Tracking cross-device: collegare le sessioni senza login

Quando un utente visita il suo sito dal portatile la mattina e dallo smartphone il pomeriggio, la maggior parte delle piattaforme di analytics vede due visitatori completamente separati. Il nostro algoritmo di identificazione dei dispositivi è in grado di collegare queste sessioni in modo probabilistico — senza richiedere il login — analizzando la sovrapposizione dei segnali e costruendo grafi dei dispositivi.

Il problema del cross-device

Il fingerprinting tradizionale genera un ID unico per ogni istanza del browser. Chrome su un portatile produce un ID; Safari su un iPhone ne produce un altro. Anche sullo stesso dispositivo, browser diversi generano fingerprint diversi, perché hanno user agent diversi, supporto a funzionalità diverse e caratteristiche di rendering diverse.

Ma gli utenti non ragionano in termini di browser. Ragionano in termini di sessioni. Iniziano un acquisto dallo smartphone durante la pausa pranzo e lo completano dal portatile a casa. Cercano un prodotto sul tablet e lo comprano dal desktop. Per il rilevamento delle frodi e la personalizzazione, capire che queste sessioni appartengono alla stessa persona è fondamentale.

Corrispondenza probabilistica dei segnali

Il nostro collegamento cross-device è costruito attorno a un grafo delle persone con tre tipi di nodo: il visitatore (un singolo profilo di browser), il dispositivo (la macchina che sta sotto più profili di browser) e un identificatore con hash ricavato da un indirizzo email o un numero di telefono firmati che la sua applicazione ci trasmette. Sono gli archi tra questi nodi a unire due sessioni in una sola persona.

Da quell'elenco mancano deliberatamente l'indirizzo IP e l'ASN. La rete condivisa è il segnale allettante e sbagliato: un ufficio, un campus o un carrier-grade NAT mettono migliaia di persone senza alcun legame dietro un unico indirizzo, quindi un arco basato sull'IP produce esattamente il tipo di collegamento falso più costoso da annullare. Gli archi deterministici che invece usiamo — stesso dispositivo, stesso identificatore con hash, stessa radice canonica del visitatore — sono archi che una rete condivisa non può creare artificialmente.

Sopra a questo c'è una componente probabilistica limitata: le coppie comportamentali confermate di un visitatore possono essere valutate come candidate all'aggancio, entro un numero ristretto per visitatore e solo sopra una soglia minima di confidenza. Amplia un cluster che gli archi deterministici hanno già ancorato; da sola non ne avvia nessuno.

Costruzione del grafo dei dispositivi

Ogni collegamento confermato o ad alta probabilità tra sessioni crea un arco in un grafo dei dispositivi. Il grafo connette le istanze dei browser ai nodi dei dispositivi, e i nodi dei dispositivi ai nodi delle persone. Con il tempo, man mano che si accumulano più sessioni, il grafo diventa sempre più accurato.

La costruzione del grafo adotta un approccio conservativo. Un arco deterministico — lo stesso dispositivo riconosciuto sotto due profili di browser, oppure lo stesso identificatore con hash fornito per due account — crea il collegamento senza ulteriori condizioni. Tutto ciò che è più debole viene trattato come candidato e non come collegamento, deve superare una soglia minima di confidenza ed è soggetto a un limite massimo, così che un singolo visitatore non possa trascinarsi dietro un cluster illimitato. Un visitatore o un ponte in quarantena viene saltato del tutto, anziché unito sulla base di un sospetto.

Applicazioni al rilevamento delle frodi

Il collegamento cross-device è particolarmente efficace per il rilevamento delle frodi. Un truffatore che gestisce account su più profili di browser viene identificato quando quei profili si riconducono allo stesso dispositivo sottostante, oppure quando lo stesso identificatore firmato compare dietro due degli account. Una carta di credito rubata usata su un dispositivo che non è mai stato associato al grafo dei dispositivi del titolare fa scattare un allarme immediato.

Abbiamo osservato reti di frode in cui un singolo operatore gestisce decine di macchine virtuali per creare account falsi. Ogni VM presenta un fingerprint del browser distinto, ma tutte girano sullo stesso hardware fisico, ed è il riconoscimento del dispositivo a ricondurle a un'unica macchina. Quel nodo dispositivo condiviso è l'arco su cui il grafo si costruisce: espone l'intera rete a partire da un solo account rilevato, senza fare appello a un indirizzo condiviso.

Progettazione a tutela della privacy

Il collegamento cross-device solleva legittime preoccupazioni sulla privacy. Il nostro approccio le mitiga attraverso diverse scelte progettuali. In primo luogo, il livello è disattivato per impostazione predefinita: non è qualcosa che arriva insieme a un deployment, viene attivato deliberatamente per un workspace e fino a quel momento non viene costruito alcun grafo delle persone. In secondo luogo, il collegamento avviene lato server e non viene mai esposto al browser, quindi il grafo dei collegamenti non è leggibile dal client e la modalità viene impostata dalla nostra parte, non da qualcosa che la pagina possa inviare. In terzo luogo, l'arco dell'identificatore esiste solo se la sua applicazione sceglie di fornire un'email o un telefono firmati: non lo ricaviamo dal visitatore. In quarto luogo, agli utenti si può fornire trasparenza sui dispositivi collegati tramite la sua interfaccia sulla privacy.

Metriche di accuratezza

Il compromesso è deliberato e privilegia la precisione rispetto al recall: preferiamo mancare un collegamento piuttosto che crearne uno falso. Questa preferenza si vede nella progettazione più che in un numero da titolo: gli archi deterministici creano i collegamenti, i segnali deboli si limitano ad ampliare cluster già ancorati, i ponti in quarantena vengono saltati e ogni cluster è soggetto a un limite massimo. Un collegamento mancato le costa uno schema di frode che avrebbe comunque individuato più tardi per altre vie. Un collegamento falso fonde due clienti reali in una sola persona, e quell'errore si propaga in ogni decisione presa in seguito.

Lo misuri sul suo traffico prima di farci affidamento. Il recall cross-device dipende da quanti dei suoi utenti si autenticano: l'arco dell'identificatore è il più forte disponibile ed esiste solo dove la sua applicazione lo fornisce.