Guías

Cómo frenar el abuso de créditos gratis en una app de IA

Los créditos gratis de un producto de IA cuestan inferencia real. Cómo funcionan las granjas de créditos, por qué los límites por cuenta no las detienen y en qué punto del registro decidir.

8 min de lectura · Actualizado el 2026-10-31 · Attrelix

Por qué los créditos gratis de un producto de IA son distintos

En la mayoría de los SaaS, una cuenta falsa cuesta una fila en la base de datos y algo de ruido en las métricas. En un producto de IA, cada cuenta gratuita puede gastar dinero real: cada prompt ejecuta inferencia en GPU que pagas tú. Los créditos gratis son prácticamente dinero, y todo lo que se convierte en dinero atrae automatización.

Eso cambia quién abusa del plan gratuito. Además de personas que solo quieren más uso gratis, aparecen las granjas de créditos: scripts que crean muchas cuentas, recogen los créditos gratis de cada una y revenden el acceso o lo usan para ejecutar sus propias cargas a través de tu API.

Cómo funciona una granja de créditos

Los detalles varían, pero la forma se repite:

  1. Las cuentas las crea un script, normalmente un navegador headless controlado por Puppeteer, Playwright o Selenium, a veces un navegador antidetección que aleatoriza su huella.
  2. Los buzones son desechables: dominios desechables, dominios catch-all propios o una cuenta de Gmail escrita de decenas de formas con puntos y signos más.
  3. El tráfico viene de servidores: los proveedores de nube y hosting son baratos, así que muchas granjas operan desde ahí, a veces detrás de proxies o de Tor.
  4. Los créditos se agotan rápido, a menudo en los primeros minutos, antes de que reaccione cualquier alarma de uso.

Por qué los límites por cuenta no ayudan

Los límites de uso te protegen de una cuenta que consume demasiado. Una granja nunca hace eso: cada cuenta se queda educadamente dentro de su cuota gratuita. El abuso está en el número de cuentas, así que la defensa tiene que ocurrir en el registro, antes de conceder los créditos — no después, en la capa de uso.

La pregunta correcta no es “¿esta petición es abusiva?”, sino “¿esta cuenta nueva debe recibir créditos gratis, y cuántos?”.

Señales que delatan una granja en el registro

Automatización

Los navegadores controlados por automatización dejan rastros: navigator.webdriver en true, un user agent HeadlessChrome, un cliente del protocolo DevTools conectado, renderizado WebGL por software, una ventana de tamaño cero. Un operador cuidadoso puede corregir cada uno, por eso funcionan mejor combinados. Nuestra guía sobre cómo detectar navegadores headless los repasa uno a uno.

Red

Los usuarios reales se registran desde redes domésticas y móviles. Los registros desde rangos de nube (AWS, Google Cloud, Oracle, DigitalOcean, Linode) y salidas de Tor merecen más atención, igual que cualquier dirección o subred que haya creado muchas cuentas hoy.

Buzón

Dominios desechables, dominios que no reciben correo y alias de Gmail de una cuenta existente. Consulta Puntos y alias con + de Gmail.

Vínculos entre cuentas

La señal más fuerte de una granja es que sus cuentas van juntas: mismo dispositivo, mismo buzón normalizado, misma huella de tarjeta. Una cuenta vinculada es una prueba débil; diez son una granja.

Dónde poner la comprobación

Llama a tu comprobación antifraude en el servidor después de enviar el formulario de registro y antes de acreditar la cuenta. Si los créditos se conceden en un proceso en segundo plano o al confirmar el correo, pon la comprobación justo antes de ese paso. Lo importante es que la decisión exista antes que los créditos.

// Node.js, antes de conceder créditos gratis
const res = await fetch("https://attrelix.com/v1/check", {
  method: "POST",
  headers: { Authorization: `Bearer ${process.env.ATTRELIX_SECRET}`, "Content-Type": "application/json" },
  body: JSON.stringify({ email, ip, visitor: req.body.attrelix_visitor }),
  signal: AbortSignal.timeout(3000),
}).catch(() => null);
const decision = res?.ok ? (await res.json()).decision : "allow";

const credits = { allow: 100, review: 10, block: 0 }[decision] ?? 100;
await grantCredits(user.id, credits);

Créditos graduales mejor que bloqueos tajantes

Un patrón que funciona bien en productos de IA es escalar los créditos gratis según el riesgo en lugar de elegir entre todo o nada:

  • Permitir: la cuota gratuita completa.
  • Revisar: una cuota pequeña — suficiente para probar el producto — y el resto tras una tarjeta, un teléfono o un correo verificado.
  • Bloquear: sin créditos gratis; ofrece el plan de pago.

Los usuarios honestos que caen en revisión siguen pudiendo probar el producto, y una granja que recibe una décima parte de los créditos por cuenta pierde casi toda su rentabilidad.

Conoce lo que te cuesta

Ponle número al problema: multiplica el valor de los créditos gratis que recibe una cuenta nueva por el número de cuentas que tu comprobación habría enviado a revisión o bloqueo. Ese es el coste mensual de no hacer nada, y te dice cuánta fricción vale la pena añadir. El panel de Attrelix hace este cálculo con el valor de tus créditos.

Resumen

  • Las granjas de créditos se mantienen dentro de los límites por cuenta; detenlas en el registro.
  • Combina señales de automatización, red, buzón y vínculos entre cuentas.
  • Decide antes de que existan los créditos, y deja pasar si la comprobación no está disponible.
  • Escala los créditos según el riesgo en lugar de bloquear de entrada.

Más guías