Encomendas criadas por bots

Todas as lojas online recebem visitas de bots: programas automáticos que navegam nas páginas sem uma pessoa por trás. A maioria apenas lê as suas páginas, mas alguns vão mais longe, adicionam produtos ao carrinho e entram no checkout. Quando isso acontece, pode ver no seu painel encomendas ou carrinhos abandonados que nenhum cliente real criou.

Nem todos os bots são um problema. Alguns são enviados pela Google para verificar os seus produtos e são indispensáveis se vende no Google Shopping. Outros apenas enchem os seus carrinhos abandonados de lixo. E alguns são uma verdadeira tentativa de fraude. Este artigo ajuda-o a distingui-los e a agir em cada caso.

Os três tipos de encomendas de bots

Tipo	O que vê	É prejudicial?	O que fazer
Google StoreBot	Carrinhos abandonados de Google Bot / johnsmith001@storebotmail.joonix.net, vindos de js-google-shopping-app	Não. É a Google a verificar os seus produtos	Não o bloqueie
Bots de spam	Muitos carrinhos abandonados com nomes aleatórios e emails descartáveis ou sem sentido, criados em rajadas	Não diretamente, mas distorcem as suas métricas e listas de email	Exclua-os das métricas e das listas de email
Card testing	Muitas encomendas pequenas em pouco tempo, muitas vezes com pagamentos falhados ou recusados	Sim. Alguém está a testar cartões roubados no seu checkout	Aja rapidamente com o seu fornecedor de pagamentos

Google StoreBot: encomendas de verificação do Google Shopping

É o caso mais comum em lojas ligadas à Google através da app Google Commerce.

Como o reconhecer

Campo	O que vai ver
Nome do cliente	Google Bot ou Google StoreBot
Email	johnsmith001@storebotmail.joonix.net, johnsmith002@..., etc.
Telefone	Um número que termina em 650 253 0000.
Navegador	Chrome (Generic Linux). O rastreador identifica-se com o user agent Storebot-Google/1.0.
Informação de referência	Origem e meio de campanha js-google-shopping-app: a visita chegou a partir de um link de produto do seu feed do Google Shopping.
Histórico	Apenas “Carrinho criado”.
Produtos	Por vezes nenhum (“O cliente removeu-os antes de concluir o checkout”) e um total de 0.

Porque acontece

O Google StoreBot é um rastreador oficial da Google. Nas palavras da própria Google, “analisa sistematicamente páginas web para recolher e analisar dados” e navega em páginas de produto, de carrinho e de checkout. A Google usa-o para confirmar que a informação que envia para o Merchant Center corresponde ao que os compradores veem no seu site: preços dos produtos e dos portes, disponibilidade, validade de cupões, prazos de entrega, métodos de pagamento, e a segurança e os contactos da loja.

Para ver os custos de envio e os métodos de pagamento, o bot entra no checkout como um cliente. Quando preenche os dados de contacto, a Jumpseller cria o carrinho e, como o bot nunca conclui a compra, o carrinho acaba em Encomendas > Abandonadas.

Devo bloqueá-lo?

Não. A Google afirma que “é altamente recomendável permitir o acesso do rastreador às suas páginas”. Se o bloquear (por IP, firewall, robots.txt ou qualquer outro método):

• A Google deixa de conseguir verificar os seus produtos, o Merchant Center reporta problemas de acesso e pode reprovar os seus produtos.
• As preferências de rastreio para Storebot-Google afetam todas as superfícies do Google Shopping, pelo que os seus produtos podem deixar de aparecer aí.
• Depois de o acesso ser reposto, segundo a Google normalmente demora entre 12 e 48 horas até os produtos voltarem a ser aprovados.

Bloqueá-lo só faz sentido se a sua loja não usa de todo o Google Shopping nem o Merchant Center.

Se realmente quiser, pode bloquear o cliente no seu painel de administração, mas não o recomendamos para o Google StoreBot, pelos motivos acima.

Bots de spam: carrinhos abandonados sem valor

São scripts automáticos que visitam lojas, adicionam produtos ao carrinho, escrevem um email e saem sem comprar.

Como os reconhecer

• Muitos carrinhos abandonados em pouco tempo, muitas vezes de madrugada ou em vagas.
• Nomes aleatórios ou repetidos, e emails de domínios descartáveis ou desconhecidos.
• O mesmo produto (ou os mesmos poucos produtos) em todos os carrinhos.
• Sem referência, ou sem nenhuma página de produto visitada antes do checkout.

O que fazer

• Não são vendas e não é feito qualquer pagamento, por isso não há dinheiro em risco.
• Exclua-os das suas métricas. Se analisa carrinhos abandonados ou conversão, filtre estes emails ao exportar as suas encomendas abandonadas.
• Mantenha as suas listas de email limpas. Se usa emails de recuperação de carrinhos abandonados ou uma ferramenta de email marketing ligada à sua loja, remova ou suprima estes endereços para que não contem como contactos nem distorçam as suas estatísticas de email.
• Mantenha a Protecção contra Spam ativa. Em Definições > Geral, a Protecção contra Spam adiciona um captcha aos formulários de registo de clientes e de contacto para travar registos falsos e mensagens automáticas.

Se o volume for muito elevado, pode bloquear os clientes envolvidos ou ativar temporariamente o captcha no checkout, e contactar-nos para que a nossa equipa analise.

Card testing: quando os bots testam cartões roubados

Este é o tipo que exige ação. Os burlões compram listas de números de cartões roubados e usam bots para fazer muitas tentativas de pagamento pequenas num checkout real, para descobrir que cartões ainda funcionam.

Como o reconhecer

• Um pico de encomendas com valores baixos em poucos minutos.
• Muitos pagamentos falhados ou recusados, por vezes a partir do mesmo email ou com dados muito parecidos.
• Encomendas de países ou regiões para onde normalmente não vende.
• Uma queda repentina do valor médio das encomendas.

O que fazer

1. Contacte o seu fornecedor de pagamentos de imediato. A maioria dos gateways tem as suas próprias ferramentas antifraude (como verificação do código de segurança do cartão, pontuação de risco ou 3-D Secure) e pode ajudar a travar o ataque.
2. Ative o captcha no checkout enquanto o ataque durar, para que os bots não consigam continuar a enviar tentativas de pagamento.
3. Não envie nenhuma encomenda que pareça suspeita, mesmo que o pagamento tenha sido aprovado. Os pagamentos feitos com cartões roubados podem ser contestados mais tarde pelo verdadeiro titular.
4. Cancele ou reembolse as encomendas pagas suspeitas através do seu fornecedor de pagamentos.
5. Contacte-nos com os números das encomendas e o período para analisarmos a atividade do nosso lado.

Ferramentas para proteger a sua loja

Bloquear um cliente

Se um cliente específico continua a criar carrinhos sem valor ou encomendas suspeitas, pode bloqueá-lo no seu painel de administração: vá a Clientes, abra o cliente e clique em Bloquear.

Tenha em conta:

• Não bloqueie o Google StoreBot (@storebotmail.joonix.net) se vende no Google Shopping. Não o recomendamos, pelos motivos explicados acima.
• Os bots de spam e de card testing costumam mudar de email em cada tentativa, por isso bloquear um cliente não trava um ataque por si só. Use-o para quem se repete, juntamente com o captcha.

Ativar o captcha no checkout

Em Definições > Checkout > Formulário pode ativar a opção captcha no checkout. O captcha só é mostrado quando necessário e torna muito mais difícil que os bots concluam o seu checkout.

Só recomendamos ativá-lo durante um ataque (por exemplo, uma vaga de card testing ou de carrinhos de spam). Qualquer passo extra no checkout pode criar fricção para os clientes reais, e também pode afetar bots legítimos como o Google StoreBot. Quando o ataque terminar, pode voltar a desativá-lo.

Como os distinguir rapidamente

• Email storebotmail.joonix.net + js-google-shopping-app → Google StoreBot. Ignore-o e não o bloqueie.
• Emails aleatórios, sem tentativa de pagamento, muitos carrinhos → bot de spam. Limpe as métricas e as listas; bloqueie quem se repete.
• Muitas tentativas de pagamento, valores baixos, cartões recusados → card testing. Aja já e ative o captcha no checkout.

Perguntas frequentes

Posso bloquear um cliente específico? Sim, em Clientes, abrindo o cliente e clicando em Bloquear (ver como). Em bots de spam e card testing raramente trava um ataque por si só, porque costumam mudar de email, nome e IP em cada tentativa. Para o Google StoreBot não o recomendamos.

Foi feito algum pagamento? O Google StoreBot e os bots de spam percorrem o checkout sem pagar, por isso ficam na lista de Abandonadas. Pode aparecer um método de pagamento selecionado na encomenda, mas isso apenas reflete o que foi escolhido no formulário de checkout. O card testing é a exceção: tenta mesmo fazer pagamentos.

Porque começaram a aparecer agora? A Google não publica o calendário de rastreio do StoreBot. Pela nossa experiência, estes carrinhos costumam aparecer depois de uma loja se ligar ao Google Shopping ou atualizar o catálogo. Os bots de spam e o card testing costumam chegar em vagas, sem relação com qualquer alteração que tenha feito.

Posso eliminá-las? Os carrinhos abandonados não contam como vendas, por isso não é necessário.

Fontes

• Ajuda do Google Merchant Center: Acerca do rastreador Google StoreBot
• Google Search Central: Rastreadores comuns da Google (Storebot-Google)

Se tiver alguma dúvida, pode contactar-nos a qualquer momento e teremos todo o gosto em ajudar.