Cómo evitar el abuso de la prueba gratuita sin bloquear a usuarios reales

Por qué la gente reinicia tu prueba gratuita con cuentas nuevas, las señales que vinculan esas cuentas y un flujo de decisión que frena las pruebas repetidas mientras los usuarios honestos mantienen una prueba sin tarjeta.

8 min de lectura · Actualizado el 2026-10-31 · Attrelix

Cómo es en realidad el abuso de la prueba gratuita

El abuso de la prueba gratuita es una persona que empieza tu prueba una y otra vez con cuentas nuevas para no tener que pagar nunca. Casi nunca parece un ataque. No hay avalancha de tráfico ni tarjetas robadas. Lo que ves es un goteo constante de cuentas que, una por una, parecen normales:

Un buzón desechable nuevo. Una dirección temporal de uno de decenas de miles de dominios desechables, usada una vez para confirmar la cuenta y nunca más.
El mismo Gmail, escrito de otra forma. jane.doe@gmail.com, janedoe+2@gmail.com y j.a.n.e.doe@gmail.com llegan todos al mismo buzón.
El mismo portátil y la misma conexión de casa. El navegador, la pantalla, las fuentes y la IP son idénticos a los de una cuenta creada hace un mes.

Todas estas cuentas superan la verificación de correo, así que un simple “confirma tu correo” no sirve de nada. La pregunta que hay que responder en el registro no es “¿este correo es real?”, sino “¿ya hemos visto a esta persona?”.

Por qué las soluciones habituales hacen más daño que bien

Exigir tarjeta en cada prueba

Un muro de tarjeta frena la mayoría de las pruebas repetidas, pero también frena a muchos visitantes honestos que solo quieren probar el producto antes. Cambias un problema de abuso por uno de conversión. Además, una tarjeta puede reutilizarse en varias cuentas, así que por sí sola tampoco demuestra que sea una persona nueva.

Bloquear solo por dominio de correo

Una lista de dominios desechables atrapa a los abusadores más perezosos. No detecta los alias de Gmail, y una lista copiada en tu código envejece rápido porque aparecen dominios desechables nuevos constantemente. Lo explicamos en detalle en Cómo bloquear correos desechables en el registro.

Bloquear por dirección IP

El bloqueo por IP es la herramienta más tosca. Oficinas, universidades y operadoras móviles enteras comparten direcciones, y un abusador decidido cambia de red en segundos. La IP es una señal útil dentro de una puntuación, no un motivo para rechazar por sí sola.

Las señales que vinculan una cuenta nueva con una antigua

En lugar de una regla rígida, mira varias señales débiles y súmalas. Ninguna debería decidir sola, pero juntas hacen evidente la prueba repetida.

Señal	Qué detecta	Riesgo de falso positivo
El buzón normalizado ya existe	Variantes con punto y más de Gmail de una cuenta existente	Bajo: es literalmente el mismo buzón
Dominio desechable	Buzones desechables creados para un solo registro	Bajo, si la lista está al día
El dominio no recibe correo	Errores tipográficos y dominios inventados	Bajo
Mismo dispositivo que una cuenta existente	El mismo navegador creando una segunda cuenta	Medio: familias y ordenadores compartidos
Muchos registros desde una IP hoy	Ráfagas desde una red	Medio: oficinas, campus, NAT de operadora
Dirección de centro de datos o Tor	Scripts en servidores, tráfico anonimizado	Medio: algunos usuarios de VPN

El patrón es claro: las señales con poco riesgo de falso positivo pueden pesar mucho, y las que también afectan a usuarios honestos solo deberían subir un poco la puntuación.

Un flujo de decisión que mantiene contentos a los usuarios honestos

Las configuraciones más eficaces que vemos bloquean poco. Dan una prueba sin tarjeta a casi todo el mundo y solo añaden fricción cuando la puntuación es alta:

Puntúa el registro en el servidor, después de enviar el formulario y antes de que empiece la prueba.
Permitir (puntuación baja): empieza la prueba normal. Debería ser la gran mayoría.
Revisar (puntuación media): empieza la prueba, pero pide algo que le cueste más a un abusador que a un usuario real — una tarjeta, un teléfono o una cuota menor hasta verificar.
Bloquear (puntuación alta): no empieces la prueba. Ofrece el plan de pago o un enlace de contacto en lugar de un callejón sin salida, porque las puntuaciones son probabilidades, no pruebas.

Regla práctica: a alguien que comparte el portátil con su hermana nunca se le debería bloquear solo por eso. Suma las señales de dispositivo compartido únicamente con algo más fuerte, como un buzón coincidente.

Cómo integrarlo en tu registro

Necesitas dos cosas: algo en la página de registro que reconozca el navegador y una comprobación en el servidor antes de conceder la prueba. Con Attrelix es una etiqueta de script y una llamada a la API:

<!-- página de registro -->
<script src="https://attrelix.com/v1.js" data-key="pk_live_…" async></script>

# servidor, antes de empezar la prueba (Python)
r = requests.post("https://attrelix.com/v1/check", timeout=3,
    headers={"Authorization": f"Bearer {SECRET}"},
    json={"email": email, "ip": ip, "visitor": form["attrelix_visitor"]})
decision = r.json().get("decision", "allow") if r.ok else "allow"

if decision == "allow":
    start_trial(user)
elif decision == "review":
    start_trial(user, require_card=True)
else:
    offer_paid_plan(user)

Fíjate en el plan B: si la comprobación tarda demasiado, el usuario pasa. Una comprobación antifraude nunca debería ser la razón de que tu registro esté caído.

Mide antes de endurecer

Empieza en modo solo observación: registra la decisión durante una o dos semanas sin actuar y luego mira las cuentas que habrían ido a revisión. Si son casi todas pruebas repetidas, activa la consecuencia. Si ves usuarios honestos, sube el umbral o baja el peso de la señal que los llevó ahí. Ajusta con tus propios datos, no con los valores por defecto de otro.

Resumen

Las pruebas repetidas parecen limpias cuenta a cuenta. Busca vínculos con cuentas anteriores.
Normaliza los correos, comprueba los dominios desechables y reconoce el dispositivo.
Suma señales en una puntuación; solo las señales fuertes deciden solas.
En revisión, añade fricción en lugar de bloquear, y deja pasar si algo falla.