この要件の説明は ユースケース #9 をご覧ください。
防ぐ必要がある不正なビーコンは2種類あります:
DoS 攻撃を防ぐために JavaScript にできることは何もありませんが、あなたのサーバーに1つの IP からのビーコンを送る制限する設定はできます。通常ウェブサイトを開けるユーザーよりも速くビーコンを受信するべきではありません。不正なアクセスパターンを見つけるために、システムのオペレーションやウェブサーバーの設定を変えたくなるでしょう。これらの大半はこのドキュメントの範囲を越えていますが、攻撃から守るためのヒントをいくつか紹介します。
ほとんどの開発者は boomerang の beacon_url パラメーターを使用するバックエンドのスクリプトをつくると思います。ここで問題になるのはこれらのリクエストはキャッシュされないということです。スクリプトはビーコンのリクエストのたびに実行され、ウェブサーバーやデータベースのリソースを消費します。DoS 攻撃によって、あなたのサーバーをダウンさせることが可能になります。
それをコントロールする良い方法としては、ビーコンサーバー上で動作する軽量なウェブサーバーを用意すること、このサーバーをビーコンの URL のリクエストだけに応答するように設定することです。全てのビーコンのリクエストには HTTP 204 のレスポンスを返すべきです。これはサーバー内の簡単な設定することで、リクエストごとにディスクの検索をさせる必要がないことを意味します。サーバーはリクエストをアクセスログに書き込みます。ここに全ての QueryString やパラメーター、Cookie を含める必要があります。
定期的に - 1時間に1回や1日に1回（ビーコンのボリュームに依存します）、ログをバッチ処理すればそこから実際のビーコンのパラメーターを見つけだせます。明らかに不正なビーコンは破棄します。ビーコンからデータを抽出するための実際のコードは全てのリクエストに対して行うかバッチ処理で行うかに関わらず同じです。ビーコンからのデータの抽出については 使用方法 #0 をご覧ください。
オンライン上にある DoS 攻撃とその対策の仕方についての さらに 多くの 情報 も参考にしてください。
この場合の最も一般的な理由はあなたのページデザインを気に入った誰かがそれを自身のサーバーにコピーしてしまうことです。boomerang の JavaScript を含み、beacon_url も更新されていないとあなたのサーバーへビーコンが送信され続けます。きっと望まないことでしょう。
この問題を解決する最も簡単な方法は全てのリクエストのリファラーをチェックし、あなたのドメインからではないリクエストをブロックすることです。これを知らない不正ユーザーには効果がありますが、悪意のある不正ユーザーには効果がありません。
悪意のあるユーザーはあなたのサイトの何かが得られる全ての URL を悪用しようとします。何に使うかは彼らにとって重要ではありません。これらはあなたのビーコンの正しい使用ではありませんし、全てブロックするべきです。最善の対策は nonce や crumb を通すことです。これは1度だけ有効な文字列です。これにはハッシュの一部として現在のタイムスタンプと有効期限が含まれています。これをページのリクエスト毎に生成し、BOOMR.addVar() メソッドを使って boomerang に追加させます。ビーコンサーバー上で、ビーコンを受け取る前に nonce を検証します。もしバッチ処理を行っているなら、nonce を検証するために実行しているバッチ処理の時間ではなくリクエストのタイムスタンプを使うべきです。
BOOMR.addVar("nonce", "125a7b79de989876cce970f0768a07"); // your nonce will be different
nonce はビーコンの URL を直接叩くものから守れますが、nonce はリクエスト毎に変更されるため、あなたのページはキャッシュできないことを意味します。
nonce はあなたのページからビーコンを抜き取るものからは守れません — 正しい nonce と一緒にその時はビーコンのパラメーターを変更してあなたのサーバーに送信してきます。これを防ぐにはビーコンのパラメーターを登録する必要がありますが、これは JavaScript ではできません。この問題に対する一般的な解決方法は今のところ分かりません。
最新のソースコードとドキュメントは github.com/SOASTA/boomerang に公開されています。