Guias

Como acabar com o abuso de créditos grátis num app de IA

Créditos grátis num produto de IA custam inferência de verdade. Como funcionam as fazendas de créditos, por que limites por conta não as param e em que ponto do cadastro decidir.

8 min de leitura · Atualizado em 2026-10-31 · Attrelix

Por que créditos grátis num produto de IA são diferentes

Na maioria dos SaaS, uma conta falsa custa uma linha no banco e um pouco de ruído nas métricas. Num produto de IA, cada conta grátis pode gastar dinheiro de verdade: cada prompt roda inferência em GPUs que você paga. Créditos grátis são praticamente dinheiro, e tudo que vira dinheiro atrai automação.

Isso muda quem abusa do plano grátis. Além de pessoas que só querem mais uso de graça, aparecem as fazendas de créditos: scripts que criam muitas contas, recolhem os créditos grátis de cada uma e revendem o acesso ou usam para rodar as próprias cargas pela sua API.

Como funciona uma fazenda de créditos

Os detalhes variam, mas o formato se repete:

  1. As contas são criadas por script, geralmente um navegador headless controlado por Puppeteer, Playwright ou Selenium, às vezes um navegador anti-detecção que embaralha a própria impressão digital.
  2. As caixas de e-mail são descartáveis: domínios descartáveis, domínios catch-all do próprio fazendeiro, ou uma conta do Gmail escrita de dezenas de jeitos com pontos e sinais de mais.
  3. O tráfego vem de servidores: provedores de nuvem e hospedagem são baratos, então muitas fazendas rodam ali, às vezes atrás de proxies ou do Tor.
  4. Os créditos são drenados rápido, muitas vezes nos primeiros minutos, antes que qualquer alarme de uso reaja.

Por que limite de uso por conta não ajuda

Limites de uso protegem contra uma conta usando demais. Uma fazenda nunca faz isso: cada conta fica educadamente dentro da cota grátis. O abuso está no número de contas, então a defesa tem que acontecer no cadastro, antes de os créditos serem liberados — não depois, na camada de uso.

A pergunta certa não é “esta requisição é abusiva?”, e sim “esta conta nova deve receber créditos grátis, e quantos?”.

Sinais que expõem uma fazenda no cadastro

Automação

Navegadores controlados por automação deixam rastros: navigator.webdriver igual a true, user agent HeadlessChrome, um cliente do protocolo DevTools conectado, renderização WebGL por software, janela de tamanho zero. Cada um pode ser corrigido por um operador cuidadoso, por isso funcionam melhor combinados. Nosso guia sobre detectar navegadores headless passa por eles um a um.

Rede

Usuários reais se cadastram de redes residenciais e móveis. Cadastros de faixas de nuvem (AWS, Google Cloud, Oracle, DigitalOcean, Linode) e saídas do Tor merecem mais atenção, assim como qualquer endereço ou sub-rede que criou muitas contas hoje.

Caixa de e-mail

Domínios descartáveis, domínios que não recebem e-mail e aliases do Gmail de uma conta existente. Veja Pontos e aliases com + no Gmail.

Ligações entre contas

O sinal mais forte de uma fazenda é que suas contas andam juntas: mesmo dispositivo, mesma caixa normalizada, mesma impressão do cartão. Uma conta ligada é evidência fraca; dez é uma fazenda.

Onde colocar a checagem

Chame a checagem antifraude no servidor depois que o formulário de cadastro for enviado e antes de creditar a conta. Se os créditos são liberados por um job em segundo plano ou na confirmação do e-mail, coloque a checagem logo antes desse passo. O ponto é que a decisão exista antes dos créditos.

// Node.js, antes de liberar créditos grátis
const res = await fetch("https://attrelix.com/v1/check", {
  method: "POST",
  headers: { Authorization: `Bearer ${process.env.ATTRELIX_SECRET}`, "Content-Type": "application/json" },
  body: JSON.stringify({ email, ip, visitor: req.body.attrelix_visitor }),
  signal: AbortSignal.timeout(3000),
}).catch(() => null);
const decision = res?.ok ? (await res.json()).decision : "allow";

const credits = { allow: 100, review: 10, block: 0 }[decision] ?? 100;
await grantCredits(user.id, credits);

Créditos graduais funcionam melhor que bloqueio seco

Um padrão que funciona bem em produtos de IA é ajustar os créditos grátis ao risco, em vez de escolher entre tudo ou nada:

  • Permitir: a cota grátis completa.
  • Revisar: uma cota pequena — o bastante para experimentar — e o resto depois de um cartão, um telefone ou um e-mail verificado.
  • Bloquear: nenhum crédito grátis; ofereça o plano pago.

Usuários honestos que caem em revisão ainda conseguem experimentar o produto, e uma fazenda que recebe um décimo dos créditos por conta perde a maior parte da sua economia.

Saiba quanto isso custa

Coloque um número no problema: multiplique o valor dos créditos grátis que uma conta nova recebe pelo número de contas que sua checagem teria mandado para revisão ou bloqueio. Esse é o custo mensal de não fazer nada, e ele mostra quanto atrito vale a pena adicionar. O painel do Attrelix faz essa conta a partir do valor dos seus créditos.

Resumo

  • Fazendas de créditos ficam dentro dos limites por conta; pare-as no cadastro.
  • Combine sinais de automação, rede, caixa de e-mail e ligação entre contas.
  • Decida antes de os créditos existirem, e libere se a checagem estiver indisponível.
  • Ajuste os créditos ao risco em vez de bloquear de cara.

Mais guias