Como evitar abuso do teste grátis sem bloquear usuários reais

Por que as pessoas recomeçam seu teste grátis com contas novas, os sinais que ligam essas contas e um fluxo de decisão que barra testes repetidos enquanto usuários honestos continuam sem precisar de cartão.

8 min de leitura · Atualizado em 2026-10-31 · Attrelix

Como o abuso do teste grátis acontece de verdade

Abuso de teste grátis é uma pessoa começando o seu teste de novo e de novo com contas novas, para nunca precisar pagar. Quase nunca parece um ataque. Não tem enxurrada de tráfego nem cartão roubado. O que você vê é um fluxo constante de contas que, uma a uma, parecem normais:

Uma caixa descartável nova. Um endereço temporário de um entre dezenas de milhares de domínios descartáveis, usado uma vez para confirmar a conta e nunca mais.
O mesmo Gmail, escrito de outro jeito. jane.doe@gmail.com, janedoe+2@gmail.com e j.a.n.e.doe@gmail.com caem todos na mesma caixa.
O mesmo notebook e a mesma conexão de casa. O navegador, a tela, as fontes e o IP são idênticos aos de uma conta criada um mês atrás.

Todas essas contas passam na verificação de e-mail, então um simples “confirme seu e-mail” não resolve nada. A pergunta a responder no cadastro não é “este e-mail é real?”, e sim “já vimos esta pessoa antes?”.

Por que as soluções de sempre atrapalham mais do que ajudam

Exigir cartão de crédito em todo teste

Um muro de cartão barra a maior parte dos testes repetidos, mas também barra boa parte dos visitantes honestos que só querem experimentar o produto antes. Você troca um problema de abuso por um problema de conversão. E cartões podem ser reaproveitados entre contas, então o cartão sozinho também não prova que é uma pessoa nova.

Bloquear só pelo domínio do e-mail

Uma lista de domínios descartáveis pega os abusadores mais preguiçosos. Ela não pega aliases do Gmail, e uma lista copiada para o seu código envelhece rápido, porque surgem domínios descartáveis novos o tempo todo. Falamos disso em detalhe em Como bloquear e-mails descartáveis no cadastro.

Bloquear por endereço IP

Bloqueio por IP é a ferramenta mais grosseira. Escritórios, universidades e operadoras de celular inteiras compartilham endereços, e um abusador determinado troca de rede em segundos. O IP é um sinal útil dentro de uma pontuação, não um motivo para recusar sozinho.

Os sinais que ligam uma conta nova a uma antiga

Em vez de uma regra rígida, olhe vários sinais fracos e some. Nenhum deve decidir sozinho, mas juntos eles deixam o teste repetido evidente.

Sinal	O que pega	Risco de falso positivo
Caixa normalizada já existe	Variações com ponto e mais do Gmail de uma conta existente	Baixo: é literalmente a mesma caixa
Domínio descartável	Caixas descartáveis criadas para um único cadastro	Baixo, se a lista estiver atualizada
Domínio não recebe e-mail	Erros de digitação e domínios inventados	Baixo
Mesmo dispositivo de uma conta existente	O mesmo navegador criando uma segunda conta	Médio: famílias e computadores compartilhados
Muitos cadastros de um IP hoje	Rajadas vindas de uma rede	Médio: escritórios, campus, NAT de operadora
Endereço de datacenter ou Tor	Scripts rodando em servidores, tráfego anonimizado	Médio: alguns usuários de VPN

O padrão é claro: sinais com baixo risco de falso positivo podem pesar bastante, e os que também atingem usuários honestos só devem subir um pouco a pontuação.

Um fluxo de decisão que mantém os usuários honestos felizes

As configurações mais eficazes que vemos bloqueiam pouco. Elas dão teste sem cartão para quase todo mundo e só adicionam atrito quando a pontuação é alta:

Pontue o cadastro no servidor, depois que o formulário é enviado e antes do teste começar.
Permitir (pontuação baixa): comece o teste normal. Deve ser a grande maioria.
Revisar (pontuação média): comece o teste, mas peça algo que custe mais para um abusador do que para um usuário real — um cartão, um telefone ou uma cota menor até a verificação.
Bloquear (pontuação alta): não comece o teste. Ofereça o plano pago ou um link de contato em vez de um beco sem saída, porque pontuações são probabilidades, não provas.

Regra prática: quem divide o notebook com a irmã nunca deve ser bloqueado só por isso. Só some sinais de dispositivo compartilhado com algo mais forte, como uma caixa de e-mail igual.

Como ligar isso no seu cadastro

Você precisa de duas coisas: algo na página de cadastro que reconheça o navegador e uma checagem no servidor antes de liberar o teste. Com o Attrelix, isso é uma tag de script e uma chamada de API:

<!-- página de cadastro -->
<script src="https://attrelix.com/v1.js" data-key="pk_live_…" async></script>

# servidor, antes de começar o teste (Python)
r = requests.post("https://attrelix.com/v1/check", timeout=3,
    headers={"Authorization": f"Bearer {SECRET}"},
    json={"email": email, "ip": ip, "visitor": form["attrelix_visitor"]})
decision = r.json().get("decision", "allow") if r.ok else "allow"

if decision == "allow":
    start_trial(user)
elif decision == "review":
    start_trial(user, require_card=True)
else:
    offer_paid_plan(user)

Repare no plano B: se a checagem estourar o tempo, o usuário é liberado. Uma checagem antifraude nunca deve ser o motivo de o seu cadastro estar fora do ar.

Meça antes de apertar

Comece em modo só observação: registre a decisão por uma ou duas semanas sem agir, depois olhe as contas que teriam ido para revisão. Se forem quase todas testes repetidos, ligue a consequência. Se aparecerem usuários honestos, suba o limite ou diminua o peso do sinal que os colocou ali. Ajuste com os seus dados, não com os padrões de outra pessoa.

Resumo

Testes repetidos parecem limpos conta a conta. Procure as ligações com contas anteriores.
Normalize e-mails, cheque domínios descartáveis e reconheça o dispositivo.
Some sinais numa pontuação; só sinais fortes decidem sozinhos.
Na revisão, adicione atrito em vez de bloquear, e sempre libere em caso de falha.