IAB, Google e o combate à fraude programática

Nenhuma empresa sozinha consegue acabar com a fraude na publicidade digital. A mídia programática envolve anunciantes, agências, DSPs, SSPs, redes, publishers e ferramentas de verificação, todos trocando dados em frações de segundo. Por isso, a resposta mais eficaz contra a fraude veio da cooperação: padrões técnicos abertos, certificações, auditorias independentes e ações coordenadas contra grandes redes criminosas. Nesse esforço, dois nomes aparecem o tempo todo: o IAB e o Google.

Este é o segundo artigo da série sobre políticas do Google e combate à fraude programática. No primeiro artigo, explicamos o que o AdSense e o Ad Manager consideram tráfego inválido. Agora vamos entender como a indústria se organizou para enfrentar o problema e o que isso muda na rotina do publisher.

Por que a fraude programática é tão difícil de combater

Na compra direta, o anunciante sabe exatamente em qual site está comprando. Na programática, a impressão pode passar por vários intermediários antes de chegar ao comprador. Essa complexidade abriu espaço para três grandes tipos de fraude:

Falsificação de domínio (domain spoofing): o fraudador vende inventário de um site desconhecido dizendo que é de um portal premium.
Tráfego não humano: bots, data centers, proxies e dispositivos infectados geram impressões e cliques.
Manipulação de experiência: cloaking, anúncios empilhados, pixels invisíveis, navegação enganosa e incentivos para cliques.

Casos como o Methbot, revelado em 2016, mostraram o tamanho do problema: a operação usava servidores em data centers para simular visitas humanas e falsificava milhares de domínios premium, faturando milhões de dólares por dia, segundo os pesquisadores que a descobriram. Em 2018, a operação conhecida como 3ve foi desmantelada em uma ação conjunta que envolveu Google, empresas de segurança e o FBI, resultando em acusações formais nos Estados Unidos. Esses casos aceleraram a adoção de padrões comuns.

IAB e IAB Tech Lab: os padrões da cadeia

O Interactive Advertising Bureau (IAB) reúne empresas de mídia, tecnologia e publicidade. O braço técnico, o IAB Tech Lab, desenvolve especificações abertas usadas por praticamente toda a programática. No Brasil, o IAB Brasil atua na educação do mercado e na adaptação dessas boas práticas à realidade local. Os padrões mais importantes para o combate à fraude são:

ads.txt e app-ads.txt

O ads.txt (Authorized Digital Sellers) é um arquivo de texto publicado na raiz do domínio que lista quem está autorizado a vender o inventário daquele site. Quando um comprador recebe uma oferta dizendo ser de um determinado site, ele pode verificar se o vendedor aparece no ads.txt. Se não aparecer, a impressão provavelmente é falsificada. O app-ads.txt aplica a mesma lógica a aplicativos. A versão 1.1 da especificação adicionou campos como OWNERDOMAIN e MANAGERDOMAIN, que deixam mais claro quem é o dono do inventário e quem o gerencia.

O Google trata o ads.txt como peça central: o AdSense alerta quando o arquivo está ausente ou incompleto, e o Ad Manager permite que compradores filtrem inventário não autorizado.

sellers.json

Se o ads.txt diz “quem pode vender meu inventário”, o sellers.json diz “quem são os vendedores que eu represento”. SSPs e redes publicam esse arquivo listando os publishers e intermediários com quem trabalham, indicando se cada um é dono do inventário (PUBLISHER) ou intermediário (INTERMEDIARY). O comprador consegue cruzar as informações e identificar contas suspeitas.

SupplyChain Object (schain)

O SupplyChain Object registra, dentro de cada solicitação de lance, todos os elos pelos quais aquela impressão passou. Juntos, ads.txt, sellers.json e schain criam uma trilha auditável do publisher até o comprador. Uma impressão com cadeia incompleta ou inconsistente perde valor e tende a ser rejeitada.

Outras iniciativas

O IAB Tech Lab também mantém, em parceria com o ABC, a IAB/ABC International Spiders & Bots List, referência usada por plataformas para filtrar robôs declarados, além de trabalhar em especificações como o ads.cert, voltado à autenticação criptográfica de solicitações.

TAG: certificação contra fraude

O Trustworthy Accountability Group (TAG) foi criado em 2014 pela ANA, pelos 4A’s e pelo IAB para combater atividades criminosas na publicidade digital. Seu programa mais conhecido é o selo Certified Against Fraud, concedido a empresas que adotam um conjunto de controles: filtragem de tráfego inválido conforme padrões do MRC, uso de ads.txt, listas de data centers, nomeação de um responsável por compliance, entre outros.

O TAG também publica estudos sobre fraude em canais certificados e mantém registros e listas que ajudam a indústria a identificar participantes legítimos. Para um publisher ou uma rede, trabalhar com parceiros certificados reduz o risco de comprar ou vender tráfego contaminado.

MRC: como medir e filtrar tráfego inválido

O Media Rating Council (MRC) é o órgão que audita e credencia medições de mídia nos Estados Unidos. Suas diretrizes de detecção e filtragem de tráfego inválido, publicadas em 2015 e atualizadas depois, criaram a divisão usada até hoje:

Categoria	Definição	Como é detectada
GIVT	Tráfego inválido geral	Listas de bots conhecidos, IPs de data center, parâmetros técnicos
SIVT	Tráfego inválido sofisticado	Análise comportamental, modelos estatísticos, investigação humana

A distinção é importante porque mostra que filtrar bots declarados é só o começo. O verdadeiro desafio está no SIVT: bots que imitam humanos, proxies residenciais, dispositivos sequestrados, cloaking e manipulação de atribuição.

Google: tecnologia, políticas e ação contra fraudadores

O Google atua em várias frentes ao mesmo tempo:

Políticas: as regras do AdSense, do Ad Manager e as Políticas para Publishers definem o que é proibido e as consequências.
Detecção: equipes de qualidade de tráfego combinam filtros automáticos, aprendizado de máquina e revisão humana. Detalhamos isso em Como a IA ajuda o Google a prevenir fraudes na mídia programática.
Padrões: o Google adota ads.txt, sellers.json e schain em suas plataformas e mantém credenciamentos de medição junto ao MRC.
Transparência: o site Google Ad Traffic Quality reúne informações sobre como a empresa trata tráfego inválido e as investigações que realiza.
Ação legal e cooperação: além de participar da operação contra o 3ve, o Google moveu ações judiciais contra operadores de redes de fraude, como no caso de dispositivos infectados de fábrica conhecidos como BADBOX 2.0, em 2025.

Para o publisher, a mensagem é clara: as plataformas do Google conversam com o resto da indústria. Um inventário mal declarado, uma fonte de tráfego duvidosa ou uma página com comportamento enganoso tende a ser detectado por mais de um sistema.

O que isso muda para o publisher

Os padrões da indústria parecem coisa de grandes empresas, mas afetam diretamente a receita de qualquer site:

Sem ads.txt correto, você perde demanda. Muitos compradores simplesmente não dão lance em inventário não autorizado.
Revendas não declaradas viram suspeita. Se você trabalha com várias redes, cada uma precisa estar listada corretamente e o seu ID deve aparecer no sellers.json delas.
Parceiros importam. Trabalhar com redes e parceiros certificados, como os que operam via MCM do Google, traz exigências de qualidade, mas também acesso a melhor demanda.
Tráfego comprado é auditado indiretamente. Mesmo que você confie na fonte, o verificador do anunciante pode classificar aquelas visitas como inválidas e a DSP pode bloquear seu domínio.
Dados precisam bater. Diferenças grandes entre sessões do GA4, solicitações de anúncio e impressões pagas são um sinal que vale investigar.

Checklist rápido de conformidade com os padrões

Publique o ads.txt na raiz do domínio e revise sempre que trocar de parceiro.
Remova linhas de vendedores com quem você não trabalha mais.
Confira se o seu ID de publisher aparece no sellers.json do Google e dos parceiros.
Evite cadeias longas de revenda sem necessidade.
Prefira parceiros com certificação TAG ou processos equivalentes de filtragem.
Documente as fontes de tráfego pago e acompanhe a qualidade de cada uma.
Mantenha o site seguro para que ninguém injete scripts ou redirecionamentos sem você saber.

A fraude evolui, e os padrões também

Cada avanço da indústria provoca uma adaptação dos fraudadores. Quando o ads.txt reduziu a falsificação de domínio, a fraude migrou para técnicas que usam domínios reais: sites montados para receber tráfego de bots, páginas com cloaking, arbitragem com tráfego incentivado e dispositivos sequestrados. É por isso que a série continua com os principais tipos de fraude que o publisher precisa conhecer e evitar. O próximo artigo trata do cloaking, técnica que mostra um conteúdo para os sistemas de revisão e outro para o usuário.

Perguntas frequentes

Ter ads.txt garante que meu site está livre de fraude?

Não. O ads.txt resolve um problema específico: impede que terceiros vendam inventário falsamente em nome do seu domínio. Ele não impede que o seu próprio site receba bots, tráfego incentivado ou que alguém aplique cloaking em páginas suas. É uma camada de proteção, não a proteção inteira.

O publisher pequeno precisa se preocupar com TAG e MRC?

Diretamente, raramente. Mas os parceiros que compram e vendem o seu inventário seguem esses padrões. Na prática, os filtros certificados pelo MRC e os controles exigidos pelo TAG é que decidem se as suas impressões serão pagas ou descontadas como tráfego inválido.

Por que o Google desconta receita mesmo quando eu não fiz nada errado?

Porque a política protege o anunciante, que não deve pagar por interações não genuínas, independentemente de quem as causou. Por isso é tão importante monitorar as fontes de tráfego e agir rápido quando algo foge do padrão: o publisher é responsável pelo tráfego que leva aos anúncios.

Conclusão

O combate à fraude programática é uma construção coletiva. O IAB Tech Lab cria os padrões, o TAG certifica quem segue boas práticas, o MRC define como medir e filtrar tráfego inválido e o Google aplica tudo isso em escala, com tecnologia, políticas e ações contra fraudadores. Para o publisher, aderir a esses padrões não é apenas obrigação: é o que garante acesso à melhor demanda e preços mais altos. Um inventário transparente vale mais.

Referências

Série: políticas do Google e combate à fraude programática

Políticas do AdSense e do Ad Manager contra tráfego inválido
IAB, Google e o combate à fraude programática (você está aqui)
Cloaking: quando a página mostra uma coisa e entrega outra (publicação em 13/10)
Proxy e bots de navegação: o tráfego que não é humano (publicação em 14/10)
Pay to surf e pay to click: o tráfego pago para clicar (publicação em 15/10)
Navegação enganosa e promessa falsa (publicação em 16/10)
Checklist antifraude para publishers (publicação em 17/10)