Keitaro видит твои домены: что изменилось в правилах трекера с 13 октября и чем это грозит байеру

 

Что изменилось: январь против октября

 

Новую редакцию Apliteni OÜ, эстонская компания-разработчик Keitaro, опубликовала 29 сентября и дала 14 дней до вступления в силу. Анонса в каналах компании мы не нашли, так что если тебе пришло письмо от Keitaro, это оно и было. Предыдущая редакция действовала с 31 января 2026 года. Отдельные американские условия, которые еще в декабре 2025 года лежали на сайте по адресу terms-of-service-us, сейчас отдают 404, а общая страница Terms of Use открывает ту же новую редакцию. То есть правила одни для всех.
 

Главные отличия новой редакции от январской:
 

• Кем Keitaro себя называет. Январь: "self-hosted advertising tracker for affiliate and performance marketing". С 13 октября: "self-hosted software solution" для "business users", слова affiliate в описании больше нет.
• Данные с установки. Январь: не упоминаются. С 13 октября: телеметрия: IP сервера, machine_id, домены, названия кампаний, офферов и потоков; блокировать запрещено.
• Проверка клиента. Январь: нет. С 13 октября: KYC/KYB, источник средств, бенефициар кампаний, при необходимости сверка лица.
• Запросы властей. Январь: можно раскрывать "aggregated data". С 13 октября: можно раскрывать "User's data".
• Блокировка. Январь: за нарушение условий лицензии. С 13 октября: по обоснованному подозрению, на все связанное, без права на апелляцию.
• Деньги. Январь: возврат в течение 14 дней после первой покупки. С 13 октября: то же, но при расторжении из-за KYC или нарушения уплаченное не возвращается.

Хорошая новость в новой редакции тоже есть, и она про будущее. Раньше компания могла менять договор в одностороннем порядке, и новая версия действовала с момента публикации. Теперь по пункту 3.c изменения приходят с "разумным предварительным уведомлением", а несогласный может расторгнуть договор до их вступления в силу. Для этой редакции окно закрылось 13 октября, но следующую можно будет встретить подготовленным.

 

Что уходит с твоего сервера

 

Ключевой термин новой редакции — Operational Telemetry. По пункту 2.c это "псевдонимизированные технические данные", которые программа сама отправляет на инфраструктуру компании. Список открытый ("including but not limited to"), но базовый набор назван прямо:
 

• идентификатор установки (machine_id) и сигналы активации и проверки лицензионного ключа;
• IP-адреса твоих серверов;
• доменные имена, подключенные к инстансу;
• технические метаданные конфигурации, "including the names the User assigns to campaigns, offers and flows". Пункт 9.d отдельно подчеркивает, что названия кампаний, офферов и потоков в телеметрию входят.

Чего там, по тексту, нет: креативов, данных о трафике, параметров таргетинга и данных конечных пользователей. Статистика кликов и конверсий остается на твоем сервере.
 

Звучит безобидно, пока не посмотришь на свой трекер глазами постороннего. Домен плюс название кампании — это по сути карта связки: вертикаль, ГЕО, источник, иногда оффер и партнерка. Автор канала ADS NINJA, который вышел 12 октября с заголовком "Кейтаро мусорнулся?", сформулировал главное:
 

"Keitaro — self-hosted трекер, который мы ставим к себе как раз ради контроля над своей инфраструктурой" и "для арбитражника даже домены и названия кампаний — уже довольно чувствительная инфа".

Хранится телеметрия до 2 лет. Если данные связаны с подозрением на нарушение, расследованием фрода или санкционной проверкой, срок продлевается до 3 лет "или дольше, если этого требует закон". И самое важное: телеметрию разных установок Keitaro "may be correlated", то есть сопоставляет между собой, чтобы выявлять нарушения правил и обход санкций. Домен, всплывший на одной установке, свяжут с другой.
 

Деталь из Privacy Notice. Она вступила в силу тем же днем, и в ней написано: "Any data processed by the Keitaro software in connection with your campaigns or traffic remains solely under your control". Названия кампаний и домены, судя по Terms of Use, в это "solely" уже не входят.

 

Выключить нельзя

 

Пункт 4.j так и называется: "Operational Telemetry must not be blocked". Блокировать, фильтровать, подменять или иначе обходить передачу телеметрии и проверку лицензионного ключа запрещено, а умышленная блокировка — существенное нарушение договора. Если передача упала по технической причине, компания уведомит и даст от 7 до 14 дней на починку. Декомпилировать и модифицировать код запрещает пункт 7.a, заводить второй аккаунт ради обхода блокировки — пункт 7.i.
 

Существенное нарушение по этой же редакции — основание расторгнуть договор без возврата уплаченного, включая неиспользованную часть периода (пункт 15.h). Так что идея "закрыть исходящие файрволом и жить как раньше" стоит ровно столько, сколько лицензия и доступ ко всем связанным с ней установкам.

 

Кто и когда может спросить про тебя

 

Пункт 9.e: компания "reserves the right to comply with governmental, court, and law enforcement legitimate requests, which may include disclosing User's data to applicable authorities". В январской редакции по таким запросам можно было раскрывать "aggregated data", теперь речь о данных конкретного пользователя.
 

Чьи это органы? Договор заключается с Apliteni OÜ из Таллина, применяется эстонское право, споры решает суд Таллина. Перечня "компетентных органов" в тексте нет.
 

Важно понимать, что Keitaro может отдать, а чего нет. Трафика и данных юзеров у компании, по ее же документам, нет. Зато есть связка "этот домен и эти кампании — эта лицензия — этот плательщик", а после KYC еще и конкретный человек или компания. Для белой вертикали это ничего не меняет. Для тех, кто льет гемблинг, ставки и другие вертикали в страны, где за рекламу нелегала уже приходят к людям, а не к кабинетам, это новое звено в цепочке.
 

Сама практика не новая. В апреле 2024 года CMO Keitaro Иван Рудь рассказывал TechTarget: "If the cyber police come to us and make a request to block the license, we do it flawlessly". По его словам, по IP из запроса компания находит держателя лицензии и отзывает ее. А когда очередной отчет по кибербезопасности указал на конкретную кампанию, "it turns out that the party in question is indeed our client", и компания заблокировала "this client and all his servers". Новая редакция переносит это из интервью в договор и расширяет: теперь у компании есть не только ключ лицензии, но и домены с названиями кампаний.

 

KYC: 7 дней на ответ, 14 до расторжения

 

Проверку запускает пункт 6.b, и поводов у нее 2: "собственное усмотрение" компании или обоснованное подозрение в нарушении договора либо в рисках из раздела 15. Запросить могут KYC/KYB, due diligence или расширенную проверку. Пункт 6.c добавляет документы об источнике средств и о конечном бенефициаре "of the tracked ad campaigns", если есть основания подозревать нарушение ограничительных мер ЕС (назван регламент 833/2014) или если этого попросят компетентные органы. Обрати внимание: спрашивают не только кто ты, но и чьи это кампании.

Как идет процедура по пунктам 3.k, 6.e и 6.f:
 

• запрос приходит на почту из аккаунта и считается полученным в день отправки;
• на ответ дают не меньше 7 календарных дней, 1 раз можно попросить продление еще на 7, мотивированно и до истечения срока;
• не прислал все запрошенное в срок — доступ к трекеру, аккаунту и ключам приостанавливают до ответа;
• если проверка не завершена за 14 дней от исходного запроса, договор можно расторгнуть, и уплаченное "non-refundable" (при продлении расторжение наступает в конце оплаченного периода);
• пока проверка открыта, продление лицензии могут заморозить, а платежи отклонить или придержать.

Справедливости ради, незавершенная проверка, по 6.e, "does not constitute a finding that the User has breached this Agreement". Если проверка пройдена и нарушений нет, компания может продлить оплаченный период на дни простоя. А если ты сотрудничал, но договор все равно расторгли по причинам не на твоей стороне, действует пункт 15.j с пропорциональным возвратом за неиспользованный период.
 

Проверку проводит внешний провайдер, его название в документах не раскрыто. По Privacy Notice Keitaro получает результат и идентификатор сессии, копий документов у себя не хранит, а сама проверка может включать сверку лица, то есть биометрию, с отдельного явного согласия. Результат проверки хранится 3 года.

 

Бан без апелляции и на все связанное

 

Самый жесткий блок — раздел 15. Компания может сразу и без уведомления заблокировать аккаунт, ключи, поддержку и платежи, если "обоснованно подозревает" фрод, финансовые преступления, обход санкций или ложные данные о себе либо если твоя деятельность создает "legal, regulatory, sanctions, fraud, security, financial or material reputational risk".

Отдельные поводы — "a request or expectation of a competent authority" и требования платежного, банковского или инфраструктурного провайдера. Доказывать нарушение компания не обязана: "A reasonable suspicion or risk assessment based on the information available to the Company at the relevant time is sufficient".
 

• 15.d. Блокировка распространяется на все аккаунты, лицензии, установки и сервисы, которые компания сочтет связанными с тобой коммерчески, технически, операционно или через бенефициара. Новый аккаунт взамен завести не дадут.
• 15.e. Причины и доказательства могут не раскрыть, включая "communications with authorities". Иногда скажут только общую категорию.
• 15.f. Права на предупреждение, исправление, апелляцию и восстановление по договору нет.
• 15.g. Внутреннее решение окончательное.
• 13.d. Ответственность компании перед тобой ограничена суммой последнего платежа за лицензию.

Решать при этом может и не человек. По пункту 15.l и разделу 10 Privacy Notice компания использует автоматические правила и модели, а решения о блокировке "may be taken without human involvement".

Среди входных данных Privacy Notice прямо называет телеметрию, домены и платежные признаки.
 

Что остается у тебя. Если решение принято полностью автоматически и ты физлицо, по статье 22 GDPR можно потребовать участия человека, изложить свою позицию и оспорить решение (пункт 15.l, адрес support@keitaro.io). По пункту 15.i подозрения хватает для приостановки, но не для окончательного отказа в возврате: для этого компания должна добросовестно установить нарушение. Перед судом в Таллине обязательна претензия, на переговоры по ней дается 1 месяц (пункт 3.d).

 

Почему Keitaro это делает

 

Если читать только Terms of Use, похоже на паранойю. Если почитать отчеты по кибербезопасности, картина другая. Keitaro годами всплывает в них как TDS, через который злоумышленники фильтруют и перенаправляют трафик. В апреле 2024 года TechTarget вынес это прямо в заголовок: "Why the Keitaro TDS keeps causing security headaches".
 

29 сентября 2025 года компания опубликовала страницу Trust & Safety за подписью CEO Apliteni Артура Сабирова. Первая редакция начиналась так: "Recently, our product has been mentioned in several reports by cybersecurity researchers in the context of malicious actor activity". Там же объявлены 3 направления: многоуровневая верификация пользователей, ужесточение платежных проверок с отказом от "высокорисковых" способов оплаты и смена курса "from being the ultimate all-in-one online advertisement platform to exclusively serving the needs of confirmed businesses, and registered professionals".

Компания сразу предупредила, что новые меры "may introduce more friction for all of our users". В редакции, которая действует с 9 июля 2026 года, добавлено прямо: нулевая терпимость к использованию софта для незаконной деятельности, "including cloaking and the misuse of traffic distribution system (TDS) capabilities".
 

Масштаб показали Infoblox и Confiant в серии "Inside Keitaro Abuse" в марте 2026 года. За 4 месяца с 1 октября 2025 года исследователи насчитали около 15 500 доменов под вредоносными инстансами Keitaro, от инвестиционного скама до инфостилеров.

Главный вывод третьей части: "Cracked or 'nulled' Keitaro versions play a significant role in the abuse of the tracker". Такие сборки раздают на форумах уже "pre-activated", в обход проверки лицензии. 2 группировки, TA2726 и TA576, по оценке исследователей, работают на взломанных или украденных лицензиях 11-й версии. К самой компании у Infoblox претензий нет: с августа 2025 года исследователи отправили больше 100 доменов, Keitaro "responded quickly and thoroughly to each of our requests", закрыто больше 12 аккаунтов злоумышленников.
 

После этого новые пункты читаются иначе. Проверка ключа, machine_id и сопоставление установок — ровно то, чем отличают легальную копию от ломаной и находят 1 оператора за десятками доменов. В том же отчете описано, как Infoblox вместе с командой Trust & Safety Keitaro по совпадающим cookie разбирались, какие домены крутятся на взломанной 9-й версии. Цель — пираты и малварщики. Но собирают со всех, и под раздел 15 попадает любой, чья деятельность покажется компании риском.

 

Как Keitaro отбелялся от арбитража

 

Если смотреть на последние 2 года целиком, новые правила — не внезапный поворот, а очередной шаг. Только по собственным публикациям компании:

• Февраль 2024. Англоязычный канал Keitaro публикует "Are you an affiliate marketer?", подборку iGaming-офферов в приложениях и топ ГЕО для "traffic arbitrage game".
• 14 августа 2025. Русскоязычный чат пользователей в Telegram "уходит на паузу".
• 1 сентября 2025. Официальная позиция по закрытию партнерской программы, которую до этого объявили по email. Будущие начисления остановлены, решение "не связано с экономическими причинами" и "продиктовано необходимостью полной модернизации формата, включая юридическую часть". Обещание: программу перезапустят "в обновленном формате на новых условиях, которые будут более выгодными и прозрачными для партнеров".
• 29 сентября 2025. Trust & Safety и курс на "confirmed businesses, and registered professionals".
• 9 июля 2026. Trust & Safety дополнена клоакингом и TDS. Накануне англоязычный канал написал: "Trust & Safety is an ongoing process, not a one-time announcement".
• 29 сентября 2026. Новые Terms of Use, в которых из описания продукта пропало слово affiliate. 13 октября они вступили в силу.

Перезапуска партнерки за 13 месяцев мы не нашли ни на сайте, ни в каналах компании. Прозрачность, впрочем, действительно завезли. Просто в другую сторону.

 

А у других трекеров как?

 

Пункт о запросах властей — не изобретение Keitaro. Voluum в Privacy Policy прямо пишет, что может раскрывать данные "to respond to requests from courts, law enforcement agencies, regulatory agencies, and other public and government authorities".

RedTrack в условиях использования оговаривает, что сервис для тех, кто "not a target of any sanctions regime" и не работает из стран, доступ из которых запрещен санкциями. Binom в Terms of Service требует не быть резидентом или гражданином "restricted countries" и называет все платежи невозвратными.
 

Но есть разница, которую в чатах часто упускают. Voluum и RedTrack облачные: у вендора по определению лежит вся твоя статистика, а не только названия кампаний.

Уходить с Keitaro в облако ради приватности — так себе идея. Если важен именно self-hosted, читай не маркетинговую страницу, а договор: есть ли пункт о телеметрии и можно ли ее выключить, под чьим правом договор, что сказано про блокировку и возврат.

В публичных Terms of Service Binom, например, пунктов о телеметрии с установок мы не нашли. Но это значит только то, что их нет в тексте, а не то, что софт ничего не отправляет.

 

Что сделать сейчас

 

1. Проверь почту в аккаунте Keitaro. Уведомления и запросы на проверку считаются полученными в день отправки, и 7 дней на KYC отсчитываются оттуда же. Старый ящик, который никто не читает, теперь прямой путь к блокировке.
2. Посмотри на названия кампаний, офферов и потоков глазами постороннего. Теперь их действительно читает кто-то, кроме твоей команды, и хранит до 2-3 лет. Связка — твой коммерческий актив, и внутренние коды вместо говорящих названий — обычная гигиена. Пункт 4.j она не нарушает: телеметрия уходит как есть, ты ничего не блокируешь и не подменяешь.
3. Не трогай телеметрию и ключ. Файрвол на исходящие, патчи и ломаные сборки — существенное нарушение и расторжение без возврата. Nulled-версии вдобавок ровно то, на что заточена вся новая система.
4. Подготовь документы до запроса. Юрлицо или ИП, подтверждение источника средств, понимание, кто бенефициар кампаний. Если ведешь трафик на клиента или работаешь в команде, нужен договор с ними. 7 дней пролетают быстро, особенно если запрос придет в разгар залива.
5. Ограничь радиус поражения. Пункт 15.d бьет по всему "связанному": аккаунтам, установкам, доменам, плательщикам. Разные проекты и юрлица на 1 лицензии и 1 платежном методе означают, что проблема в одном положит все.
6. Если заблокировали, запрашивай пересмотр человеком (пункт 15.l и статья 22 GDPR, если решение автоматическое и ты физлицо), сохраняй переписку и спрашивай, на каком основании удерживают деньги: по пункту 15.i подозрения для окончательного отказа в возврате мало. Перед судом обязательна претензия с 1 месяцем на переговоры.
7. Если решил уходить, выгрузи статистику и настройки заранее, а не после блокировки, и прочитай договор нового трекера целиком. Санкционные пункты и раскрытие данных по запросам есть почти у всех, разница в деталях: телеметрия, блокировка без объяснений, возвраты.

 

Итог

 

Паниковать не из-за чего: трафика и данных юзеров Keitaro, по своим же документам, не собирает, и базу клиентов никто не сливал. Но правила поменялись по сути. Self-hosted больше не значит "разработчик ничего не знает о твоей установке". Домены, IP и названия кампаний уходят компании, хранятся до 2-3 лет, сопоставляются с другими установками и могут быть раскрыты по законному запросу. Блокировка теперь возможна по подозрению, на все связанное и без апелляции. Куда идет Keitaro, компания написала сама: к "verified businesses and registered professionals". Белому бизнесу с юрлицом новые правила добавят формальностей, и не больше. Остальным стоит решить, хотят ли они оставаться в этой системе, пока за них это не решил автоматический скоринг.