A proteção básica contra bots costuma começar pelo endereço IP: se a visita vem de uma rede de hospedagem ou de uma VPN conhecida, é um servidor, não uma pessoa. Contra bots baratos isso funciona muito bem. Mas a fraude já tem resposta há tempos: proxies residenciais e móveis. A requisição sai para a internet pelo endereço de um assinante doméstico real ou de um celular na rede de uma operadora, e o filtro de rede vê um usuário comum. O clique é contado, o dinheiro é cobrado e o lead não chega.
Neste artigo: o que são esses proxies, de onde vêm, por que passam pela checagem de IP e quais sinais ainda assim os denunciam. A base geral sobre sinais de rede está no material VPN, proxy e IPs de datacenter; aqui tratamos do caso mais difícil de filtrar.
O que é um proxy residencial
Um proxy é um intermediário pelo qual um programa envia requisições para que o site veja o endereço do intermediário, e não o dele. Os proxies se diferenciam pelo lugar onde esse intermediário mora.
- O proxy de servidor roda num datacenter. O endereço dele pertence a uma rede de hospedagem, e isso aparece no ASN, o número do sistema autônomo ao qual o IP pertence. Essas visitas são filtradas quase sem erro.
- O proxy residencial envia a requisição pelo endereço de um assinante doméstico: provedor comum, apartamento comum. Na maioria das vezes é um aparelho com um app ou extensão cujos termos de uso trazem uma cláusula de «compartilhar a banda que você não usa». Às vezes é um roteador ou TV box infectado.
- O proxy móvel funciona pelo chip de uma operadora: um modem ou celular numa «fazenda» por onde o tráfego passa. O site vê um endereço móvel da operadora, igual ao de milhões de smartphones comuns.
Para um filtro de IP, a diferença é essencial. Um endereço de servidor quase certamente não é uma pessoa. Um endereço residencial ou móvel quase sempre é uma pessoa, e só às vezes passa por ele o programa de outra pessoa.
Quem passa tráfego de anúncios por proxy
Redes de proxy são vendidas abertamente e usadas por vários motivos. Para o anunciante, o que importa é que parte desse tráfego cai nas campanhas dele:
- Bots de clique em posicionamentos com pagamento por clique. O dono do site ou da zona quer que cliquem nos anúncios. Um bot em servidor é filtrado na hora, então os esquemas mais avançados o passam por endereços residenciais do país certo. Como esses esquemas funcionam está no artigo sobre fazendas de cliques.
- Cliques fraudulentos da concorrência. Quem quer queimar o orçamento alheio em anúncios de pesquisa sabe que cliques de um único endereço são notados rápido. A rotação de endereços residenciais transforma cada clique num «visitante novo». Mais sobre esse esquema em cliques fraudulentos da concorrência.
- Leads falsos. Se o afiliado ganha por lead, ele precisa de leads do país certo. Um script preenche o formulário, e o proxy fornece um endereço local.
- Coleta de dados. Scrapers de preço, serviços de monitoramento e ferramentas spy seguem links de anúncios por endereços residenciais para não serem bloqueados. Pode não haver má intenção contra você, mas o clique é pago do mesmo jeito.
Por que eles passam pelos filtros simples de IP
Um filtro de IP faz à visita, no fundo, uma única pergunta: «De quem é este endereço?». Para um proxy residencial, a resposta honesta é «de um provedor doméstico no país certo». Daí em diante, tudo joga contra o anunciante:
- O ASN está limpo. A rede pertence a um provedor ou operadora móvel, não a uma hospedagem. O bloqueio de datacenters não a atinge.
- O geo bate. A rede de proxy permite escolher país e até cidade, então o filtro geográfico é superado.
- O endereço é novo. A rotação troca o IP a cada requisição ou a cada poucos minutos. O limite de cliques por endereço não dispara, e a lista negra de IPs não acompanha a rotação.
- A reputação é difusa. Ontem havia uma pessoa real atrás desse endereço; amanhã haverá outra. As bases de reputação de IP marcam parte desses endereços, mas com atraso e não todos.
- Endereço móvel não dá para bloquear. Centenas de assinantes saem pela internet por um único endereço da operadora (CGNAT). Bloqueá-lo atinge pessoas reais aleatórias.
A conclusão é simples: só pelo IP não dá para distinguir um proxy residencial de uma pessoa. A detecção funciona pelas contradições entre o que a rede diz e o que dizem o navegador, o relógio e o comportamento.
Como detectar proxies residenciais e móveis: os sinais
Nenhum dos sinais abaixo prova um proxy sozinho. Uma conclusão forte vem de três ou quatro sinais que coincidem na mesma visita ou na mesma fonte.
Marcação em bases de proxy
Bases comerciais de IP marcam endereços vistos em redes de proxy: por varreduras, por armadilhas (honeypots) e por relatos de outros serviços. A marcação «proxy residencial» é o sinal mais direto, mas também o menos completo: a base sempre fica atrás da rotação, e o endereço pode ter passado pouco tempo na rede. Por isso a marcação é usada como penalidade na pontuação de confiança, não como bloqueio.
ASN e tipo de rede contra o aparelho declarado
O ASN também é útil no tráfego residencial quando comparado com o aparelho. Um endereço móvel de operadora com um navegador de desktop em tela larga é estranho. Um provedor doméstico de cidade pequena com um «celular» cuja impressão digital do navegador parece de emulador também. Cada descompasso desses é motivo para baixar a confiança.
Fuso horário e idioma
É o sinal mais útil contra proxies. O IP diz «Alemanha», mas o navegador informa o fuso Asia/Ho_Chi_Minh, o idioma do sistema é vietnamita e o layout do teclado não é alemão. O proxy troca o endereço, mas não muda as configurações do aparelho que está por trás. Claro que um turista ou um expatriado dão um quadro parecido, e por isso esse sinal é pesado junto com os outros.
A mesma impressão digital em endereços diferentes
Uma fazenda de bots troca de endereço mais rápido do que de aparelho. Se a mesma impressão digital (modelo, versão do navegador, resolução, conjunto de fontes, placa de vídeo) chega de vinte endereços domésticos diferentes em uma hora, não são vinte pessoas. Como a impressão digital é coletada e onde é falsificada está no artigo navegadores headless e impressão digital do navegador.
Frequência de uma mesma faixa
A rotação troca o endereço específico, mas nem sempre troca a rede. O provedor de proxy tira endereços dos mesmos pools, e o log mostra uma rajada: vinte cliques em dez minutos de uma mesma sub-rede /24 de um mesmo provedor, cada um com um IP novo. Os cliques de um público real se espalham por muitas redes e bairros. Agrupar por sub-rede e ASN mostra o que o agrupamento por endereço esconde.
Comportamento na página
Uma pessoa rola a página de forma irregular, para nas imagens, erra o botão. Um script, mesmo imitando o mouse, se move de forma lisa demais, sai rápido demais ou, ao contrário, fica na página exatamente o número de segundos programado. A checagem de comportamento não depende do endereço, e é justamente por isso que ela pega o tráfego de proxy que passou por todas as checagens de rede.
Sem ID de clique e um funil estranho
Uma visita vinda de um link pago quase sempre traz o ID de clique da plataforma (gclid, fbclid e afins). Se ele falta ou se repete em visitas diferentes, vale olhar mais de perto. Nas estatísticas, o tráfego de proxy se entrega com cliques que não convertem e, no caso de leads falsos, com leads que nunca atendem o telefone e nunca são aprovados. Como ligar um clique a uma conversão está no artigo click ID e SubID.
Por que os sinais devem ser somados, e não aplicados um a um
Cada sinal tem os seus falsos positivos:
| Sinal | Quem o gera além de um bot |
|---|---|
| Fuso não bate com o país | um viajante, um expatriado, alguém com configuração errada |
| Um endereço móvel em muitas visitas | assinantes comuns de uma operadora atrás de CGNAT |
| Marcação «proxy residencial» | uma pessoa real com um app com SDK de proxy no aparelho |
| Rajada de uma mesma sub-rede | um escritório, uma universidade, um alojamento estudantil |
| Sem ID de clique | um link encaminhado, um acesso pelos favoritos |
Se você cortar por qualquer um deles, o filtro vai derrubar compradores. Se cada um somar uma penalidade e a decisão for tomada pelo total, os erros de cada sinal se anulam. É assim que funcionam os sistemas maduros: um sistema antifraude monta uma pontuação de confiança, não uma lista de proibições. Por que as checagens de rede e de navegador se complementam está no artigo checagem por JavaScript ou bloqueio por IP.
Quanto o tráfego de proxy custa ao anunciante
O prejuízo tem várias partes, e o preço do clique é só a primeira.
- Cliques pagos. Uma conta simples: se em uma semana você tem 10 000 cliques a 0,40 dólar e 8% deles são visitas com sinais de proxy sem nenhuma conversão, 320 dólares foram para o ralo.
- Otimização estragada. As estratégias de lance automáticas aprendem com quem clica. Se muitos dos cliques são bots de proxy, o algoritmo continua comprando tráfego parecido, e a fatia de lixo cresce sozinha.
- Tratamento de leads falsos. Um lead falso custa mais que o pagamento ao afiliado: o call center gasta tempo com ele, o CRM o registra e ele é estornado na conciliação.
- Conclusões erradas sobre as campanhas. Uma campanha com tráfego de proxy parece «muitos cliques, CR baixo». Você desliga um criativo ou um geo quando o problema está na fonte.
Para ver o prejuízo em dinheiro, e não no olho, é preciso cruzar gasto, cliques e conversões de cada fonte. Como fazer isso e quais números olhar está nos artigos quanto orçamento se perde com bots e como calcular o ROI.
Como proteger o orçamento: passos práticos
- Corte proxies de servidor sem dó. Datacenters e hospedagens quase nunca trazem compradores no tráfego de anúncios: é uma primeira camada barata e confiável.
- Residenciais e móveis levam penalidade, não bloqueio. Marcação de proxy, fuso divergente e impressão digital repetida somam na pontuação, e a decisão é tomada pelo total.
- Ative a checagem de navegador e de comportamento. É a camada que não depende do IP. Sem ela, você fica quase indefeso contra proxies residenciais.
- Agrupe o log por sub-rede e ASN, não só por endereço. Rajadas de uma mesma faixa só aparecem assim.
- Olhe para a fonte, não para a visita isolada. Se um posicionamento ou zona tem várias vezes mais visitas suspeitas que o resto, desative-o na própria conta de anúncios: o filtro protege o seu funil, mas o clique já foi pago.
- Peça reembolso. As plataformas de anúncios devolvem o dinheiro de tráfego inválido comprovado, e um log com o motivo de cada clique é o seu principal argumento.
Como isso aparece no ArtisanClo
O ArtisanClo filtra tráfego de datacenter, VPN e proxy e, para endereços residenciais e móveis, usa os sinais de redes de proxy como parte da pontuação de confiança, junto com a checagem de navegador, o fuso horário, o idioma e o comportamento. Cada clique no log mostra o código do motivo da decisão: dá para abrir a visita e entender qual sinal disparou. O tracker embutido calcula gasto, conversões, lucro e ROI por campanha, então dá para ver quanto dinheiro foi para tráfego lixo e de qual fonte ele veio. A lista completa de checagens está na página de recursos.
Resumo
Proxies residenciais e móveis são o principal motivo pelo qual bloquear por IP deixou de ser proteção suficiente. O endereço dessa visita é honesto: um provedor doméstico ou uma operadora móvel no país certo. O que a entrega são as contradições: fuso e idioma errados, a mesma impressão digital em endereços diferentes, cliques em rajadas de uma mesma faixa, comportamento mecânico, nenhuma conversão. Nenhum sinal prova que é bot, mas a soma deles quase sempre prova. Corte proxies de servidor de imediato, penalize os residenciais e móveis, adicione uma checagem no navegador e conte o dinheiro por fonte, e o tráfego de proxy deixa de ser uma linha invisível no seu gasto.
