Indicano uno scanner, tra l’altro: tre o più link cliccati in due secondi (R-CLK-BURST), un clic dalla rete di un fornitore di sicurezza (R-CLK-VENDOR), da una rete cloud o di hosting (R-CLK-CLOUD, R-CLK-HOSTING), da un browser senza finestra (R-CLK-HEADLESS) o automatizzato (R-CLK-WEBDRIVER) e un clic pochi secondi dopo la consegna (R-CLK-DELTA). Un clic dalla rete di un data center non viene mai classificato come probabile attività umana.
Indicano attività umana, tra l’altro: la pagina in esecuzione in una scheda visibile del browser (R-CLK-JS), una rete domestica o mobile (R-CLK-RESID) e un clic molto dopo la consegna (R-CLK-LATE). Anche allora il verdetto è al massimo «probabile». Le regole hanno versioni, quindi i clic salvati possono essere riclassificati quando migliorano.