Um trial grátis é uma aposta: você entrega alguns dias do produto e espera que as pessoas certas fiquem. Abuso de trial grátis é quando a mesma pessoa, ou o mesmo script, faz a aposta de novo e de novo. Um email novo, uma conta nova, mais 14 dias ou mais um lote de créditos grátis. O mercado chama isso de multi-accounting ou abuso de promoção (promo abuse); para você é um custo que cresce a cada conta nova e nunca se paga.
Como funciona o abuso de trial grátis
- À mão. Uma pessoa se cadastra de novo com outro endereço quando o trial acaba. Aliases de email (
nome+1@) e caixas descartáveis fazem isso levar segundos. - Com um script. Um bot de cadastro cria contas em lote, cada uma para coletar créditos grátis, cota de API ou tokens de IA, muitas vezes para revender.
- Com uma fazenda. Navegadores anti-detect e proxies residenciais dão a cada conta um fingerprint e um IP novos, então as contas parecem não ter relação à primeira vista.
O primeiro caso é um incômodo. O segundo e o terceiro são onde o dinheiro vai embora, e onde um produto que entrega compute, armazenamento ou chamadas de modelo perde mais.
O que entrega o multi-accounting
Quem abusa consegue trocar o email, o IP e o fingerprint do navegador. O difícil é mudar todo o resto, para cada conta, ao mesmo tempo e de forma consistente:
- Um dispositivo, muitas contas. O mesmo navegador atrás de várias redes, ou um token de sessão usado de vários lugares.
- Um fingerprint, muitas sessões. Um navegador anti-detect que reaproveita um perfil aparece em muitas sessões e muitas sub-redes.
- Sessões novas em sequência. Dez sessões novas da mesma sub-rede e do mesmo User-Agent em poucos minutos não são uma casa.
- Como o formulário foi preenchido. Pessoas mexem o mouse ou tocam a tela e digitam tecla por tecla; scripts colam o texto e clicam sem se mover.
- Um navegador que se contradiz. Um User-Agent que diz um sistema enquanto o navegador informa outro.
Nenhum desses sinais sozinho é prova, e uma VPN sozinha nunca é. Juntos, numa janela de minutos, são a cara de uma fazenda.
Verifique no cadastro, aja sobre a recompensa
Peça uma decisão no seu servidor, antes de criar a conta, com o IP do visitante, o User-Agent e o token que a tag deixou no navegador. Depois decida o que a conta recebe, não só se ela existe:
- bot high: recuse o cadastro.
- bot: crie a conta sem os créditos grátis; libere-os quando o email for verificado, houver um cartão cadastrado ou um telefone confirmado.
- unknown, human, human high: o trial completo, como sempre.
Segurar a recompensa, em vez de bloquear o formulário, mantém baixo o custo de um erro: um potencial cliente de verdade com uma configuração estranha entra mesmo assim e só espera pelos créditos. Um script que não consegue coletá-los não tem motivo para voltar.
Feche o ciclo
Quando uma conta vira cliente pagante, avise o Bot Protection com feedback; quando uma se revela abuso, avise também. As próximas visitas de um bom cliente ganham confiança; um dispositivo ligado a abuso, não. E grave a classe junto com cada conta nova, para que a conversão do seu trial seja medida em pessoas, não em scripts.
Mantenha o fail-open
A verificação fica no seu cadastro, então ela nunca pode derrubar o cadastro. Use um timeout curto e deixe o visitante passar em qualquer erro: alguns trials a mais durante uma queda custam menos do que uma página de cadastro que para de funcionar. Mais em por que uma verificação de bots precisa fazer fail-open.