Tráfego inválido e fraude publicitária: como se protege um publisher honesto

A fraude publicitária nem sempre é cometida pelo dono do site: muitas vezes ela só passa pela casa dele e deixa a conta no nome dele. Isto é o que significa tráfego inválido, por que as plataformas procuram por ele e o que dá para fazer para que os seus números aguentem uma revisão.

O que é tráfego inválido

O setor chama de tráfego inválido, ou IVT pela sigla em inglês (Invalid Traffic), toda atividade publicitária que não corresponde a uma pessoa real com interesse real no que está sendo mostrado. Uma impressão servida a um programa automático, um clique que ninguém quis dar, uma página que se recarrega sozinha numa aba que ninguém está olhando: nada disso serve ao anunciante e nada disso deveria ser cobrado.

Vale separar duas palavras que são usadas como sinônimos. Fraude implica intenção: alguém monta um sistema para receber por publicidade que ninguém viu. Tráfego inválido é a categoria ampla, e nela cabe também o acidental. Um site limpo, tocado por gente honesta, sempre tem algum tráfego inválido. O problema começa quando a proporção chama atenção.

Geral e sofisticado: dois problemas diferentes

O tráfego inválido geral, GIVT (General Invalid Traffic), é o que se identifica com regras e listas: bots de buscadores, monitores de disponibilidade, rastreadores declarados, requisições que saem de data centers conhecidos, navegadores que se anunciam como automatizados. Ele não se esconde. É filtrado quase por inteiro antes do faturamento e raramente é sinal de algo ruim.

O sofisticado, SIVT (Sophisticated Invalid Traffic), é feito para não ser detectado. Ele imita o comportamento humano: mexe o mouse, rola a página, espera antes de clicar, sai de conexões residenciais de dispositivos infectados. Aí entram também os anúncios empilhados um atrás do outro, os espaços de um pixel e a falsificação de domínio, em que alguém vende inventário dizendo que é o seu. Isso não se detecta com uma lista, e sim comparando comportamentos.

De onde vem sem que você tenha procurado

A pergunta que mais se repete é como isso aparece num site cujo dono não fez nada de estranho. Os caminhos habituais são bem prosaicos:

• Rastreadores e monitores que você mesmo contratou: ferramentas de SEO, verificadores de queda, serviços de captura de tela.
• Extensões de navegador instaladas pelo usuário que abrem abas ou recarregam páginas em segundo plano.
• Agregadores e cópias: sites que replicam o seu conteúdo e, junto com ele, as suas tags publicitárias.
• Tráfego comprado por um terceiro: uma agência, um parceiro ou alguém do time que resolveu «ajudar» com uma campanha barata de visitas.
• Redes de notificações push e de recomendação de conteúdo de qualidade duvidosa.
• Links vindos de fazendas de conteúdo que descobriram você sem que você fizesse nada.

Nada disso exige má-fé do publisher. Vários desses caminhos exigem apenas desconhecimento, e um deles, a compra de tráfego, costuma começar com a melhor das intenções: alcançar o mínimo de visitas que uma rede publicitária pede.

O click spam e por que ele faz mal mesmo sem ser culpa sua

Chama-se click spam a geração em massa de cliques que o usuário não deu de forma consciente. No mundo do publisher quase nunca aparece como um ataque: aparece como um design infeliz (um anúncio colado no botão de «próximo»), como cliques injetados por extensões, ou como um parceiro de tráfego que prometeu resultados e decidiu fabricá-los.

O dano é indireto e por isso demora a ficar visível. A taxa de cliques sobe, as conversões não. O anunciante mede o retorno por site, não por usuário, então a correção cai no seu domínio: o lance baixa ou ele simplesmente para de comprar. Você não recebe aviso nenhum: vê o CPM (custo por mil impressões) afundar e não sabe por quê.

A fraude nem sempre entra pela porta. Às vezes ela só passa pela sua casa e deixa a conta no seu nome.

Como as plataformas detectam

Nenhuma plataforma publica o seu método, mas os tipos de sinal são conhecidos: impressões digitais técnicas (coerência entre navegador, sistema e tela, origem da conexão), padrões de horário (tráfego plano de madrugada, picos idênticos todo dia no mesmo horário), comportamento dentro da página e correlação entre sites. Quando os mesmos identificadores aparecem em dezenas de domínios sem relação, o alerta dispara.

A isso se soma a cadeia de suprimento. O arquivo ads.txt declara quem está autorizado a vender o seu inventário, e o sellers.json de cada intermediário declara quem ele representa: servem para que um comprador distinga o seu domínio de quem diz ser o seu domínio. Mantê-los corretos e atualizados é o mínimo; a ausência deles já é um sinal negativo.

O que acontece quando detectam

As consequências vêm por graus. Primeiro o desconto: a receita já visível no painel é ajustada para baixo no fechamento do período, porque impressões invalidadas não são pagas. Depois, a retenção do pagamento enquanto a conta é revisada. Nos casos graves, o encerramento da conta e o saldo devolvido aos anunciantes.

Mas o caro não é isso. O caro é o corte de demanda: compradores que colocam o seu domínio na lista de exclusão e param de dar lances. Isso não chega com notificação nem tem formulário de recurso, e não se resolve no mês seguinte. Um domínio com histórico duvidoso demora a voltar a receber demanda premium.

Sinais de alarme nos seus próprios painéis

Não é preciso um sistema de verificação para ver os sintomas evidentes. Com a sua analítica e o seu servidor de anúncios você já consegue vigiar:

• Picos de sessões sem causa editorial: você não publicou nada, ninguém linkou você e o tráfego dobra.
• Rejeição quase total, com sessões de poucos segundos, num grupo grande de visitas.
• Uma taxa de cliques impossível num formato que nunca teve nada parecido.
• Sites de referência que você não conhece, ou um volume suspeito de tráfego «direto» sem campanha por trás.
• Distribuição por hora achatada: o tráfego humano segue o relógio do país, o automático não.
• Um país que nunca foi o seu público aparecendo de repente entre os primeiros.
• Discrepância crescente entre as páginas vistas da sua analítica e as requisições de anúncio do seu servidor.

Nenhum desses sinais prova nada isoladamente. Dois ou três juntos, sustentados por vários dias, merecem que você pare e olhe antes que outro olhe.

Brand safety: o anunciante também compra onde aparece

Brand safety, ou segurança de marca, é o conjunto de controles com que um anunciante evita que o anúncio dele saia ao lado de conteúdo que o prejudica: violência, desinformação, a cobertura de uma catástrofe, uma sequência de comentários sem moderação. Não é frescura: uma marca grande responde aos seus clientes pelo lugar onde o logotipo dela aparece.

É por isso que o assunto entra aqui. Anunciantes diretos e campanhas a CPM fixo são negociados olhando o site: quem escreve, do que fala, o que existe em volta do anúncio e que tráfego ele recebe. Um domínio com suspeita de tráfego inválido não entra nessas conversas por mais volume que tenha. Qualidade do tráfego e segurança de marca são as duas condições de entrada para a demanda premium.

Como se proteger

A defesa realista de um publisher honesto é chata, e funciona:

• Não compre tráfego para atingir um mínimo. É a forma mais rápida e mais comum de perder uma conta.
• Se algum dia comprar divulgação, que seja publicidade identificável em plataformas sérias, com relatórios de origem e com a possibilidade de parar tudo.
• Controle quem tem acesso às suas tags e ao seu servidor de anúncios, e revise os scripts de terceiros que estão na página.
• Mantenha ads.txt e sellers.json em dia, e apague do ads.txt os parceiros com quem você não trabalha mais.
• Não coloque anúncios onde eles são clicados por engano, não peça cliques e não premie a interação com a publicidade.
• Leia os relatórios de tráfego inválido que o seu parceiro de monetização entregar e pergunte quando algo não fechar.
• Se detectar uma anomalia, avise você primeiro e documente o que fez: boa-fé demonstrada muda o desfecho de uma revisão.

Na ADEQ revisamos o tráfego de cada site antes de incorporá-lo e seguimos revisando depois. Não por desconfiança: é o que permite conectar um inventário à demanda premium, a anunciantes diretos e a campanhas a CPM fixo com Header Bidding com SmartTag. Um publisher honesto não precisa se defender de uma acusação; precisa que os números dele aguentem um olhar atento.