Como detectar e filtrar tráfego de bots no GA4

O tráfego subiu. O tempo de engajamento é de 2 segundos. Os novos usuários de uma cidade média que você não segmenta estão em 100%, e nenhuma dessas sessões converteu. Se esse padrão parece familiar, você não está diante de uma vitória de marketing; está vendo como o tráfego de bots fica depois que o filtro automático do Google já removeu a parte fácil.

Este guia cobre as três camadas que a maioria dos guias sobre bots no GA4 junta em uma só: o que o GA4 filtra sozinho (e o que esse filtro não consegue pegar por natureza), uma receita de exploração repetível para expor o restante e (a parte que realmente protege o orçamento) como converter cada sintoma do GA4 em uma ação de bloqueio no Google Ads e na Meta. Porque a verdade incômoda é que o GA4 consegue descrever o tráfego de bots em detalhes, mas não consegue impedir um único clique.

O que o GA4 já filtra e o que ele não consegue filtrar por natureza

O GA4 exclui automaticamente o tráfego de bots conhecidos. O filtro combina a pesquisa do próprio Google com a IAB/ABC International Spiders & Bots List, roda em todas as propriedades e não é gerenciado por você: não há botão para desativá-lo, nenhuma configuração para ajustar e nenhum relatório que mostre quanto tráfego foi removido. Ele simplesmente acontece antes dos seus relatórios.

Esse filtro é real, e também é estreito. Ele pega crawlers declarados e bots conhecidos: o tráfego automatizado educado o bastante para se identificar ou famoso o bastante para estar em uma lista do setor. O que ele não pega é o tráfego que custa dinheiro aos anunciantes: bots construídos para parecer humanos. A fraude de cliques moderna roda ambientes de navegador completos que executam JavaScript, disparam sua tag do GA4, rolam a página e navegam entre páginas; ela passa por proxies residenciais, para que o IP pertença a uma casa real e não a um data center. Nada disso corresponde a uma entrada da lista da IAB. A pesquisa da Imperva sobre bots maliciosos agora coloca o tráfego automatizado em 53% de todo o tráfego da web, e a parcela sofisticada dele é justamente a que uma lista de bots conhecidos não enxerga.

E há uma terceira categoria que a maioria dos guias nunca menciona: o tráfego de bots que o GA4 nunca registra. Muitos bots de cliques acessam seu anúncio e nunca executam a tag de analytics na página de destino: sem JavaScript, sem sessão, sem rastro. No GA4 eles são invisíveis; na sua fatura do Google Ads estão totalmente presentes. É por isso que uma diferença crescente entre cliques pagos no Google Ads e sessões pagas no GA4 é, por si só, um dos sinais de bot mais fortes que você tem, e é por isso que a detecção pelo lado do analytics nunca passa de metade do quadro.

Então ajuste as expectativas. No GA4 você está caçando o nível intermediário: tráfego automatizado que executou sua tag, passou pelo filtro de bots conhecidos e deixou impressões digitais de comportamento nos seus dados.

Sete sinais que expõem o tráfego de bots no GA4

Nenhuma métrica isolada prova tráfego de bots. Os grupos de sinais provam. Procure vários destes caindo na mesma origem, campanha ou cidade ao mesmo tempo:

1. Tempo médio de engajamento perto de zero. Visitantes reais de campanhas pagas passam um tempo mensurável na página. Sessões com média de 0–2 segundos de tempo de engajamento, em volume, vindas de uma única origem, são automação. Esse é o sinal isolado mais preciso do GA4.
2. Colapso da taxa de engajamento em um segmento. Se o tráfego pago da sua propriedade engaja entre 55–65% e uma campanha, um posicionamento ou uma cidade de repente engaja 5%, esse segmento tem um problema de qualidade de tráfego, não um problema de criativo.
3. ~100% de novos usuários vindos de uma única origem. Bots trocam de identidade; humanos voltam. Uma origem que nunca gera um visitante recorrente, principalmente junto com o sinal nº 1, é um forte indicador de automação.
4. Geografia que não bate com a sua segmentação. Grupos de sessões vindos de cidades ou países onde você não anuncia, ou um volume improvável vindo de uma cidade pequena, apontam para saídas de proxy e fazendas de cliques. (Parte do tráfego com geografia errada também é um problema de configuração; falaremos disso abaixo.)
5. Impressões digitais de tecnologia improváveis. Versões antigas de navegador, resoluções de tela como 800×600 ou (not set) onde deveriam estar os dados do dispositivo: ambientes headless e falsificados deixam escapar inconsistências que dispositivos reais de consumidores não têm.
6. Picos de sessões com conversões estáveis, ou conversões lixo. Picos de tráfego que não geram nada são uma variação; picos que geram leads falsos com e-mails descartáveis e telefones inexistentes são a variação mais cara, porque esses leads falsos alimentam sua automação de lances.
7. Picos de tráfego direto e referências estranhas. Tráfego direto repentino e inexplicável com engajamento típico de bot, ou origens de referência que você não reconhece, completam o quadro. O spam de referência clássico é mais raro no GA4 do que era no Universal Analytics, mas referências indesejadas ainda aparecem e vale excluí-las.

Uma receita de exploração pronta para copiar

Você consegue identificar a maior parte do que está acima em uma única exploração de formato livre. No GA4: Explorar → Formato livre, e então configure:

• Dimensões: Origem/mídia da sessão, Campanha da sessão, Cidade, Categoria do dispositivo, Navegador
• Métricas: Sessões, Sessões engajadas, Tempo médio de engajamento por sessão, Novos usuários, Eventos principais
• Filtro: Grupo de canais padrão da sessão = Pesquisa paga (repita para Social pago / Display / Multirrede)
• Linhas: comece com Origem/mídia da sessão + Cidade; troque Cidade por Navegador na segunda passada

Depois leia cada linha com base nestes limites:

Linhas que falham em três ou mais colunas com volume relevante merecem investigação. Linhas que falham nas cinco são sua lista de ações para a próxima seção. Rode a mesma exploração toda semana; as campanhas de bots mudam, e é a comparação com a linha de base da semana anterior que torna um pico evidente.

Filtrando o que você encontrou e os limites rígidos do GA4

O GA4 oferece exatamente três ferramentas nativas de limpeza, e vale ser honesto sobre o teto de cada uma:

• Filtros de tráfego interno e de IP. Você pode definir o tráfego interno por IP e filtrá-lo. O problema para fraude: o filtro exige conhecer os IPs com antecedência, e o GA4 nunca mostra os endereços IP dos visitantes. Ele foi feito para excluir o seu próprio escritório, não saídas de bots que mudam o tempo todo.
• Exclusões de referências indesejadas. Úteis para limpar spam de referência e ruído de gateways de pagamento da atribuição. Não fazem nada contra sessões de bots que chegam por cliques pagos.
• Comparações e segmentos. Sua ferramenta de higiene do dia a dia: crie uma comparação que exclua a cidade, a origem ou o grupo de navegadores problemático para que as decisões sejam tomadas com dados limpos. Entenda que isso esconde o lixo dos relatórios; os dados por baixo continuam lá.

Dois limites importam mais que qualquer recurso. Primeiro, os filtros de dados só valem daqui para frente: nada remove sessões de bots já processadas na sua propriedade. Segundo, o GA4 eliminou a dimensão de ISP/provedor de serviço que os usuários do Universal Analytics usavam para identificar tráfego de data center, então até o truque de “encontrar ISPs de provedores de hospedagem” acabou. O GA4 simplesmente não carrega as evidências de rede (IPs, ISPs, ASNs) que separar bots de humanos, no fim das contas, exige.

Isso não é um bug; é um limite de escopo. O GA4 é um produto de medição. O que nos leva à parte que realmente economiza dinheiro.

Do sintoma à ação: o que fazer no lado dos anúncios

Cada sinal que sua exploração revelou corresponde a um controle que fica fora do GA4. Este mapeamento é a etapa que a maioria dos guias sobre tráfego de bots pula:

As ressalvas sobre exclusão de IP merecem um parágrafo, porque é aqui que o fluxo do GA4 chega a um beco sem saída. O Google Ads limita as exclusões de IP a 500 por campanha, as exclusões no nível da campanha não se aplicam ao Performance Max e (o problema estrutural) o GA4 nem consegue dizer quais IPs excluir, porque não os expõe. Bots em proxies residenciais passam por mais endereços em um dia do que o limite permite no total. Fechar essa lacuna exige detecção de bots no nível do clique: uma camada independente que vê cada clique pago com sua impressão digital completa de rede e dispositivo, identifica o visitante pelo comportamento e grava as exclusões automaticamente. Esse é o trabalho de um software dedicado de proteção contra fraude de cliques, e não de uma propriedade de analytics: o GA4 diz que o ataque aconteceu; uma camada de proteção é o que faz ele parar.

O próprio sistema de cliques inválidos do Google filtra e credita o tráfego que identifica, e essa base é real. Mas ele otimiza para o leilão na escala da plataforma e, como vimos acima, o nível intermediário de automação com aparência humana é exatamente o que escapa, por sua conta.

Os bots mais caros nunca visitam seu site duas vezes: proteja o sinal de conversão

Aqui está o modo de falha que se acumula. O tráfego de bots que chega aos seus formulários não só polui o analytics; ele envia leads falsos e, se esses leads falsos forem relatados ao Google e à Meta como conversões, suas campanhas de Smart Bidding e Advantage+ aprendem com eles. O algoritmo, obediente, vai e compra mais do que quer que tenha produzido o lixo. Nesse ponto você não está perdendo só o custo dos cliques ruins; está pagando a plataforma para escalá-los.

O GA4 não tem nenhum papel aqui. A correção é filtrar na camada de conversão:

• No Google, isso significa validar os leads antes de enviá-los pelas conversões otimizadas para leads, para que os lances aprendam apenas com clientes potenciais reais.
• Na Meta, significa sinais filtrados contra fraude pela API de Conversões: pontuar cada evento no servidor e enviar apenas conversões verificadas, para que o Advantage+ otimize em direção a humanos. A Meta não dá aos anunciantes exclusões de IP e oferece poucas alavancas manuais, o que torna a qualidade do sinal de conversão o único controle que você ainda tem nessa plataforma.

Se a sua exploração no GA4 mostrou formulários lixo vindos de tráfego pago, trate a filtragem de conversões como mais urgente que a limpeza dos relatórios. Relatórios limpos são bons; um sinal de treinamento limpo é dinheiro.

Conclusão

O filtro automático de bots do GA4 cuida do tráfego que se anuncia. Para todo o resto, o GA4 é um detector de fumaça: rode a receita de exploração toda semana, leia tempo de engajamento, proporção de novos usuários, geografia e diferenças entre cliques e sessões como um conjunto e use comparações para manter as decisões limpas. Depois faça a parte que realmente muda a fatura: aja nas plataformas de anúncios e coloque detecção de bots no nível do clique e filtragem de conversões na frente do tráfego, para que o lixo deixe de chegar à sua propriedade, aos seus formulários e aos seus algoritmos de lances. A medição mostra o vazamento. A proteção o tapa.