Скорочувачі URL для фінтех: KYC-воронки, відповідність вимогам і геообмежені посилання

Фінтех — галузь, де неправильно налаштований редирект може спричинити регуляторне попередження. Посилання на криптопромо, показане UK-користувачеві без попередження про ризики, — це порушення FCA. Посилання на геообмежений продукт без перевірки IP — ліцензійне порушення. CTA "відкрити рахунок", що проходить через безкоштовний скорочувач bit.ly, фільтрується операторами UK як спам ще до того, як користувач його побачить.

Ця стаття охоплює архітектуру посилань для регульованих фінансових продуктів: необанків, платіжних систем, криптобірж та insurtech. Чотири антипатерни наприкінці — з реальних перевірок відповідності.

Щодо базового підходу до GDPR на рівні редиректу, правильна відправна точка — GDPR для скорочувачів URL. Ця стаття передбачає, що ви маєте цей базовий рівень, і зосереджується на специфічних для фінтех вимогах понад ним.

Чому короткі посилання у фінтех потребують рівня відповідності#

У всіх інших галузях короткі посилання використовують для зручності — коротший текст в email, відстежувані UTM у кампанії. Фінтех використовує їх для всього цього, але з додатковим обмеженням: сам редирект є частиною ланцюга регульованої промоції.

UK FCA та EU MiFID II широко визначають "фінансову промоцію". Коротке посилання, що веде на промосторінку, є частиною цього ланцюга. Якщо на сторінці-призначенні відсутнє обов'язкове попередження про ризики, або якщо геообмеження не застосовується на рівні редиректу, порушення існує незалежно від того, що юридична команда написала в брифі кампанії.

Сервіс коротких посилань — не просто інструмент продуктивності. Це контрольна точка відповідності.

1. Атрибуція KYC-воронки#

Ключова метрика для маркетингу необанків — вартість залученого рахунку, а не ціна кліку чи встановлення. Воронка виглядає так:

Показ реклами → клік → коротке посилання → App Store / цільова сторінка
Встановлення застосунку → початок реєстрації
Ініціація KYC (завантаження документа для ідентифікації)
Проходження / провал KYC
Рахунок активовано

Більшість інструментів атрибуції добре відстежують кроки 1-2 і погано — крок 5. Кроки 3 і 4 — реальне вузьке місце — залишаються невидимими, якщо не підключити вебхук KYC-постачальника до аналітики посилань.

Що це означає для рівня коротких посилань:

Кожен канал отримує власне коротке посилання з вбудованими UTM-параметрами. go.yourbank.com/open/paid-ig-summer25 для платної реклами в Instagram, go.yourbank.com/open/email-reactivation для серії повторного залучення, go.yourbank.com/open/partner-wise для реферального партнера. UTM передається в реєстраційну форму через приховане поле, зберігається в записі користувача та доступний, коли KYC-постачальник надсилає вебхук identity_check.completed.

Ваш аналітичний конвеєр потім об'єднує: подія кліку (з сервісу коротких посилань) → подія реєстрації (з вашого бекенду) → подія результату KYC (з вебхука Onfido / Veriff / Sumsub) → подія активації рахунку. Ключем об'єднання є пара UTM campaign + source, зафіксована під час кліку.

Без коротких посилань на рівні каналу це об'єднання неможливе. Ви знаєте сукупний рівень проходження KYC, але не знаєте, що платний трафік з Instagram має 34% рівня проходження KYC порівняно з 61% для повторного залучення через email — а це число потрібне фінансовому відділу для встановлення цільових показників CAC каналу.

Для механіки пересилання подій, що забезпечує об'єднання, паттерн із відстеження UTM-кампаній наскрізно застосовується напряму — замініть "оформлення замовлення" на "проходження KYC" як подію конверсії.

2. Обов'язкові розкриття регуляторів#

FCA, MiFID II та EU Digital Services Act вимагають, щоб певний рекламний контент супроводжувався конкретними розкриттями. Точне формулювання варіюється залежно від типу продукту (інвестиційний ризик, волатильність криптовалют, кредитний ризик), але принцип незмінний: користувач повинен побачити розкриття поблизу рекламної заяви.

Саме коротке посилання не може нести розкриття. Воно перенаправляє, але не відображає контент. Але URL-призначення повинно його містити — і тут виникає пастка.

Пастка: кампанія запускається з коротким посиланням, що вказує на окрему цільову сторінку з правильним попередженням про ризики. Через три тижні команда перформанс-маркетингу оновлює сторінку для A/B-тесту "чистішого" героя, що прибирає блок попередження для покращення конверсії. Коротке посилання все ще вказує на ту саму URL; ця URL більше не містить попередження. Кампанія тепер порушує вимоги, і немає записів про те, коли змінилося призначення.

Засоби контролю, що запобігають цьому:

Створення посилання повинно прив'язувати URL-призначення до запису кампанії.
Будь-яке редагування URL-призначення повинно логуватися з відміткою часу та ID користувача — не лише поточний стан, а повна історія редагувань.
Автоматизована перевірка повинна сканувати сторінку-призначення під час створення та позначати відсутні елементи розкриття (це складніше — але як мінімум, сервіс посилань повинен вимагати підтвердження людиною змін призначення для посилань, позначених як регульовані промоції).

Вимога до журналу аудиту далі в цій статті охоплює сторону логування. Перевірка відповідності — це ручний процес у більшості команд сьогодні; кілька великих фінтех-компаній вбудували лінтери URL-призначення в свій CI-конвеєр, які перевіряють наявність розкриття перед запуском кампанії.

3. Геообмежені посилання#

Деякі продукти не можуть бути законно рекламовані в деяких юрисдикціях. Найпоширенішим судовим випадком є крипта:

UK: Правила FCA щодо криптопромо (набули чинності у жовтні 2023 р.) вимагають, щоб будь-яка крипторекламна акція, спрямована на осіб у Великій Британії, була схвалена уповноваженою FCA фірмою або випущена зареєстрованою фірмою криптоактивів. Промоція для UK-користувачів без такого схвалення є правопорушенням.
US: BitLicense Нью-Йорка та різні державні регуляторні норми щодо переказу грошей обмежують, які криптопродукти можна пропонувати.
EU MiCA: Провайдери послуг криптоактивів повинні бути зареєстровані; маркетинг для EU-користувачів вимагає розкриттів, що відповідають MiCA, за типом продукту.

Стандартна відповідь — геоблокування: визначення країни користувача за IP та перенаправлення на сторінку, специфічну для юрисдикції (або сторінку "недоступно у вашому регіоні"), а не на промо-URL.

Ця геоперевірка повинна відбуватися на рівні редиректу, а не на сторінці призначення.

Якщо коротке посилання перенаправляє на маркетингову сторінку, яка потім виконує геоперевірку в JavaScript, існує вікно — між редиректом і виконанням JS — коли промоконтент відображається. На повільних з'єднаннях, повільних пристроях або якщо JS не виконується, повна промосторінка може відобразитися будь-яким чином. Таке відображення становить промоцію, показану користувачеві в обмеженій юрисдикції.

Правильна архітектура: сервіс коротких посилань оцінює IP запиту за набором геоправил і повертає або 302 на промо-призначення, або 302 на сторінку для заблокованого регіону, перш ніж будь-який промоконтент передається клієнту.

Геообмеження Elido працює на рівні edge (тому ж рівні, що обробляє редирект) без зворотного звернення до origin для перевірки правил. Пошук IP за країною виконується у процесі по локально кешованій базі даних MaxMind GeoLite2, що оновлюється щотижня. Набір геоправил для обмежених країн є на рівні посилання, зберігається поряд з записом посилання та оцінюється в тому самому шляху запиту, що й вирішення редиректу.

Для наслідків зберігання IP-до-гео пошуків для EU-користувачів з точки зору резидентства даних, EU data residency для маркетингу охоплює відповідні вимоги GDPR.

4. Стійкість до фішингу та репутація домену#

Фінтех є основною мішенню SMS-фішингу (смішингу). Схема атаки добре відома: надіслати SMS, що виглядає як повідомлення від банку, включити коротке посилання на сторінку збору облікових даних, зібрати облікові дані до того, як користувач помітить.

Сервіси коротких посилань є частиною цієї поверхні атаки двома способами:

Зловмисник використовує загальний сервіс коротких посилань (bit.ly/bank-verify) для приховування фішинг-призначення. Користувач бачить коротке посилання, яке може виглядати як від його банку.
Зловмисник скорочує до домену, що виглядає як банк — захоплення домену є поширеним. elido-lloyds.com/verify — це не lloyds.com, але з першого погляду в SMS його можна сплутати з ним.

Фінтех-команди, що використовують скорочувач URL, повинні вирішити обидва напрямки: забезпечити, щоб їхні власні посилання не плутали з фішинговими, і забезпечити, щоб скорочувач не скорочував фішинг-призначення.

Ознаки стійкого до фішингу сервісу коротких посилань:

Власний домен вашого бренду. go.yourbank.com не може бути підроблений кимось, хто реєструє інший домен скорочувача. bit.ly/yourbank може бути (і був) підроблений bit.ly/yourb4nk.
Попереднє сканування призначення. Скорочувач повинен відмовляти у скороченні URL, що вирішується до домену в чорному списку (Google Safe Browsing, SURBL, PhishTank). Це запобігає використанню вашого скорочувача зловмисником як рівня непрямого переспрямування.
DMARC/SPF на домені редиректу. Якщо ви надсилаєте посилання go.yourbank.com через email, сам email потребує вирівнювання DMARC/SPF на yourbank.com. Домен редиректу потребує як мінімум запису SPF, щоб отримуючі MTA могли перевірити походження домену посилання.
Тільки HTTPS-редиректи. Скорочувач повинен відмовляти у вирішенні до http://-призначень. HTTP-призначення у фінансовому SMS одразу підозріле; HTTPS є мінімальним стандартом.

Контрольний список безпеки скорочувача URL охоплює повний набір засобів контролю в глибину, включаючи конфігурацію HSTS на домені редиректу та журнали прозорості сертифікатів, варті моніторингу.

5. Журнал аудиту для відповідності#

Аудитор фінансових послуг, що перевіряє маркетингову кампанію, запитає:

Хто створив це коротке посилання і коли?
Яка була URL-призначення під час запуску кампанії?
Чи змінювалася URL-призначення? Ким? Коли?
Який обсяг кліків і чи були аномальні патерни трафіку?
Коли посилання було відключено?

Якщо сервіс посилань не може відповісти на всі п'ять питань для кожного посилання, створеного за останні три роки, аудит зафіксує прогалину в контролі. У регульованій організації прогалина в контролі, зафіксована аудитором, стає пунктом дій із кінцевим терміном усунення.

Що це означає на практиці:

Кожне коротке посилання повинно бути створене під іменованим обліковим записом користувача (не спільним API-ключем). Запис посилання повинен включати тег кампанії, тег продукту (для класифікації фінансових продуктів) та власника команди. Кожне редагування URL-призначення повинно записувати незмінний запис у журнал — база даних аналітики посилань є правильним місцем для цього, а не змінюване поле в CMS.

Журнали кліків повинні зберігатися протягом необхідного терміну. Згідно з правилами ведення записів UK FCA, комунікації, що стосуються регульованої діяльності, повинні зберігатися п'ять років (певні інструменти MiFID II розширюють це до семи). Дані кліків для посилання на фінансову промоцію, мабуть, входять до сфери застосування — уточніть у своєї команди відповідності.

Практичний мінімум: відмітки часу (створення, кожне редагування URL-призначення, відключення) + атрибуція користувача для кожної дії + обсяг кліків з добовою деталізацією, що зберігається п'ять років. Експорт до вашого SIEM або сховища даних відповідності є кращим варіантом — не покладайтеся на власну панель сервісу посилань як на ваш запис аудиту.

Для SSO/SCIM-провізіонування, яке робить атрибуцію на рівні користувача можливою у масштабі (щоб ви не управляли 40 окремими обліковими записами скорочувача), SCIM та SSO для маркетингових інструментів охоплює модель провізіонування.

6. EU eIDAS-кваліфіковані посилання — нішевий випадок, про який варто знати#

Більшість коротких посилань у фінтех — це звичайні маркетингові редиректи. Але для невеликої підмножини регульованих випадків використання — транскордонна доставка KYC-документів, робочі процеси електронного підпису, кваліфікована електронна зареєстрована служба доставки (QERDS) — саме посилання може потребувати кваліфікованого статусу eIDAS.

eIDAS — це рамкова угода ЄС для електронної ідентифікації та довірчих послуг. "Кваліфікована електронна доставка" за eIDAS передбачає презумпцію цілісності та доставки, яку звичайний редирект 302 не має.

Це не типічне занепокоєння маркетингової команди. Але якщо ваша фінтех-команда будує транскордонний потік доставки документів (наприклад, доставка пакету запиту KYC клієнту в іншій державі-члені ЄС з сертифікованою квитанцією), механізм доставки — включаючи будь-яке коротке посилання в сповіщенні — може потребувати видачі кваліфікованим постачальником довірчих послуг eIDAS, а не загальним скорочувачем URL.

Зверніться до своєї юридичної команди, якщо ви будуєте транскордонні регульовані робочі процеси доставки документів. Для звичайних маркетингових посилань цей розділ не застосовується.

Чотири антипатерни#

1. Використання безкоштовного посилання bit.ly у регульованій SMS-кампанії.

Кілька великих мобільних операторів UK запровадили фільтрацію домену bit.ly на SMS-маршрутах, які зазвичай несуть фінансовий спам. Посилання bit.ly в SMS від банку може бути повністю заблоковане оператором або позначено попередженням про спам до того, як користувач його побачить. Крім доставки, bit.ly не забезпечує геообмеження, журнал аудиту, що відноситься до вашої організації, або попереднє сканування призначення. Безкоштовні скорочувачі — не засіб контролю відповідності.

2. URL-призначення, що вказує на варіант маркетингу без попередження про ризики.

Це єдиний найпоширеніший збій у відповідності коротких посилань фінтех під час регуляторної перевірки. Бриф кампанії вказує попередження; варіант сторінки, створений для конкретного A/B-тесту або конкретного георинку, його опускає; коротке посилання залишається вказаним на неправильний варіант тижнями. До того часу, як команда відповідності переглядає, вікно аудиту минуло і немає журналу про те, коли змінилося призначення. Вирішується: незмінними журналами редагування призначення та кроком підтвердження змін призначення для посилань, позначених як регульовані промоції.

3. Відсутність геообмеження для продукту, який не можна рекламувати в певних юрисдикціях.

Криптобіржа проводить спрямовану на UK Instagram-кампанію. Коротке посилання вирішується без геоперевірки. Невеликий відсоток кліків надходить з UK IP-адрес. Ці кліки становлять промоцію для осіб у Великій Британії від суб'єкта без схвалення FCA. Той факт, що параметри таргетингу говорили "виключити UK", не є захистом — рівень редиректу є місцем правозастосування, і якщо він не застосував, порушення відбулося.

4. Відсутність аудиторського сліду того, хто редагував URL-призначення після запуску кампанії.

Команда відповідності запитує, хто змінив URL-призначення. Відповідь сервісу посилань — відмітка часу останньої зміни в рядку бази даних. Без ID користувача, без історії, без проміжних станів. Це не аудиторський слід. Аудиторський слід — це журнал лише для додавання кожного стану, через який пройшов запис, з ідентифікацією актора, який спричинив кожен перехід. Якщо ваш сервіс посилань надає змінний запис редиректу без історії, у вас немає аудиторського сліду.

Де знаходиться Elido#

Elido був побудований з пріоритетом ЄС, що означає, що вимоги відповідності, описані вище, формували архітектуру з самого початку, а не були додані пізніше:

Геообмеження на edge-рівні — списки блокування країн на рівні посилання, що оцінюються під час редиректу в тому самому внутрішньопроцесному кроці, що й пошук URL. Без зворотних звернень, без залежності від JavaScript, без вікна, де промоконтент відображається для користувача в обмеженій географії.
Незмінний журнал редагувань — кожна зміна URL-призначення записує запис лише для додавання до ClickHouse з ID користувача, відміткою часу та попереднім значенням. Журнал можна експортувати в CSV або запитувати через API аналітики.
Попереднє сканування призначення — нові короткі посилання перевіряються на відповідність Safe Browsing + PhishTank перед активацією. Призначення, що вирішуються до відомо-поганих доменів, відхиляються з помилкою.
Атрибуція на рівні користувача для кожної дії — створення, редагування та відключення посилань — все потребує автентифікованої сесії користувача. Спільні API-ключі можуть мати область лише для читання для інтеграцій моніторингу; операції запису завжди несуть ідентифікатор користувача.
Резидентство даних ЄС за замовчуванням — дані кліків зберігаються в ClickHouse регіону ЄС. Без транскордонної передачі для стандартного тарифного плану. SOC 2 та HIPAA для відстеження посилань охоплює сторонній аудит і статус сертифікації.
Потоки даних, що відповідають Schrems II — стаття Schrems II та пікселі відстеження охоплює, як потоки даних кліків структуровані, щоб уникнути недійсного механізму передачі Privacy Shield.

Для ознайомчого дзвінка з командою відповідності та інженерії рішень, сторінка рішень для фінтех містить відповідні деталі.

Пов'язане в блозі#

GDPR для скорочувачів URL — базовий рівень відповідності перед специфічними вимогами фінтех
Контрольний список безпеки скорочувача URL — HSTS, DMARC, попереднє сканування та моніторинг прозорості сертифікатів
EU data residency для маркетингу — вимоги GDPR щодо передачі та варіанти резидентства даних
SOC 2 та HIPAA для відстеження посилань — покриття стороннього аудиту для регульованих галузей
Schrems II та пікселі відстеження — як структурувати потоки даних після скасування Privacy Shield
SCIM та SSO для маркетингових інструментів — атрибуція на рівні користувача у масштабі через синхронізацію каталогів
Скорочувачі URL для маркетологів — супутня стаття для загальних випадків використання маркетинговими командами