Como um cloaker detecta bots e spy tools
Veja como um cloaker detecta bots e spy tools: user-agent, cabeçalhos, país, idioma, VPN e celular emulado, com o motivo de cada decisão no log.
Um cloaker detecta bots e spy tools comparando os sinais de cada acesso (user-agent, cabeçalhos do navegador, origem, país, idioma, dispositivo e rede) com uma sequência de regras. A primeira regra que barra o acesso define o destino: página safe, página isca ou, se nada barrar, a página real. No Cloakfy cada decisão fica registrada com o motivo.
Esse filtro não é detalhe. Nos dados do próprio Cloakfy, de 177.649 acessos processados, 101.407 eram bots, como mostramos no guia Cloaker: o que é, como funciona e como escolher. Mais da metade do que bate em um link de anúncio não é gente.
Quais sinais um cloaker lê em cada acesso?
Tudo o que o navegador ou o programa envia junto com o pedido da página, mais o que a rede informa:
- User-agent: o texto em que o cliente se identifica (navegador, sistema, aplicativo ou robô).
- Cabeçalhos de idioma: um navegador de pessoa quase sempre informa os idiomas aceitos.
- Referer: de onde o clique veio, quando o navegador informa.
- País, estimado pelo endereço IP.
- Tipo de dispositivo: celular, tablet ou computador, deduzido do user-agent.
- Client Hints: cabeçalhos que navegadores baseados em Chromium enviam com a plataforma real e se o aparelho é móvel.
- Caminho de rede: sinais de que o pedido passou por intermediários, como proxy ou VPN.
- Parâmetros do link: token ou chave que você pode exigir na URL do anúncio.
Nenhum desses sinais decide sozinho. Cada um pode ser falsificado por quem sabe o que faz. O valor está na combinação e na ordem das regras.
Em que ordem as regras são avaliadas?
A ordem importa porque a avaliação para na primeira regra que barra. No Cloakfy, a mesma lógica roda no tráfego real e no botão Testar cloaker, então o teste mostra exatamente o que o link faria. A sequência é esta:
- Forçar safe: se você ligou esse modo, todo mundo vê a página safe, sem mais perguntas.
- Token no link: se a campanha exige um token na URL e ele não veio ou está errado, o acesso vai para a safe.
- Spy tools: acesso identificado como ferramenta de espionagem vai para a página isca.
- Situação da conta e cota: conta inativa ou limite de cliques do mês atingido mandam o tráfego para a safe.
- User-agent de robô: crawlers de plataformas, pré-visualizadores de link de aplicativos de mensagem, navegadores automatizados e ferramentas de auditoria de site.
- Celular emulado: user-agent de celular com sinais de computador por baixo.
- Origem suspeita: clique vindo de biblioteca de anúncios ou de site de espionagem.
- Computador sem cabeçalho de idioma: comportamento típico de script, não de navegador.
- Filtros que você liga: país, idioma, dispositivo, VPN ou proxy, lista de países bloqueados e lista própria de user-agents.
- Chave na URL: se você exige uma chave no link, ela é conferida por último.
Se nenhuma regra barrar, o visitante é tratado como humano e segue para a página real.
Como um robô é reconhecido pelo user-agent?
A maioria dos robôs se apresenta. Crawlers de plataformas de anúncio, de buscadores e de redes sociais usam nomes próprios no user-agent, assim como ferramentas de linha de comando, bibliotecas de automação e serviços que medem velocidade de site. O cloaker mantém uma relação desses identificadores e compara com cada acesso.
O limite é evidente: um robô que copia o user-agent de um navegador comum não cai nessa regra. Por isso ela é só a primeira camada, e as seguintes olham para o que é mais difícil de imitar por inteiro. Não publicamos a relação de identificadores, porque ela serviria de roteiro para quem quer passar pelo filtro.
Para que servem os filtros de país, idioma e dispositivo?
Eles não detectam robô, eles definem o seu público. Se a campanha é para o Brasil, um clique de outro continente dificilmente é cliente. Se o anúncio roda só em celular, um acesso de computador merece desconfiança.
Há dois modos para país: lista de permitidos e lista de bloqueados. Quando o filtro de país está ligado e o país do acesso não pode ser identificado, o visitante é tratado como fora da lista. Idioma e dispositivo funcionam com lista de permitidos.
O risco aqui é o exagero. Filtro apertado demais manda cliente de verdade para a página safe. Esse é um dos casos descritos em 9 erros comuns do cloaker.
Como o bloqueio de VPN e proxy funciona?
Quando ligado, o bloqueio procura no pedido sinais de que ele passou por mais de um intermediário antes de chegar, o que é comum em proxy e VPN. É uma heurística, e convém saber dos dois lados: ela barra muito acesso automatizado e de datacenter, mas também pode barrar uma pessoa que usa VPN por privacidade ou que navega atrás da rede de uma empresa. Decida pelo perfil do seu público, e de preferência teste antes em Modo Sombra.
Como o cloaker percebe um celular emulado no DevTools?
O modo dispositivo do Chrome troca o user-agent para o de um celular, mas não troca tudo. Navegadores baseados em Chromium enviam Client Hints, cabeçalhos que informam a plataforma real. Quando o user-agent diz iPhone e o cabeçalho de plataforma diz computador, existe uma contradição que um aparelho de verdade não produz. O Safari do iPhone, por exemplo, não envia esses cabeçalhos.
A regra só dispara quando há sinal positivo de computador por baixo de um user-agent de celular, justamente para não barrar aparelho real. O limite honesto: ela pega a emulação do Chrome e de outros navegadores Chromium. Firefox e Safari não enviam Client Hints, então a emulação feita neles não aparece por esse caminho.
Efeito prático para você: abrir o próprio link no modo dispositivo do DevTools leva à página safe. Não é defeito.
O que acontece com as spy tools?
Ferramentas de espionagem de anúncios coletam criativos e páginas de destino para revender a concorrentes. O Cloakfy as identifica pelo user-agent e pela origem do acesso e, em vez da safe, entrega uma página isca. A detecção de spy tools vem ligada por padrão e é avaliada antes das demais regras de robô.
A separação tem motivo: quem monitora um link várias vezes compara o que recebe. Combinada com a rotação de páginas safe, a isca dificulta que alguém conclua qual é a sua página de oferta. Nos relatórios esses acessos aparecem separados dos bots, em uma métrica própria.
O que é o Modo Sombra?
É uma forma de testar uma regra sem aplicá-la. Em Modo Sombra, o filtro roda em cada acesso e registra o que faria, mas ninguém é desviado. Na tela de métricas do cloaker você vê quantos acessos seriam desviados e quantos deles pareciam humanos. Se a maioria dos desviados passou na detecção de robô, a regra está cortando cliente e é melhor revisar. Se quase todos não pareciam gente, você liga de vez.
É o jeito mais seguro de ativar filtros agressivos, como VPN e dispositivo, em uma campanha que já está vendendo. Veja em /planos em qual plano ele está disponível.
Como ler o log com o motivo de cada decisão?
Cada acesso gera uma linha com data, país, dispositivo, status (passou, bloqueado ou spy tool) e o motivo. Abrindo o detalhe, você vê os sinais coletados (com o IP mascarado) e a lista de regras: qual estava ligada, qual passou e qual foi decisiva. As regras depois da decisiva aparecem como não avaliadas.
Isso transforma dúvida em diagnóstico. Em vez de supor que o cloaker está bloqueando demais, você lê que o motivo foi o filtro de idioma ou o país. A leitura das métricas e da origem do clique está em métricas do cloaker e UTM.
Limites da detecção
Nenhum filtro acerta sempre. Um robô que imita bem um navegador, usa IP residencial e idioma coerente pode passar. Um humano com VPN pode ser barrado. Revisão manual feita por uma pessoa em um celular comum é, do ponto de vista dos sinais, um visitante normal.
Por isso o Cloakfy não promete ser impossível de detectar, e nenhuma ferramenta honesta promete. Usar um cloaker para mostrar ao revisor algo diferente do que o usuário vê viola as políticas de anúncio da Meta, do TikTok e do Google, e o risco de reprovação e de suspensão de conta continua existindo. Esse lado está detalhado em cloaker é seguro?.
Para testar sem gastar, crie uma conta: o plano grátis tem 1 cloaker e 1.000 cliques por mês, sem cartão. Os limites dos outros planos estão em /planos.
Perguntas frequentes
Como um cloaker sabe que um acesso é de robô?
Ele compara os sinais do acesso, como user-agent, cabeçalhos do navegador, origem, país e rede, com uma sequência de regras. A primeira regra que barra define para qual página o acesso vai.
O cloaker detecta quando eu testo pelo modo celular do DevTools?
No Chrome e em outros navegadores Chromium, sim: o user-agent diz celular e os Client Hints indicam computador. Firefox e Safari não enviam esses cabeçalhos, então a emulação neles não é detectada por esse caminho.
O que é uma página isca?
É a página entregue a ferramentas de espionagem de anúncios no lugar da página safe e da página real. Ela evita que a spy tool registre a sua oferta.
Bloquear VPN pode barrar cliente de verdade?
Pode. O bloqueio é uma heurística de rede e atinge também pessoas que usam VPN ou navegam atrás de proxy corporativo. O recomendado é testar a regra em Modo Sombra antes de ligar.
Existe cloaker impossível de detectar?
Não. Robôs que imitam bem um navegador e revisão manual em aparelho comum podem passar por qualquer filtro. A detecção reduz a exposição, não a elimina.