Pedidos criados por bots

Toda loja virtual recebe visitas de bots: programas automáticos que navegam pelas páginas sem uma pessoa por trás. A maioria só lê suas páginas, mas alguns vão além, adicionam produtos ao carrinho e entram no checkout. Quando isso acontece, você pode ver no seu painel pedidos ou carrinhos abandonados que nenhum cliente real criou.

Nem todo bot é um problema. Alguns são enviados pelo Google para verificar seus produtos e são indispensáveis se você vende no Google Shopping. Outros só enchem seus carrinhos abandonados de lixo. E alguns são uma tentativa real de fraude. Este artigo ajuda você a diferenciá-los e agir em cada caso.

Os três tipos de pedidos de bots

Tipo	O que você vê	É prejudicial?	O que fazer
Google StoreBot	Carrinhos abandonados de Google Bot / johnsmith001@storebotmail.joonix.net, vindos de js-google-shopping-app	Não. É o Google verificando seus produtos	Não bloqueie
Bots de spam	Muitos carrinhos abandonados com nomes aleatórios e e-mails descartáveis ou sem sentido, criados em rajadas	Não diretamente, mas distorcem suas métricas e listas de e-mail	Exclua-os das métricas e das listas de e-mail
Card testing	Muitos pedidos pequenos em pouco tempo, muitas vezes com pagamentos recusados ou com falha	Sim. Alguém está testando cartões roubados no seu checkout	Aja rápido com seu provedor de pagamentos

Google StoreBot: pedidos de verificação do Google Shopping

É o caso mais comum em lojas conectadas ao Google pelo app Google Commerce.

Como reconhecer

Campo	O que você vai ver
Nome do cliente	Google Bot ou Google StoreBot
E-mail	johnsmith001@storebotmail.joonix.net, johnsmith002@... etc.
Telefone	Um número que termina em 650 253 0000.
Navegador	Chrome (Generic Linux). O rastreador se identifica com o user agent Storebot-Google/1.0.
Informações de referência	Origem e mídia de campanha js-google-shopping-app: a visita veio de um link de produto do seu feed do Google Shopping.
Histórico	Apenas “Carrinho criado”.
Produtos	Às vezes nenhum (“O cliente os removeu antes de concluir o checkout”) e total de R$ 0.

Por que acontece

O Google StoreBot é um rastreador oficial do Google. Nas palavras do próprio Google, ele “verifica sistematicamente páginas da web para coletar e analisar dados” e navega por páginas de produto, de carrinho e de checkout. O Google o usa para confirmar que as informações que você envia ao Merchant Center correspondem ao que os compradores veem no seu site: preços dos produtos e do frete, disponibilidade, validade de cupons, prazos de entrega, formas de pagamento, e a segurança e os contatos da loja.

Para ver os custos de frete e as formas de pagamento, o bot entra no checkout como um cliente. Quando ele preenche os dados de contato, a Jumpseller cria o carrinho e, como o bot nunca conclui a compra, o carrinho vai para Pedidos > Abandonados.

Devo bloquear?

Não. O Google afirma que “é altamente recomendável permitir o acesso do rastreador às suas páginas”. Se você bloquear (por IP, firewall, robots.txt ou qualquer outro método):

• O Google deixa de conseguir verificar seus produtos, o Merchant Center informa problemas de acesso e pode reprovar seus produtos.
• As preferências de rastreamento para Storebot-Google afetam todas as superfícies do Google Shopping, então seus produtos podem deixar de aparecer lá.
• Depois que o acesso é restabelecido, segundo o Google normalmente leva de 12 a 48 horas para os produtos serem aprovados novamente.

Bloquear só faz sentido se a sua loja não usa de forma alguma o Google Shopping nem o Merchant Center.

Se você realmente quiser, pode bloquear o cliente no seu painel de administração, mas não recomendamos isso para o Google StoreBot, pelos motivos acima.

Bots de spam: carrinhos abandonados sem valor

São scripts automáticos que visitam lojas, adicionam produtos ao carrinho, digitam um e-mail e saem sem comprar.

Como reconhecer

• Muitos carrinhos abandonados em pouco tempo, muitas vezes de madrugada ou em ondas.
• Nomes aleatórios ou repetidos, e e-mails de domínios descartáveis ou desconhecidos.
• O mesmo produto (ou os mesmos poucos produtos) em todos os carrinhos.
• Sem referência, ou sem nenhuma página de produto visitada antes do checkout.

O que fazer

• Não são vendas e nenhum pagamento é feito, então não há dinheiro em risco.
• Exclua-os das suas métricas. Se você analisa carrinhos abandonados ou conversão, filtre esses e-mails ao exportar seus pedidos abandonados.
• Mantenha suas listas de e-mail limpas. Se você usa e-mails de recuperação de carrinhos abandonados ou uma ferramenta de e-mail marketing conectada à sua loja, remova ou suprima esses endereços para que não contem como contatos nem distorçam suas estatísticas de e-mail.
• Mantenha a Proteção contra Spam ativada. Em Configurações > Geral, a Proteção contra Spam adiciona um captcha aos formulários de cadastro de clientes e de contato para barrar cadastros falsos e mensagens automáticas.

Se o volume for muito alto, você pode bloquear os clientes envolvidos ou ativar temporariamente o captcha no checkout, e falar conosco para que nossa equipe analise.

Card testing: quando bots testam cartões roubados

Este é o tipo que exige ação. Fraudadores compram listas de números de cartões roubados e usam bots para fazer muitas tentativas de pagamento pequenas em um checkout real, para descobrir quais cartões ainda funcionam.

Como reconhecer

• Um pico de pedidos com valores baixos em poucos minutos.
• Muitos pagamentos recusados ou com falha, às vezes do mesmo e-mail ou com dados muito parecidos.
• Pedidos de países ou regiões para onde você normalmente não vende.
• Uma queda repentina no seu ticket médio.

O que fazer

1. Entre em contato com seu provedor de pagamentos imediatamente. A maioria dos gateways tem ferramentas antifraude próprias (como verificação do código de segurança do cartão, pontuação de risco ou 3-D Secure) e pode ajudar a barrar o ataque.
2. Ative o captcha no checkout enquanto o ataque durar, para que os bots não consigam continuar enviando tentativas de pagamento.
3. Não envie nenhum pedido que pareça suspeito, mesmo que o pagamento tenha sido aprovado. Pagamentos feitos com cartões roubados podem ser contestados depois pelo verdadeiro titular.
4. Cancele ou reembolse os pedidos pagos suspeitos pelo seu provedor de pagamentos.
5. Fale conosco com os números dos pedidos e o período para analisarmos a atividade do nosso lado.

Ferramentas para proteger sua loja

Bloquear um cliente

Se um cliente específico continua criando carrinhos sem valor ou pedidos suspeitos, você pode bloqueá-lo no seu painel de administração: vá em Clientes, abra o cliente e clique em Bloquear.

Tenha em mente:

• Não bloqueie o Google StoreBot (@storebotmail.joonix.net) se você vende no Google Shopping. Não recomendamos, pelos motivos explicados acima.
• Bots de spam e de card testing costumam mudar de e-mail a cada tentativa, então bloquear um cliente não barra um ataque sozinho. Use para quem se repete, junto com o captcha.

Ativar o captcha no checkout

Em Configurações > Checkout > Formulário você pode ativar a opção captcha no checkout. O captcha só aparece quando necessário e torna muito mais difícil que bots concluam o seu checkout.

Só recomendamos ativá-lo durante um ataque (por exemplo, uma onda de card testing ou de carrinhos de spam). Qualquer etapa extra no checkout pode criar atrito para clientes reais, e também pode afetar bots legítimos como o Google StoreBot. Quando o ataque terminar, você pode desativá-lo novamente.

Como diferenciá-los rapidamente

• E-mail storebotmail.joonix.net + js-google-shopping-app → Google StoreBot. Ignore e não bloqueie.
• E-mails aleatórios, sem tentativa de pagamento, muitos carrinhos → bot de spam. Limpe métricas e listas; bloqueie quem se repete.
• Muitas tentativas de pagamento, valores baixos, cartões recusados → card testing. Aja agora e ative o captcha no checkout.

Perguntas frequentes

Posso bloquear um cliente específico? Sim, em Clientes, abrindo o cliente e clicando em Bloquear (veja como). Para bots de spam e card testing raramente barra um ataque sozinho, porque eles costumam mudar de e-mail, nome e IP a cada tentativa. Para o Google StoreBot não recomendamos.

Foi feito algum pagamento? O Google StoreBot e os bots de spam percorrem o checkout sem pagar, por isso ficam na lista de Abandonados. Pode aparecer uma forma de pagamento selecionada no pedido, mas isso só reflete o que foi escolhido no formulário de checkout. O card testing é a exceção: ele tenta fazer pagamentos.

Por que eles começaram a aparecer agora? O Google não divulga o calendário de rastreamento do StoreBot. Pela nossa experiência, esses carrinhos costumam aparecer depois que uma loja se conecta ao Google Shopping ou atualiza o catálogo. Bots de spam e card testing costumam chegar em ondas, sem relação com alguma alteração que você fez.

Posso excluí-los? Carrinhos abandonados não contam como vendas, então não é necessário.

Fontes

• Central de Ajuda do Google Merchant Center: Sobre o rastreador Google StoreBot
• Google Search Central: Rastreadores comuns do Google (Storebot-Google)

Se tiver alguma dúvida, você pode falar conosco a qualquer momento e teremos prazer em ajudar.