Proxy e bots de navegação: tráfego inválido sofisticado

Nem todo visitante do seu site é uma pessoa. Parte do tráfego da internet vem de robôs, alguns úteis, como os rastreadores de mecanismos de busca, e outros criados para fraudar a publicidade. O problema é que os bots fraudulentos não se apresentam como robôs. Eles se escondem atrás de proxies, simulam navegadores reais, movem o mouse, rolam a página e até clicam em anúncios. Para o anunciante, parecem humanos. Para o ecossistema, são um rombo.

Este é o quarto artigo da série sobre políticas do Google e combate à fraude programática. Nos artigos anteriores, falamos das políticas do AdSense e do Ad Manager sobre tráfego inválido, do trabalho de IAB e Google contra a fraude e do cloaking. Agora vamos entender a infraestrutura que alimenta boa parte do tráfego inválido sofisticado.

Bots bons, bots ruins

Antes de tudo, é importante separar os tipos de automação:

Tipo	Exemplo	Impacto em anúncios
Bots declarados e úteis	Googlebot, crawlers de SEO, monitores de disponibilidade	Filtrados como tráfego inválido geral (GIVT), sem cobrança ao anunciante
Bots não declarados de baixa sofisticação	Scripts simples rodando em data centers	Detectados por listas de IP e parâmetros técnicos
Bots sofisticados	Navegadores automatizados, emulação de comportamento, proxies residenciais	Classificados como tráfego inválido sofisticado (SIVT), exigem análise avançada
Dispositivos sequestrados	Computadores, celulares e TV boxes infectados com malware	Geram tráfego a partir de IPs e aparelhos reais, difíceis de separar de humanos

Os bots declarados estão na IAB/ABC International Spiders & Bots List, mantida pelo IAB Tech Lab em parceria com o ABC e usada por plataformas para filtrar automaticamente esse tráfego. O desafio está nos outros três grupos.

O que é um proxy e por que ele é usado em fraudes

Um proxy é um intermediário: em vez de acessar o site diretamente, o tráfego passa por outro servidor, que aparece como origem da visita. Proxies e VPNs têm usos legítimos, privacidade, segurança corporativa, acesso remoto. Mas, na fraude publicitária, eles servem para esconder a verdadeira origem do tráfego.

Existem alguns tipos principais:

Proxies de data center: IPs de provedores de hospedagem e nuvem. São baratos e rápidos, mas fáceis de identificar, porque pessoas comuns raramente navegam a partir de data centers.
Proxies residenciais: IPs de conexões domésticas reais, muitas vezes obtidos por aplicativos que “compartilham banda” do usuário ou por malware. São muito mais difíceis de detectar, pois parecem visitantes legítimos de casas reais.
Proxies móveis: IPs de operadoras de celular, compartilhados por muitas pessoas ao mesmo tempo, o que dificulta bloquear sem atingir humanos.
Redes de dispositivos infectados (botnets): o tráfego sai do próprio aparelho da vítima, que muitas vezes nem sabe que está participando.

O caso 3ve, desmantelado em 2018 com participação do Google, de empresas de segurança e do FBI, mostrou como essas peças se combinam: a operação usava servidores em data centers, redes de computadores infectados e técnicas para disfarçar a origem do tráfego, falsificando visitas em escala. Mais recentemente, investigações sobre dispositivos Android de baixo custo infectados de fábrica, como a rede chamada BADBOX 2.0, levaram o Google a mover ação judicial em 2025 contra os operadores.

Como funcionam os bots de navegação

Os bots modernos não se limitam a baixar uma página. Eles usam navegadores reais em modo automatizado (os chamados headless browsers ou ferramentas de automação de testes) para executar JavaScript, carregar anúncios e imitar comportamento humano. Entre as técnicas comuns estão:

Simulação de mouse e rolagem, com movimentos aleatórios para parecer natural.
Rotação de impressões digitais: mudança de user agent, resolução, fuso horário, idioma e fontes a cada sessão.
Cookies “envelhecidos”: o bot navega por sites populares antes de chegar ao alvo para criar um histórico que o torne mais valioso para anunciantes.
Rotação de IP por meio de proxies residenciais ou móveis.
Cliques ocasionais em anúncios, distribuídos para não chamar atenção.
Visitas em sequência a várias páginas para inflar páginas por sessão.

O objetivo é sempre o mesmo: produzir impressões e cliques que pareçam valiosos para um comprador automatizado.

Quem ganha com esse tráfego

O tráfego de bots costuma chegar ao publisher de três formas:

Fraude deliberada: o dono do site compra ou opera bots para inflar receita. É violação direta das políticas e leva à suspensão.
Tráfego comprado de má qualidade: o publisher compra visitas baratas de um fornecedor que, por trás, usa bots e proxies. O publisher pode até não saber, mas é responsável pelo tráfego que leva aos anúncios.
Ataques e ruído: concorrentes, scrapers ou bots de terceiros visitam o site sem intenção de fraude, mas geram impressões que serão filtradas.

Nos três casos, o resultado prático é parecido: deduções de receita, limitação de veiculação e, nos casos graves, encerramento da conta. As Políticas do programa AdSense citam explicitamente ferramentas de clique automatizado, robôs e softwares enganosos como fontes de tráfego inválido.

Por que bots e proxies prejudicam todo o ecossistema

Distorcem os dados

Campanhas otimizadas automaticamente aprendem com cliques e conversões. Quando parte desse sinal é falso, os algoritmos passam a investir nas fontes erradas. O anunciante perde dinheiro duas vezes: pelo clique inválido e pela otimização desviada.

Derrubam o preço do inventário

Quando uma categoria de sites, um país ou um tipo de dispositivo concentra muito tráfego suspeito, os compradores reduzem lances para todos. É por isso que publishers honestos de nichos ou regiões associados a fraude sentem o CPM cair sem motivo aparente.

Elevam o custo de verificação

Cada nova técnica de evasão exige mais investimento em detecção, filtragem e auditoria. Esse custo é repassado à cadeia e reduz a parcela da verba que efetivamente chega ao publisher.

Expõem usuários reais

Proxies residenciais e botnets usam aparelhos de pessoas comuns, muitas vezes por meio de aplicativos maliciosos. A fraude publicitária financia a infecção de dispositivos e o comércio de dados.

Como o Google detecta proxies e bots

O Google combina diversas camadas de proteção, detalhadas no site Ad Traffic Quality e no artigo Como a IA ajuda o Google a prevenir fraudes:

Listas e reputação de IP: identificação de data centers, proxies conhecidos e redes associadas a fraude.
Análise de comportamento: padrões de clique, intervalos de tempo, sequência de páginas e interações que fogem do humano.
Coerência técnica: diferenças entre o que o navegador diz ser e como ele realmente se comporta.
Modelos estatísticos em escala: comparação do seu tráfego com bilhões de eventos de outros sites.
Investigação humana e cooperação com a indústria e autoridades.

O MRC, como vimos no artigo sobre IAB e Google, exige que plataformas credenciadas filtrem tanto o GIVT quanto o SIVT, o que significa que esse tráfego tende a ser descontado mesmo quando passa despercebido no seu painel.

Sinais de alerta no seu tráfego

Use o Google Analytics 4 e os relatórios das plataformas para procurar padrões como:

Picos repentinos de sessões vindos de um único país, cidade, provedor ou dispositivo.
Sessões com duração muito curta ou exatamente iguais.
Taxa de engajamento muito baixa combinada com muitas páginas por sessão.
Tráfego direto ou de referência desconhecida crescendo sem explicação.
Resoluções de tela, versões de navegador ou sistemas operacionais incomuns concentrados.
CTR de anúncios muito acima da média do site.
Diferença grande entre sessões do GA4 e impressões pagas nas plataformas.

Um único sinal pode ter explicação legítima. Vários ao mesmo tempo merecem investigação imediata.

O que fazer para se proteger

Conheça as fontes do seu tráfego e segmente tudo com UTMs.
Evite fornecedores de “visitas garantidas” e pacotes de tráfego baratos demais.
Bloqueie bots indesejados no nível do servidor ou de um firewall de aplicação, sem bloquear rastreadores legítimos.
Teste fontes novas em pequena escala e compare métricas de engajamento antes de escalar.
Use o formulário de tráfego inválido do Google para relatar atividade suspeita que você identificar.
Registre alterações de campanhas e de tráfego para explicar picos em caso de revisão.
Mantenha o ads.txt atualizado para que ninguém venda seu inventário de forma fraudulenta.

Perguntas frequentes

Visitantes que usam VPN geram tráfego inválido?

Não necessariamente. Muitas pessoas usam VPN por privacidade ou por exigência do trabalho. O que as plataformas avaliam é o conjunto de sinais: uma visita isolada via VPN com comportamento humano é diferente de milhares de sessões idênticas saindo de poucos provedores. Por isso, o publisher não precisa bloquear VPNs, mas deve observar padrões anormais.

Devo bloquear todos os IPs de data center no meu site?

Bloquear tudo pode atrapalhar rastreadores legítimos, ferramentas de monitoramento e serviços úteis. O mais seguro é permitir crawlers conhecidos, como o Googlebot, e aplicar regras de limitação e desafio para acessos suspeitos. Os anúncios exibidos para data centers já tendem a ser filtrados pelas plataformas, mas reduzir esse ruído melhora a leitura das suas métricas.

Se o Google já filtra os bots, por que me preocupar?

Porque o filtro protege o anunciante, não a sua conta. Quando o volume de tráfego inválido é alto ou persistente, o Google pode limitar a veiculação ou encerrar a conta, mesmo que as impressões fraudulentas não tenham sido cobradas. Além disso, os bots distorcem seus relatórios e fazem você tomar decisões erradas sobre conteúdo e aquisição.

Como saber se um fornecedor de tráfego usa bots?

Peça transparência sobre a origem das visitas, teste com orçamento pequeno e compare com fontes que você conhece. Engajamento muito baixo, sessões idênticas, picos em horários improváveis e preços muito abaixo do mercado são sinais de que o tráfego não é humano.

Conclusão

Proxies e bots de navegação são a espinha dorsal do tráfego inválido sofisticado. Eles se disfarçam de visitantes reais, consomem verba dos anunciantes, distorcem algoritmos e derrubam o valor do inventário de todos os publishers. A boa notícia é que Google, IAB, MRC e TAG trabalham juntos para identificar esses padrões, e o publisher que conhece suas fontes de tráfego e age rápido diante de sinais estranhos fica do lado certo dessa história.

No próximo artigo, vamos falar de pay to surf e pay to click, modelos em que pessoas reais são pagas para navegar ou clicar, e por que isso também é tráfego inválido.

Referências

Série: políticas do Google e combate à fraude programática

Políticas do AdSense e do Ad Manager contra tráfego inválido
IAB, Google e o combate à fraude programática
Cloaking: quando a página mostra uma coisa e entrega outra
Proxy e bots de navegação: o tráfego que não é humano (você está aqui)
Pay to surf e pay to click: o tráfego pago para clicar (publicação em 15/10)
Navegação enganosa e promessa falsa (publicação em 16/10)
Checklist antifraude para publishers (publicação em 17/10)