Prevenir cadastro em massa sem afastar quem é real

Toda barreira contra cadastro em massa cobra pedágio de quem é cliente de verdade. A arte não é escolher a barreira mais forte — é escolher a que cobra menos de quem está certo.

Comece entendendo o que o abusador quer

Barreira genérica é cara e fraca. Barreira específica é barata e forte.

Se ele quer o benefício de primeira compra, o alvo é o crédito, não o cadastro. Deixe cadastrar à vontade e proteja o benefício.

Se ele quer volume de contas para revender, o alvo é o custo por conta. Qualquer coisa que custe tempo ou dinheiro por unidade quebra a economia dele.

Se ele quer poluir a sua base, o alvo é o formulário aberto.

Se ele quer testar cartões roubados, o alvo é o checkout, e o cadastro é só o caminho.

A mesma barreira que resolve um desses é inútil para os outros.

As barreiras, do menor ao maior atrito

Limite por endereço de origem. Barato, invisível para quem é legítimo, e o primeiro a colocar. Não resolve sozinho, porque endereço se troca, mas eleva o custo.

Campo armadilha. Um campo escondido que humano não preenche e formulário automatizado preenche. Custa zero para o usuário real. Pega o abuso preguiçoso, que é a maioria.

Confirmação por e-mail. Atrito moderado e você precisa do e-mail válido de qualquer jeito. Vale quase sempre.

Detecção de comportamento. Formulário preenchido em 400 milissegundos, sem movimento de mouse, sem correção de digitação. Invisível e razoavelmente eficaz.

Verificação por SMS. Atrito alto e barreira alta, porque custa dinheiro por tentativa. É o ponto em que o abuso em massa geralmente para de compensar.

Desafio visual. Atrito alto, e alto para quem é legítimo também. Deixe por último, e de preferência só para quem já pareceu suspeito.

A regra que muda tudo: reaja em vez de barrar

O erro mais comum é aplicar a barreira mais forte para todo mundo. Isso derruba a conversão inteira para conter uma minoria.

O padrão que funciona é escalonar:

1. Todo mundo passa pelas barreiras invisíveis — limite por origem, campo armadilha, análise de comportamento.
2. Quem levantou suspeita ganha uma barreira a mais.
3. Só quem levantou suspeita forte enfrenta o desafio caro.

Assim 95% dos cadastros não percebem nada, e o abuso encontra parede.

Cuidado com o sinal errado

Alguns critérios parecem indicar abuso e não indicam:

Endereço compartilhado. Empresa, universidade e operadora móvel colocam muita gente atrás do mesmo endereço. Bloquear por volume ali derruba um escritório inteiro.

Cadastro rápido. Quem usa preenchimento automático do navegador preenche em dois segundos. Isso é cliente experiente, não robô.

E-mail com apelido. nome+loja@ é gente organizada, não fraude.

Número virtual. Existe uso legítimo — privacidade, teste de QA, operação em outro país. Rejeitar em bloco custa clientes reais.

Proteja o benefício, não o cadastro

Se o que dói é o crédito de boas-vindas, esse é o lugar da barreira.

Deixe qualquer um criar conta. Exija a verificação mais forte no momento de liberar o benefício. Quem só quer usar o serviço nunca esbarra em nada; quem quer o crédito de graça encontra o custo exatamente onde ele importa.

Isso inverte a lógica usual e costuma melhorar conversão e segurança ao mesmo tempo.

Meça o que a barreira custou

Toda barreira nova precisa vir com uma medida antes e depois:

• quantos cadastros por dia;
• quantos concluíram o fluxo até o fim;
• quantos abandonaram na etapa nova.

Sem isso, você não sabe se conteve abuso ou se conteve receita. E o abuso é visível — o cliente que desistiu, não.

Do outro lado

Vale saber que a mesma verificação por SMS que você usa como barreira é o que um time de QA precisa atravessar para testar o próprio produto — e é para isso que serve receber o código por número virtual, em vez de um chip físico numa gaveta.

E se o objetivo é barrar contato falso na entrada, validar e-mail e telefone antes de gravar resolve boa parte do problema sem nenhum atrito visível.