tiên cần nhớ: chỉ dòng có gclid mới là lượt từ quảng cáo. Mọi dòng còn lại bỏ qua.

only the log entries with a GCLID parameter are clicks from Google Ads or Display & Video 360. (dịch: chỉ những dòng log có tham số GCLID mới là lượt nhấp từ Google Ads hoặc Display & Video 360)

— Google Ads — Chất lượng lưu lượng cho nhà quảng cáo, 25/10/2026

Dưới đây là một dòng mẫu dạng combined do chúng tôi dựng, dùng IP dành cho tài liệu (RFC 5737), không phải IP thật:

203.0.113.10 - - [20/Oct/2026:08:02:11 +0700] "GET /bang-gia/?gclid=EAIaIQobChMI-aaa1 HTTP/1.1" 200 5120 "https://www.google.com/" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/118.0 Safari/537.36"

Trường của nhật ký dạng combined; dòng mẫu do Net Solutions dựng, 25/10/2026.

Even if you find several entries with the same GCLID, you will only be charged for at most one click. (dịch: dù bạn thấy nhiều dòng trùng một GCLID, bạn chỉ bị tính tối đa một lượt nhấp)

— Google Ads — Chất lượng lưu lượng cho nhà quảng cáo, 25/10/2026

Vì vậy một gclid lặp nhiều dòng thường là người dùng tải lại trang, không phải nhiều lần bị tính tiền. Cái đáng soi là nhiều gclid khác nhau đến từ cùng một nguồn.

Lọc dòng gclid và đếm theo IP bằng mã

Đoạn Python dưới đây giữ lại dòng có gclid, nhóm theo IP, rồi in số lượt, số ngày và các giờ xuất hiện. Mã chạy trên Python 3, không cần thư viện ngoài.

import re, sys, collections, datetime

# Dòng log dạng "combined" của Apache/Nginx; chỉ giữ dòng có tham số gclid.
RX = re.compile(r'^(\S+) \S+ \S+ \[([^\]]+)\] "GET (\S*?[?&]gclid=([^&\s"]+)\S*) [^"]*" (\d+) \S+ "([^"]*)" "([^"]*)"')

def doc(dong_log):
    ket = collections.defaultdict(list)
    for dong in dong_log:
        m = RX.match(dong)
        if m:
            ip, tg, _, gclid, ma, ref, ua = m.groups()
            ket[ip].append(datetime.datetime.strptime(tg, "%d/%b/%Y:%H:%M:%S %z"))
    return ket

if __name__ == "__main__":
    with open(sys.argv[1], encoding="utf-8-sig", errors="replace") as f:
        for ip, ds in sorted(doc(f).items(), key=lambda kv: -len(kv[1])):
            print(ip, len(ds), "lượt;", len({t.date() for t in ds}), "ngày;", "giờ:", sorted({t.hour for t in ds}))

Chạy python doc_log.py access.log trên 9 dòng log mẫu (6 dòng của một IP, 2 IP khác có gclid, 1 dòng không có gclid), kết quả là:

203.0.113.10 6 lượt; 2 ngày; giờ: [8]
198.51.100.7 1 lượt; 1 ngày; giờ: [14]
198.51.100.23 1 lượt; 1 ngày; giờ: [19]

Dòng 192.0.2.55 không có gclid nên bị bỏ. Bạn đọc ba cột: số lượt, số ngày và giờ. Hai lưu ý khi chạy trên log thật. Thứ nhất, tệp xuất từ Windows hay có ký tự BOM đầu tệp làm dòng đầu không khớp, nên mã mở tệp bằng utf-8-sig. Thứ hai, giờ trong kết quả là giờ theo múi giờ của log (ở đây +0700), không phải giờ máy bạn.

Sáu dấu hiệu để soi trong log

Không dấu hiệu nào đủ để kết luận một mình. Mỗi dấu hiệu đều có cách giải thích vô hại, loại trừ điều đó trước.

Ngưỡng theo trang hướng dẫn phát hiện gian lận của Ads Xperts (ads.netsolutions.vn/help/fraud-detection), đọc 25/10/2026; đây là ngưỡng kinh nghiệm của Net Solutions, không phải quy định của Google.

Khi nào được kết luận là bot

Quy tắc của chúng tôi là cộng dồn dấu hiệu, không chặn vì một dấu hiệu. Ads Xperts chấm điểm rủi ro 0–100: 40–69 là theo dõi, 70–100 mới chặn. Trong cách đọc log thủ công, bạn dùng cùng tinh thần: một dấu hiệu là theo dõi, từ hai đến ba dấu hiệu độc lập mới coi là nghi bot.

Áp vào ví dụ: IP 203.0.113.10 có 6 lượt trong 2 ngày, mỗi ngày 3 lượt, đều ở giờ 08. Log cho thấy hai dấu hiệu: lặp 3 lần mỗi ngày (nằm trong khoảng 2–5) và cùng giờ trong hai ngày liên tiếp. Dấu hiệu thứ ba, IP thuộc trung tâm dữ liệu, log không cho biết; bạn phải tra nhà mạng của IP. Ngay cả khi đủ ba, vẫn đối chiếu với khả năng là một văn phòng dùng chung IP trước khi chặn.

Số đo thật cho thấy vì sao không nên chỉ dựa vào IP lặp. Trong 30 ngày (23/09–22/10/2026) trên 20 domain dùng Ads Xperts, hệ thống ghi nhận 26.039 lượt nhấp và đánh giá 10.741 lượt là không hợp lệ (41,25%). Cùng tập số đó có 21.698 IP riêng, tức 0,83 IP trên mỗi lượt, bình quân 1,2 lượt mỗi IP. Đa số lượt nhấp đến từ IP chỉ xuất hiện một lần. Đếm IP lặp vì thế chỉ bắt được một phần, bạn phải đọc thêm giờ, user-agent và dải mạng.

Nguồn: Ads Xperts, 23/09–22/10/2026, đo ngày 23/10/2026. ‘Không hợp lệ’ theo luật của Ads Xperts, không phải số Google tính. Không dùng để suy ra bao nhiêu phần trăm là bot.

Nhật ký máy chủ không chứng minh được gì

Log không phân biệt được đối thủ bấm tay với bot. Cả hai đều để lại IP, giờ và gclid giống nhau. Log cũng không đo được thời gian ở lại trang, nên dấu hiệu ‘ở lại dưới 5 giây’ cần công cụ đo hành vi. IP dùng chung khiến bạn chặn nhầm khách thật, và log chưa lưu hoặc đã bị xoay vòng thì không còn dữ liệu để đọc.

Cách này không hợp nếu hosting không cấp log, hoặc chỉ giữ log vài ngày. Khi đó bạn cần công cụ ghi lại lượt nhấp từ đầu, như giải pháp chống click ảo Google Ads của chúng tôi. Nếu chưa có log nhưng đã có GA4, xem cách phát hiện click ảo bằng Google Analytics. Khi dòng đáng ngờ là IP nhà mạng dân dụng đổi liên tục, đọc thêm bài về residential proxy và giới hạn chặn IP thủ công.

Có dòng đáng ngờ rồi thì làm gì

Ghi lại IP, các giá trị gclid và giờ của từng dòng, rồi theo dõi thêm vài ngày. Nếu đủ dấu hiệu, thêm IP vào danh sách loại trừ của chiến dịch (Google Ads cho tối đa 500 IP mỗi chiến dịch). Bạn cũng có thể báo Google kèm IP, gclid và giờ để yêu cầu xem xét lưu lượng không hợp lệ. Các bước chặn đầy đủ nằm ở cách chặn gian lận quảng cáo, còn thủ tục đề nghị hoàn tiền ở bài khiếu nại click ảo.

Câu hỏi thường gặp

Google Ads có cho xem IP người bấm không? Trong báo cáo Google Ads chúng tôi dùng, không có cột IP cho từng lượt nhấp. Muốn có IP, bạn đọc nhật ký máy chủ của trang đích, nơi mỗi lượt truy cập để lại IP, giờ và gclid. Vì vậy phải bật tự gắn thẻ trước khi bắt đầu.

Log nằm ở đâu trên hosting? Tuỳ nhà cung cấp. Hosting cPanel thường có mục tải log truy cập trong phần số liệu của bảng điều khiển. Trên VPS, Apache và Nginx ghi vào thư mục log riêng, đường dẫn tuỳ cấu hình. Hỏi nhà cung cấp hosting nếu bạn không thấy.

Một gclid xuất hiện nhiều lần có bị tính nhiều tiền không? Không. Google nêu rõ rằng nhiều dòng trùng một GCLID chỉ bị tính tối đa một lượt nhấp. Dòng lặp thường là tải lại trang. Điều cần soi là nhiều gclid khác nhau đến từ cùng IP hoặc cùng nhịp giờ.

Cùng một IP nhấp mấy lần thì là bot? Google không công bố ngưỡng. Ngưỡng kinh nghiệm của Ads Xperts là 2–5 lần mỗi ngày, cộng với cùng giờ mỗi ngày, và chỉ để theo dõi nếu đứng một mình. Cần thêm dấu hiệu độc lập trước khi coi là bot.

Bao lâu thì log bị xoá? Phụ thuộc hosting và cấu hình của bạn; có nơi giữ vài ngày, có nơi giữ lâu hơn. Chúng tôi không có con số chung. Hãy tải log về lưu theo tuần nếu bạn dự định phân tích định kỳ.

Dùng Cloudflare thì đọc IP ở đâu? IP trong cột đầu của log có thể là IP của Cloudflare chứ không phải của khách. Xem tài liệu của Cloudflare để biết tiêu đề chứa IP thật, rồi cấu hình máy chủ ghi giá trị đó vào log trước khi đọc.

Cập nhật 28/10/2026 bởi Công ty TNHH Net Solutions.