500 个名额听起来绰绰有余。大多数广告主连 50 个都用不完。然后真正的攻击开始了：竞争对手雇用的外包人员、被雇来攻击您核心关键字的点击农场，或者一个发现了您高 CPC 竞价的僵尸网络，列表一周之内就满了。接着，每个 PPC 论坛里都会出现同一个问题：如何在 Google Ads 中排除超过 500 个 IP？
简短的回答是：做不到。本指南讲的是应该改做什么。它建立在我们关于 IP 排除何时有效、何时失效的完整分析之上；本文专门讨论这一上限。
上限的确切规定
摘自 Google 自己的 IP 排除文档：
| 规则 | 详情 |
|---|---|
| 广告系列上限 | 每个广告系列最多排除 500 个 IP 地址 |
| 账户级排除 | 在“管理”（Admin）下的“账户设置”（Account settings）中设置；适用于整个账户 |
| 地址段 | 在最后一段使用星号通配符，例如 203.0.113.*；不支持 CIDR 表示法 |
| 不支持广告系列级排除的类型 | 视频、酒店、应用、效果最大化和智能展示广告系列 |
| 设置位置 | 广告系列 > 设置 > 其他设置（Additional settings）> IP 排除 |
| 效果 | 阻止今后向这些地址投放；绝不退还过去的点击费用 |
表中有三个细节决定了您的策略。一个通配符条目只占用一个名额就能覆盖整整 256 个地址，因此地址段是您争取空间的方式。效果最大化广告系列（Performance Max）不存在广告系列级排除，因此账户级列表是您在那里唯一可用的 IP 手段。而且排除项只对今后有效，因此任何已经计费的点击都要改走申诉流程。
为什么 500 个名额比您想象的用得更快
这一上限是为作弊者只有一间办公室、一个地址的时代设计的。那个时代已经过去了。现代攻击者租用的是基础设施：
- 住宅代理网络通过真实的家庭网络连接转发点击。大型代理池宣称在每个国家和每家运营商都拥有数百万个地址。一次几千次恶意点击的攻击，可能来自几千个不同的 IP，每个只用一两次。我们在住宅代理与点击欺诈一文中介绍了这为什么能击败静态拦截。
- 运营商级 NAT 让数千名移动用户共用一个地址。屏蔽它，就会连同真实客户一起屏蔽；不屏蔽它，作弊者就会继续借道而入。
- 僵尸网络和受感染设备从普通家用计算机发起点击，这些计算机的地址会随每次 DHCP 租约而变化。
拿一份 500 个名额的列表来算一笔账。如果一次攻击每天消耗 200 个新 IP，而您每周更新两次排除项，到周末您就会永远落后 600 个地址，而您上个月添加的条目现在指向的是已被重新分配、可能属于真实潜在客户的地址。这份列表同时在两端失效。
扩展上限的六种方法
人工管理仍然很重要，尤其是面对中小规模的作弊者时。以下六个做法能让 500 个名额发挥最大作用：
- 把单个 IP 合并为通配符地址段。 如果 30 个条目的前三段相同，就用一个
x.y.z.*条目替换它们，腾出 29 个名额。只有当整个地址段都表现出恶意行为时才这样做；在共享网络上使用通配符，等于用流失客户来换取拦截欺诈。 - 把长期作弊者移到账户级。 已确认的竞争对手办公网络应放在账户级列表中，这样它还能覆盖效果最大化广告系列以及其他没有广告系列级设置的广告系列类型。把广告系列名额留给活跃的、不断轮换的威胁。
- 按日期清理，而不是凭记忆。 IP 会被不断重新分配。为每个条目记录日期和证据，并重新核实超过 60 至 90 天的条目。一个过时的排除项，就是在一个如今属于别人的地址上浪费了一个名额。
- 从上游减少曝光，让需要拦截的 IP 更少。 将地理位置设置收紧为“所在地”，调整广告投放时间以避开恶意流量集中的时段，并为展示位置应用共享排除列表。恶意展示越少，列表填满得就越慢。
- 在列表之外保留一份证据档案。 支持排除决定的时间戳、IP 和模式，同样可以用于返还金额申请，必要时还能用于对竞争对手提起诉讼。一份日志，三种用途。
- 每周检查，而不是每年检查。 每周花 15 分钟检查一遍（加入新的重复来源，移除过时条目），就能让手动列表保持有效。一份无人维护的列表，只是 500 个名额的虚假安全感。
永远算不过来的账
扩展有帮助，但请坦然面对它的极限。每一种人工 IP 防御都有三个结构性缺陷，再怎么勤勉也无法弥补：
- 您拦截的是昨天。 排除项是在识别出作弊者的那些点击已经计费之后才应用的。面对轮换，每一个新地址都能先白白咬上几口。
- 列表无法学习。 同一个攻击者换了新 IP，在您的列表看来就是一个全新的陌生人。什么都无法延续：设备、行为、历史，统统没有。
- 精确度不断下降。 随着条目老化，风险会从拦截不足变成拦截过度，因为一个 IP 并不等于一个人。共享地址和重新分配的地址意味着，一份旧列表会在不知不觉中把真实买家拒之门外。
这就是为什么两次达到 500 个上限的团队，很少会第三次尝试在列表管理这场游戏中取胜。
真正能突破上限的方法
结构性的答案是：不再以地址为防御依据，而是以行为者为依据：
- 设备指纹识别能在 IP 变化后识别出同一台设备，因此不断轮换地址的作弊者仍然只是一台已知设备。
- 行为评分根据每次点击的表现（会话深度、时间节奏、互动、自动化信号）进行判断，因此能够发现来自从未见过的地址的第一次点击，而不仅仅是重复访问。
- 自动排除同步将这些判定实时转化为 Google Ads 排除项，为您管理 500 个名额：添加活跃威胁、合并地址段并淘汰过时条目，无需任何人维护电子表格。
这一组合正是 ClickFortify 保护 Google Ads 账户的方式，每一次拦截都附带证据链，让您的申诉材料和竞争对手案件水到渠成。请查看 ClickFortify 的工作原理；如果您想先估算问题的规模，请用广告欺诈计算器算一算您的数据。
如果您正在触及 500 个上限，请阅读这一部分
填满一个广告系列的排除列表本身就是一种诊断。它意味着针对您的无效流量是工业化的，而不是偶发的，此时有两项后续工作比腾出名额更重要：
- 现在就申请返还金额，不要拖延。 无效流量调查的 60 天期限是硬性规定。如果攻击已经持续了数周，一部分可追回的支出已经在过期。
- 检查模式是否指向某个方向。 在工作时间集中在您核心字词上的恶意流量，与分散的僵尸网络流量含义不同。我们的竞争对手点击欺诈取证指南介绍了如何区分两者，机器人检测技术一文则介绍了自动化流量方面的内容。
结论
Google Ads 的 500 个 IP 排除上限是真实存在、固定不变的，而且一旦真正的攻击开始，它就会显得比看上去更小。请明智地扩展它：用通配符覆盖地址段，用账户级列表处理长期作弊者，为条目标注日期并定期清理，并在上游收紧定位。但请把这一上限当作一个信号。IP 列表是为静态地址的互联网而设计的，而您正在对抗的欺诈早已不在那里了。当列表填满时，升级的方向不是更大的列表，而是一种能识别行为者而非地址、实时拦截并为您应得的款项保留证据的防御。
