Indicam um scanner, entre outros: três ou mais links clicados em dois segundos (R-CLK-BURST), um clique a partir da rede de um fornecedor de segurança (R-CLK-VENDOR), de uma rede de nuvem ou alojamento (R-CLK-CLOUD, R-CLK-HOSTING), de um navegador sem janela (R-CLK-HEADLESS) ou automatizado (R-CLK-WEBDRIVER) e um clique segundos após a entrega (R-CLK-DELTA). Um clique vindo da rede de um centro de dados nunca é classificado como provável atividade humana.
Indicam atividade humana, entre outros: a página a funcionar num separador visível do navegador (R-CLK-JS), uma rede doméstica ou móvel (R-CLK-RESID) e um clique bastante depois da entrega (R-CLK-LATE). Mesmo assim, o veredicto é no máximo «provável». As regras têm versões, por isso os cliques guardados podem ser reclassificados quando elas melhoram.