Una prueba gratis es una apuesta: regalas unos días de tu producto y esperas que se queden las personas adecuadas. El abuso de pruebas gratis es cuando la misma persona, o el mismo script, vuelve a hacer la apuesta una y otra vez. Un email nuevo, una cuenta nueva, otros 14 días u otro lote de créditos gratis. El mercado lo llama multi-accounting o abuso de promociones (promo abuse); para ti es un coste que crece con cada cuenta nueva y nunca se paga.
Cómo funciona el abuso de pruebas gratis
- A mano. Una persona se vuelve a registrar con otra dirección cuando termina la prueba. Los alias de email (
nombre+1@) y los buzones desechables hacen que tarde segundos. - Con un script. Un bot de registro crea cuentas por lotes, cada una para recoger créditos gratis, cuota de API o tokens de IA, a menudo para revenderlos.
- Con una granja. Navegadores anti-detect y proxies residenciales dan a cada cuenta un fingerprint y una IP nuevos, así que las cuentas parecen no tener relación a primera vista.
El primero es una molestia. El segundo y el tercero son donde se va el dinero, y donde más pierde un producto que regala compute, almacenamiento o llamadas a un modelo.
Qué delata el multi-accounting
Quien abusa puede cambiar el email, la IP y el fingerprint del navegador. Lo difícil es cambiar todo lo demás, para cada cuenta, a la vez y de forma coherente:
- Un dispositivo, muchas cuentas. El mismo navegador detrás de varias redes, o un token de sesión usado desde varios sitios.
- Un fingerprint, muchas sesiones. Un navegador anti-detect que reutiliza un perfil aparece en muchas sesiones y muchas subredes.
- Sesiones nuevas seguidas. Diez sesiones nuevas desde una subred y un User-Agent en pocos minutos no son un hogar.
- Cómo se rellenó el formulario. Las personas mueven el ratón o tocan la pantalla y escriben tecla a tecla; los scripts pegan el texto y hacen clic sin moverse.
- Un navegador que se contradice. Un User-Agent que dice un sistema mientras el navegador informa otro.
Ninguna de estas señales es prueba por sí sola, y una VPN sola nunca lo es. Juntas, en una ventana de minutos, son el aspecto de una granja.
Comprueba en el registro, actúa sobre la recompensa
Pide una decisión en tu servidor, antes de crear la cuenta, con la IP del visitante, el User-Agent y el token que dejó la etiqueta en el navegador. Luego decide qué recibe la cuenta, no solo si existe:
- bot high: rechaza el registro.
- bot: crea la cuenta sin los créditos gratis; dáselos cuando se verifique el email, haya una tarjeta registrada o un teléfono confirmado.
- unknown, human, human high: la prueba completa, como siempre.
Retener la recompensa, en lugar de bloquear el formulario, mantiene bajo el coste de un error: un cliente potencial real con una configuración rara entra igualmente y solo espera los créditos. Un script que no puede cobrarlos no tiene motivo para volver.
Cierra el ciclo
Cuando una cuenta se convierte en cliente de pago, díselo a Bot Protection con feedback; cuando una resulta ser abuso, díselo también. Las siguientes visitas de un buen cliente ganan confianza; un dispositivo ligado al abuso, no. Y guarda la clase con cada cuenta nueva, para que la conversión de tu prueba se mida en personas, no en scripts.
Que falle en abierto
La comprobación está en tu registro, así que nunca puede tumbar el registro. Usa un timeout corto y deja pasar al visitante ante cualquier error: unas pruebas de más durante una caída cuestan menos que una página de registro que deja de funcionar. Más en por qué una comprobación de bots debe hacer fail-open.