Cross-device-spårning: att länka sessioner utan inloggning

När en användare besöker din webbplats på sin laptop på morgonen och på sin telefon på eftermiddagen ser de flesta analysplattformar två helt separata besökare. Vår algoritm för enhetsidentifiering kan länka dessa sessioner probabilistiskt — utan att kräva inloggning — genom att analysera signalöverlapp och bygga enhetsgrafer.

Cross-device-problemet

Traditionell fingerprinting genererar ett unikt ID per webbläsarinstans. Chrome på en laptop ger ett ID; Safari på en iPhone ger ett annat. Även på samma enhet genererar olika webbläsare olika fingerprints eftersom de har olika user agents, olika funktionsstöd och olika renderingsegenskaper.

Men användare tänker inte i termer av webbläsare. De tänker i termer av sessioner. De påbörjar ett köp på telefonen under lunchen och slutför det på laptopen hemma. De undersöker en produkt på surfplattan och köper den på sin stationära dator. För bedrägeridetektering och personalisering är det avgörande att förstå att dessa sessioner tillhör samma person.

Probabilistisk signalmatchning

Vår cross-device-länkning är byggd kring en persongraf med tre sorters noder: besökaren (en webbläsarprofil), enheten (maskinen under flera webbläsarprofiler) och en hashad identifierare härledd ur en signerad e-postadress eller ett signerat telefonnummer som din egen applikation skickar till oss. Det är kanterna mellan dessa noder som fogar samman två sessioner till en person.

Medvetet frånvarande från den listan: IP-adressen och ASN. Delat nätverk är den frestande signalen och den felaktiga — ett kontor, ett campus eller en carrier-grade NAT placerar tusentals personer utan koppling till varandra bakom en enda adress, så en IP-baserad kant ger precis den sortens felaktiga länk som är dyrast att göra ogjord. De deterministiska kanter vi faktiskt använder — samma enhet, samma hashade identifierare, samma kanoniska besökarrot — är sådana som ett delat nätverk inte kan trolla fram.

Ovanpå detta finns en avgränsad probabilistisk komponent: en besökares bekräftade beteendepar kan övervägas som kandidater för anknytning, med tak på ett litet antal per besökare och endast över ett konfidensgolv. Den breddar ett kluster som deterministiska kanter redan förankrat; den startar inget kluster på egen hand.

Konstruktion av enhetsgraf

Varje bekräftad eller högsannolik länk mellan sessioner skapar en kant i en enhetsgraf. Grafen kopplar webbläsarinstanser till enhetsnoder och enhetsnoder till personnoder. Med tiden, allteftersom fler sessioner samlas, blir grafen allt mer exakt.

Grafkonstruktionen använder ett konservativt tillvägagångssätt. En deterministisk kant — samma enhet upplöst under två webbläsarprofiler, eller samma hashade identifierare angiven för två konton — skapar länken direkt. Allt svagare än så behandlas som en kandidat snarare än en länk, måste passera ett konfidensgolv och har ett tak, så att en enskild besökare inte kan dra med sig ett obegränsat kluster. En besökare eller en brygga i karantän hoppas över helt i stället för att slås samman på misstanke.

Tillämpningar inom bedrägeridetektering

Cross-device-länkning är särskilt kraftfull för bedrägeridetektering. En bedragare som driver konton över flera webbläsarprofiler identifieras när dessa profiler upplöses till samma underliggande enhet, eller när samma signerade identifierare dyker upp bakom två av kontona. Ett stulet kreditkort som används på en enhet som aldrig har varit associerad med kortinnehavarens enhetsgraf utlöser en omedelbar varning.

Vi har sett bedrägeriligor där en enda operatör kör dussintals virtuella maskiner för att skapa falska konton. Varje VM uppvisar ett distinkt webbläsarfingerprint, men de körs alla på samma fysiska hårdvara, och det är enhetsupplösningen som fäller ihop dem till en enda maskin. Den delade enhetsnoden är kanten som grafen byggs på — den avslöjar hela ligan från ett enda upptäckt konto, utan att åberopa någon delad adress.

Integritetsbevarande design

Cross-device-länkning väcker berättigade integritetsfrågor. Vårt tillvägagångssätt mildrar dessa genom flera designbeslut. För det första är lagret avstängt som standard — det är inget som följer med en driftsättning, utan slås på medvetet för en arbetsyta, och fram till dess byggs ingen persongraf alls. För det andra sker länkningen server-side och exponeras aldrig för webbläsaren, så länkgrafen går inte att läsa från klienten, och läget sätts på vår sida snarare än av något som sidan kan skicka. För det tredje finns identifierarkanten bara om din egen applikation väljer att skicka en signerad e-postadress eller ett signerat telefonnummer — vi härleder den inte från besökaren. För det fjärde kan användare ges transparens om länkade enheter genom ditt integritetsgränssnitt.

Noggrannhetsmått

Avvägningen är medveten och den gynnar precision framför recall: vi missar hellre en länk än skapar en felaktig. Den prioriteringen syns i konstruktionen snarare än i en siffra på rubriknivå — deterministiska kanter skapar länkarna, svaga signaler breddar bara kluster som redan är förankrade, bryggor i karantän hoppas över och varje kluster har ett tak. En missad länk kostar dig ett bedrägerimönster som du ändå hade fångat senare på annat sätt. En felaktig länk slår ihop två verkliga kunder till en person, och det felet fortplantar sig in i varje beslut som fattas därefter.

Mät det på din egen trafik innan du förlitar dig på det. Cross-device-recall beror på hur många av dina användare som över huvud taget autentiserar sig — identifierarkanten är den starkaste som finns att tillgå, och den existerar bara där din applikation tillhandahåller den.