Proteção contra bots para ingressos: cambistas fora da venda

Uma abertura de vendas concorrida é o alvo perfeito para bots: um número fixo de lugares, um horário conhecido e um mercado de revenda que paga várias vezes o valor de face. O cambista não precisa vencer todos os fãs, só ser o primeiro, e software é mais rápido que gente.

O que os bots fazem numa abertura de vendas

Lotam a fila. Milhares de sessões entram numa sala de espera virtual ao mesmo tempo, então o cambista ocupa muitos lugares na fila e o fã ocupa um.
Seguram lugares. Bots colocam os melhores lugares no carrinho e deixam a reserva expirar, repetidas vezes, e os fãs veem o evento "esgotado" sem nada vendido.
Compram em lote. Scripts espalham as compras por muitas contas e cartões para passar dos limites por cliente.
Vigiam as liberações. Lugares liberados e devolvidos são comprados por scripts que atualizam a página do evento o dia inteiro.

Quanto custa

Fãs irritados que culpam a casa, artistas que veem os ingressos em sites de revenda na mesma manhã, filas de suporte cheias de reclamação e a conta de infraestrutura de um tráfego que nunca converte. Em muitos mercados, leis contra bots de ingressos também pressionam quem vende a mostrar que está agindo.

Os sinais

Entradas na fila vindas de datacenters e de pools de proxies residenciais, muitas por dispositivo ou token.
Sessões que entram na fila sem ter carregado a página do evento.
Reservas que expiram repetidas vezes, do mesmo dispositivo.
Ritmo de máquina: os mesmos passos nos mesmos intervalos, sessão após sessão.

Onde consultar

Consulte o Bot Protection nos três momentos que importam, do seu servidor, com um timeout curto:

Entrada na fila: recuse bot_high; mande bot para o fim da fila ou peça um celular verificado.
Reserva do lugar: recuse bot_high; dê a bot uma reserva mais curta.
Checkout: recuse bot_high; peça a bot 3-D Secure ou uma passkey.

Envie como feedback os pedidos concluídos e os chargebacks: um fã que pagou e foi ao show é a prova mais forte de uma pessoa, e isso deixa a próxima venda melhor para ele.

A decisão é fail-open: se o Bot Protection ficar lento na noite mais movimentada do ano, a venda continua. Veja por que uma checagem de bots precisa ser fail-open.