reklama.store — sieć reklamowa performance

Specyfikacja techniczna i wycena systemu · wersja produkcyjna · PHP 5.6 · storage plikowy JSON

STATUS: po testach — gotowe do wdrożenia

1. Podsumowanie

Samodzielna sieć reklamowa typu performance marketing: osobne konta reklamodawców i wydawców, marketplace kampanii, emisja kreacji (bannery, boxy, linki, wideo), rozliczenia siedmiu modeli, wielowarstwowy system anty-fraud z tokenizacją i „łapanką", rozliczenia escrow oraz trzypoziomowa atrybucja podwykonawców xx / vv.

Całość działa bez bazy danych — storage na plikach JSON z shardowaniem i lockami. Kod zgodny z PHP 5.6 — działa na tanim shared hostingu.

bez bazy danychPHP 5.6+JSON storage anty-fraudescrowvideo CPV marketplaceCSP/HMAC

2. Architektura

Rys. 1 — przepływ reklamy (linie ciągłe) i pieniędzy (linia przerywana)

Przepływ zdarzenia: wydawca osadza <script src=emit.php?z=ID&k=KOD> → skrypt dobiera kreację (rotacja lub sztywny kod), tworzy iframe z jednorazowym nonce → iframe zakłada token → pingi interakcji / klik / konwersja — wszystko podpisane HMAC → rozliczenie: obciążenie reklamodawcy, udział wydawcy do escrow, prowizja serwisu.

3. Modele billingowe

Model	Płatność za	Rozliczenie
CPM	1000 wyświetleń	stawka/1000 za każdą emisję
CPC	unikalny klik	stawka za klik (dedup IP+UA/dobę + limity)
CPA	konwersję (akcję)	stawka przez bramkę HMAC
CPS	% sprzedaży	proc% od wartości koszyka z bramki
CPL	lead / rejestrację	hostowana rejestracja lub lead-api + webhook
kombo	klik + lead	stawka za klik, stawka2 za rejestrację
CPV	obejrzenie wideo z dźwiękiem	heartbeaty + analyser audio + dedup odsłon

4. Kreacje i zasoby

Typy: banner, box, link tekstowy, wideo (upload lub zewnętrzny URL — bez wymogu ffmpeg)
Rozmiary desktop: 728×90, 970×250, 468×60, 700×100, 750×140, 300×250, 336×280, 300×600, 160×600
Rozmiary mobile: 320×50, 320×100 (300×250 wspólny) + auto, text
Sztywny kod (rek_id>0) — zasób emituje wyłącznie przypiętą kampanię (wideo tylko tak)
Rotacja (rek_id=0) — dobór po typie+rozmiarze z kampanii, do których wydawca dołączył

5. System anty-fraud (wielowarstwowy)

Rys. 2 — sześć warstw; naruszenie trafia do loga IP/fingerprintu i czerwonej listy

Czerwona lista IP — punkty za wykroczenia (zły nonce/podpis/kod, sondowanie tokenów); N punktów = ban z pustymi odpowiedziami
Log fip per wydawca — każde wykroczenie z IP, fingerprintem, hostem i powodem; kolizje fingerprintu między IP
„Łapanka" (shadow billing) — podejrzany wydawca widzi rosnące saldo, ale budżet reklamodawcy nie jest obciążany; po okresie ciszy realny stan wraca z karą; historia i liczniki widoczne w adminie
Zbieżność IP — admin widzi, gdy IP logowań wydawcy pokrywa się z IP klików-wykroczeń (poziom 1/2)
Anti-flood — limity zapytań/s dla gościa, zalogowanego i emit.php (konfigurowalne)

6. Trzypoziomowa atrybucja xx / vv

Rys. 3 — tagi przechodzą do tokenu; wydawca rozlicza oba poziomy (filtry xx / vv / para / link)

7. Rozliczenia escrow

Rys. 4 — cykl życia zarobku wydawcy: oczek → saldo / oczek_blok → decyzja admina

8. Panele

Reklamodawca

Kampanie: tworzenie (7 modeli × 4 typy kreacji), pauza/wznowienie/nowa tura, dzienny limit i pula
Raporty: staty dzienne, wykres godzinowy 24 kubełki, eksport CSV/TXT/PDF, bramka konwersji (URL + klucz HMAC), webhook leadów
Stany konta: aktywne / zawieszone (brak emisji) / zamrożone (emisja działa, zero zmian) / zablokowane (tylko dane + kontakt z adminem)

Wydawca

Zasoby: typy rozmiarów, sztywny kod lub rotacja, regeneracja kodu, marketplace dołączania do kampanii
Zarobek: escrow w rozliczeniu, historia wypłat, próg wypłaty
Podwykonawcy: wyszukiwarka po xx / vv / parze / linku + agregat „Udziały xx / vv" (emisje, kliki, konwersje, środki 1:1)

Administrator

Pulpit: staty sieci, żółte alarmy, reklamy bez konwersji, wiadomości od użytkowników
Listy z **wyszukiwarką** (firma/osoba/e-mail/inne) i **sortowaniem po metrykach** (checkboxy: wyświetlenia, kliki unikalne/nieunikalne, sprzedaże, obrót/zarobek) + kierunek — przed paginacją
Konta: zawieś/odwieś, zamroź/odmroź, zablokuj/odblokuj, nadaj/odbierz admina
Finanse: doładowanie, ustawienie dokładne (może być minus), wypłacone — wszystko księgowane
Kampanie: zatwierdzanie, wstrzymanie, odrzut, usunięcie całkowite z danymi
Anty-fraud: czerwona lista, logi IP wydawców, łapanka (włącz/zdejmij), zbieżność IP logowań z wykroczeniami
Tokeny z pingiem/fingerprintem/rozmiarem, ustawienia sieci, przebudowa indeksu

9. Bezpieczeństwo

Podpisy HMAC-SHA256 (klik, konwersja, ping, heartbeat, vstream, lead-api) + nonce jednorazowe i wygasające
Tokeny emisji shardowane + deduplikacja i stany (emit/klik/dup/konw) — idempotentność bramki
CSRF token sesyjny, hasła password_hash, hash_equals przy porównaniach
`.htaccess`: deny dla dane/, uzytkownik/, inc/ (Apache 2.2+2.4), blokada wrażliwych rozszerzeń i plików ukrytych, nosniff, wyłączony TRACE, php engine off w katalogach prywatnych
innerHTML alerty przez sanitazer (whitelist tagów) — XSS odcięte
Anti-flood rate limiting, walidacja domen zasobu, fingerprint+IP binding
install.php z lockiem, test.php/diag.php dostępne tylko dla admina

10. Technologia

Element	Rozwiązanie
Język	PHP 5.6.40+ (brak wymagań PHP 7/8)
Storage	Pliki JSON z shardowaniem (użytkownicy, tokeny, staty, ledger, uczest, leady, video, antybot) + flock
Baza danych	nie jest wymagana
Frontend	vanilla JS: fetch + FormData, iframe z nonce, inne-HTML modale i alerty
Wideo	upload lub URL → lokalny plik, podpisany stream z Range, heartbeaty; ffmpeg opcjonalny (fallback: oryginał)
Hosting	shared hosting, Apache 2.2/2.4

11. Testy

Automatyczne harnessy po stronie serwera (dostępne tylko dla admina):

test.php — ~45 sprawdzeń: środowisko, storage, konta, kampanie, tokeny+HMAC, billing, escrow, fraud, raporty
testwydawca.php — pełny pipeline wydawcy: zasób → sztywny kod → rotacja → emisja → klik → escrow → wypłata
testreklamodawca.php — pipeline reklamodawcy: CPS %, bramka HMAC, idempotentność, leady (dedup e-mail/IP), kombo, CPV dedup, pula

Wynik ostatnich przebiegów: wszystkie testy przechodzą.

12. Wycena systemu

Szacunek nakładu pracy i wartości rynkowej (stawka deweloperska 80–150 zł/h):

Moduł	Zakres	Roboczogodziny	Kwota (PLN)
Rdzeń + konta	auth, role, sesje, shardowany storage JSON, layout, style, JS (api/modale/info)	35–45 h	3 500 – 6 000
Emisja + rotacja	emit.php embed+iframe+nonce, dobór kreacji, sztywne kody, rozmiary, domeny zasobów	35–45 h	3 500 – 6 000
Tokeny + anty-fraud	HMAC, fingerprint, IP binding, dedup, pingi, rozmiary, czerwona lista, fip, łapanka, anti-flood	55–70 h	5 500 – 10 000
Billing + escrow	nv_rozlicz, salda, ledger, escrow oczek/blok/wypłata, limity, pule	35–45 h	3 500 – 6 000
Modele billingowe	CPM/CPC/CPA/CPS/CPL/kombo/CPV + bramka + webhook + lead-api + hostowana rejestracja	30–40 h	3 000 – 5 500
Wideo	upload/URL, stream z Range, heartbeaty, audio analyser, dedup odsłon, ffmpeg-optional	20–30 h	2 000 – 4 000
Atrybucja xx/vv	3 poziomy podwykonawców: embed→token→staty→filtry→eksporty→agregat udziałów	12–18 h	1 500 – 2 500
Panel wydawcy + reklamodawcy	zasoby, kampanie, marketplace, staty, wykresy, eksporty, finanse, stany kont	40–55 h	4 000 – 7 500
Panel administratora	listy z wyszukiwarką i sortowaniem, profile, kasa, kampanie, zasoby, tokeny, redlista, łapanka, fip, ustawienia	50–65 h	5 000 – 9 000
Bezpieczeństwo + hosting	.htaccess deny zasobników, locki, CSRF, normalizacja URL-i, polyfille, install.php	15–20 h	1 500 – 2 800
Testy + diagnostyka	test.php + 2 harnessy + diag.php (lint, fingerprint, logi, shutdown-catch)	20–30 h	2 000 – 4 000
UI/UX + dokumentacja	modale innerHTML, sanitazer, styl, specyfikacja, instrukcje wdrożenia	10–15 h	1 000 – 2 000
RAZEM		~360–460 h	36 000 – 65 000 zł

Uwaga: wycena szacunkowa — ostateczna kwota zależy od formy rozliczenia (zlecenie/firma), zakresu gwarancji i utrzymania. Założona stawka: 80–150 zł/h netto. System jest kompletny i po testach.

13. Wdrożenie (3 kroki)

Wgraj wszystkie pliki na docelową domenę
Otwórz /install.php → tytuł + e-mail i hasło admina (tworzy katalogi, .htaccess, sekret HMAC, lock)
Otwórz /test.php jako admin → usuń install.php, diag.php, test*.php