Detecção de bots por IP: o que o IP pode e não pode dizer

Essa lacuna importa porque os bots agora são a maioria das requisições. O Bad Bot Report 2026 da Imperva constatou que o tráfego automatizado representou 53% do tráfego web observado em 2025, e que só os bots maliciosos representaram 40%. Então, no seu formulário de login, a pergunta útil raramente é "isto é um bot?". É "que tipo de bot, e ele passa?"

Vale nomear os tipos: rastreadores verificados, bots declarados não verificados, impostores, agentes de IA e fetchers acionados por usuários, scrapers de conteúdo e de preços, autores de credential stuffing e scanners. Abaixo mostramos o que uma consulta retornou para cinco IPs, um por classe de bot, e depois indicamos o guia que trata cada tarefa em profundidade: verificar rastreadores por IP, DNS reverso e faixas publicadas, proteger cadastros e checkout e limitar a taxa sem bloquear usuários reais.

Como detectar bots pelo endereço IP: seis sinais

Para detectar bots pelo endereço IP, consulte o IP de origem e leia seis sinais: o tipo de rede, o DNS reverso, as faixas publicadas de rastreadores, os sinalizadores de anonimato, os sinalizadores de scanner e quantas requisições o prefixo dele envia para você. O IP é um ponto de partida melhor que o User-Agent por um motivo simples. Um cabeçalho é um texto que o cliente escolhe, mas uma requisição HTTP precisa de um handshake TCP completo, então o IP de origem não pode simplesmente ser forjado. A forma real de contornar isso é alugar ou usar como proxy o IP de outra pessoa, o que as seções abaixo tratam.

Fizemos uma consulta anônima à API do GeoIPHub por classe de bot em 07/10/2026:

Leia a coluna de pontuação de cima para baixo e a lição principal aparece. Nas consultas do GeoIPHub de 07/10/2026, apenas a saída Tor foi bloqueada (fraud_score 100). O Googlebot teve pontuação 0, o scanner da Censys 0, a saída do iCloud Private Relay 9 e o servidor da DigitalOcean 15, todos allow. A pontuação responde "quão arriscado é este IP?", não "isto é um bot?". Um servidor de datacenter com 15 e um scanner com 0 são ambos automação, e nenhum deles é arriscado por si só. As correspondências com listas são os sinais mais confiáveis aqui; os sinalizadores de tipo de rede são inferências, e é por isso que mexem pouco na pontuação. São cinco consultas isoladas, não um benchmark, e os valores mudam à medida que as faixas mudam.

Veja o que cada sinal diz e onde estão os detalhes:

• Tipo de rede (asn.asn_type, asn.user_type, detection.is_hosting). O ASN, a rede que anuncia o IP, diz de quem é a rede. Um IP de datacenter (hospedagem), o detection.is_hosting da API, é o primeiro filtro, porque a maioria dos bots roda em datacenters e a maioria das pessoas não. Sozinho é um veredito fraco, e é por isso que a DigitalOcean teve pontuação 15. Nosso explicativo sobre o que é um endereço IP de datacenter mostra como a hospedagem é detectada e quando ela é legítima.
• DNS reverso (network.ptr_record, fcrdns_valid). Um hostname confirmado na direção direta pode nomear o operador. O PTR da saída Tor termina em tor-exit.artikel10.org, o que disparou rdns_tor. Uma limitação nossa: a API não armazena PTR para os IPs do Googlebot nem da DigitalOcean, embora dig -x retorne nomes ativos para ambos, então no_ptr_datacenter dispara neles. Faça a verificação de DNS você mesmo quando o hostname importar.
• Faixas publicadas de rastreadores (threat.crawler). Associar um IP ao arquivo de faixas do próprio operador é a prova mais limpa de que um bot é quem diz ser. O GeoIPHub carrega 19 feeds oficiais de faixas de Google, Microsoft (Bing), Apple, DuckDuckGo, OpenAI, Anthropic, Perplexity, Mistral, Common Crawl e Ahrefs, baixados novamente todos os dias.
• Sinalizadores de Tor, VPN, proxy e relay (detection.is_tor, is_vpn, is_proxy, is_relay). Eles dizem que o cliente real está escondido atrás da rede de outra pessoa. Veja como detectar tráfego Tor por IP e como funciona a detecção de VPN e proxy.
• Sinalizadores de scanner (threat.is_scanner). Scanners que varrem a internet inteira sondam todo endereço que conseguem alcançar.
• Taxa por prefixo. Este é seu, não nosso: conte as requisições por /64 em IPv6, como explica a seção sobre limitação de taxa abaixo.

O resultado do scanner nos surpreendeu, então aqui está ele, recortado da resposta real:

O sinalizador de scanner está ativo, mas não acrescenta nada à pontuação, e a rede da Censys não é classificada como hospedagem. Se você decide apenas com base em recommended_action, o tráfego de scanners passa. Leia threat.is_scanner diretamente se quiser excluí-lo das métricas ou bloqueá-lo no firewall.

Verificação de IP de bot: este rastreador é quem diz ser?

Uma verificação de IP de bot confirma um rastreador declarado associando o IP dele ao arquivo de faixas publicado pelo operador, ou a um nome de DNS reverso confirmado na direção direta, nunca confiando no User-Agent. Qualquer cliente pode enviar Googlebot nesse cabeçalho. Só o operador controla as próprias faixas de IP.

Nossa API vê apenas o IP, nunca os cabeçalhos da sua requisição, então é o seu código que faz a comparação: o operador do bot alegado contra threat.crawler.verified e threat.crawler.operator. Não use threat.crawler.name como chave: é o rótulo do arquivo, e um arquivo pode cobrir vários bots. Nas nossas consultas, 66.249.66.1 retornou verified: true, name: "Googlebot", verification_method: "ip_range_list". O servidor da DigitalOcean retornou name: "none", então uma alegação de Googlebot vinda dele não é verificada. Isso significa "não verificado como aquele bot", não prova de falsificação.

ClaudeBot e PerplexityBot estão cobertos pelos arquivos de faixas que a Anthropic e a Perplexity publicam: em 08/10/2026, 216.73.216.10 retornou verified: true, name: "ClaudeBot", operator: "Anthropic". Bots que não publicam arquivo de faixas ainda exigem o método do próprio operador, como DNS reverso. Bots que assinam suas requisições com Web Bot Auth podem ser verificados pela assinatura em vez do IP.

Os detalhes estão em quatro posts. O guia de verificação de rastreadores trata de DNS reverso, arquivos CIDR e assinaturas Web Bot Auth. Como verificar o Googlebot e identificar Googlebots falsos trata dos três grupos de rastreadores do Google e dos seus arquivos de faixas. GPTBot vs OAI-SearchBot vs ChatGPT-User mostra qual bot da OpenAI bloquear e como verificar cada um. Nossa lista de IPs de rastreadores verificados traz os 19 arquivos com suas datas e o código da allowlist.

O que a detecção de bots baseada em IP não consegue dizer

A detecção de bots baseada em IP não consegue dizer se um IP doméstico está sendo alugado como proxy residencial, e o GeoIPHub não detecta proxies residenciais. Uma rede de proxies residenciais roteia a requisição de um bot pela conexão doméstica de alguém. Na camada de IP, essa requisição parece o tráfego da própria família: um ISP residencial, uma cidade real, nenhum sinalizador de hospedagem.

Nosso campo is_residential_proxy é uma inferência aproximada baseada em ASN, não uma detecção, então trate-o como ausência de sinal. A rotação piora tudo. Um pool pode entregar um IP doméstico diferente a cada requisição, então os contadores por IP nunca sobem.

As botnets têm o mesmo ponto cego. Dispositivos domésticos infectados enviam tráfego de bots a partir de IPs residenciais comuns, e os feeds de botnets cobrem infraestrutura conhecida, como servidores de comando e controle, não cada dispositivo infectado. Os bots contornam a detecção por IP de quatro formas comuns: rotacionando endereços, alugando proxies residenciais, percorrendo um /64 de IPv6 e roteando por proxies móveis que compartilham IPs de operadora com celulares reais.

• Proxies residenciais. Não detectados. Pegue-os pelo comportamento: velocidade por conta, divergências de dispositivo e de sessão.
• O User-Agent e outros cabeçalhos. A API nunca os vê. Compare a alegação no seu próprio código.
• Quem está digitando. Um navegador headless e uma pessoa no mesmo IP de escritório parecem idênticos nesta camada.
• Faixas publicadas nos últimos dois dias. Baixamos novamente os arquivos de faixas de rastreadores todos os dias e reconstruímos a base de consulta diariamente, então uma faixa nova pode ficar sem verificação por até cerca de dois dias.
• Rastreadores fora dos nossos 19 feeds. Nenhuma identidade verificada, seja lá o que aleguem.
• Risco de scanners. is_scanner fica ativo, mas, na nossa consulta, não aumenta o fraud_score.

As camadas que cobrem essas lacunas ficam ao lado do IP: comportamento e velocidade, impressão digital de dispositivo, impressões digitais de TLS como JA3 e JA4, desafios e Web Bot Auth para bots que se declaram. Para o lado residencial, leia detecção de fraude com proxies residenciais para saber o que uma consulta pode e não pode mostrar, e por que aparecem tantos proxies residenciais no seu tráfego para entender por que há tantos.

Como detectar tráfego de bots em cadastros, logins e checkout

Para detectar tráfego de bots em cadastros, logins e checkout, faça a consulta de IP no momento da ação e combine-a com o que o seu app já sabe: tentativas por conta, por prefixo e por dispositivo. O IP estreita o campo. Os seus próprios contadores tomam a decisão.

Cada endpoint pesa os sinais de forma diferente:

• Logins. O credential stuffing espalha as tentativas por muitos IPs, muitas vezes residenciais, que a camada de IP não consegue sinalizar. Os sinalizadores de Tor e hospedagem ainda pegam a parcela preguiçosa. Nosso guia de account takeover e credential stuffing traz o manual em camadas.
• Checkout. Um IP de datacenter no checkout pode ser um agente de compras de IA legítimo, então a hospedagem é um dado com peso, não um bloqueio: o servidor da DigitalOcean teve pontuação 15, allow. Veja como impedir fraudes de agentes de compras de IA no checkout.
• Cliques em anúncios. Os sinalizadores de hospedagem e Tor marcam cliques que devem ficar fora dos seus dados de conversão. Nosso guia sobre como detectar fraude de cliques pelo endereço IP mostra a pontuação.
• Cadastros. As mesmas faixas se aplicam, mais uma verificação de muitas contas vindas de um mesmo prefixo.

Use as faixas de pontuação como ação padrão: allow até 25, review até 50, step_up até 75, block acima de 75. Acrescente suas próprias regras para os sinalizadores que a pontuação ignora, como is_scanner.

Como limitar a taxa de IPs de bots sem bloquear usuários reais

Limite a taxa de IPs de bots pela unidade que corresponde a um ator: o /64 em IPv6 e o endereço individual em IPv4, com ajustes para saídas compartilhadas como CGNAT e iCloud Private Relay. Conte a unidade errada e você deixa o bot passar ou pune uma multidão. Para rastreadores de IA especificamente, a decisão entre permitir, verificar ou limitar a taxa é detalhada em você deve bloquear rastreadores de IA?.

Em IPv6, um assinante recebe um /64 inteiro e pode percorrê-lo de graça, então um contador por endereço nunca dispara. Nosso guia sobre como limitar a taxa e bloquear IPv6 por prefixo /64 mostra a função de chave e quando ampliar para /56 ou /48.

Em IPv4, o problema é o oposto: muitas pessoas compartilham um endereço. O CGNAT (NAT em nível de operadora) coloca um bairro inteiro atrás de um IP. A API sinaliza isso como threat.is_cgnat, e a pontuação limita o risco para endereços de CGNAT. O iCloud Private Relay faz o mesmo para usuários da Apple: nosso IP de relay teve pontuação 9, allow, com o método relay_ip.

A geolocalização de relays também exige cuidado. Nossa consulta situou 104.28.46.99 em Luanda, Angola. Essa é a saída do relay, não prova de onde o usuário está, então não faça geobloqueio com base nela. Nosso guia sobre como detectar tráfego anonimizado sem bloquear clientes reais explica a lista de saídas publicada pela Apple e como tratar relays.

Por onde começar com a detecção de bots por IP

Para agir com base na detecção de bots por IP, associe cada sinal a uma ação padrão (para um único endereço suspeito, siga o manual completo de investigação de IP): permita rastreadores verificados, limite a taxa de alegações de rastreador não verificadas, bloqueie ou exija verificação adicional no Tor e use sinais de comportamento quando o IP parecer residencial. Cada linha abaixo é um sinal, o que ele prova, uma ação padrão e o post que o trata.

A forma mais rápida de ver onde está o seu próprio tráfego: pegue os 20 IPs mais ativos dos logs de ontem e cole cada um na ferramenta gratuita de consulta de IP, ou execute curl -s https://api.geoiphub.com/v1/lookup/<ip> sem chave (30 consultas por minuto), ou 1.500 por dia com uma chave gratuita. Classifique-os pelas classes de bot da primeira tabela e você saberá qual seção deste mapa ler primeiro.

Perguntas frequentes

É possível detectar bots só pelo endereço IP?

Em parte. Uma consulta de IP diz de que tipo de rede veio uma requisição: uma faixa publicada de rastreador, um servidor de datacenter, uma saída Tor, uma VPN, um relay de privacidade ou um scanner conhecido. Ela não diz se foi uma pessoa ou um script que enviou a requisição, e não consegue identificar um IP doméstico alugado por meio de uma rede de proxies residenciais. Use o IP como um dado ao lado da taxa de requisições, do histórico da conta e dos sinais de dispositivo.

Como verifico se o endereço IP de um bot é de um rastreador real?

Compare o IP com o arquivo de faixas publicado pelo operador ou faça uma consulta de DNS reverso e confirme com uma consulta direta. O User-Agent não prova nada, porque qualquer cliente pode enviar qualquer string. Na nossa consulta de 07/10/2026, 66.249.66.1 retornou threat.crawler.verified true com o nome Googlebot, enquanto um servidor da DigitalOcean não retornou nenhuma identidade de rastreador. Nosso guia de verificação de rastreadores explica DNS reverso, arquivos de faixas e Web Bot Auth passo a passo.

Qual é a precisão da detecção de bots por IP?

Depende do sinal. Uma correspondência com uma lista publicada é uma evidência forte: o GeoIPHub verifica 19 feeds oficiais de faixas de rastreadores de 10 operadores, baixados novamente todos os dias, e a lista de saídas do Tor Project, atualizada a cada 6 horas. Os sinalizadores de hospedagem, VPN e proxy são inferências; a detecção de hospedagem usa 853 ASNs de hospedagem curados mais as faixas oficiais de 10 provedores de nuvem. Proxies residenciais não são detectados. Não publicamos um percentual de precisão, e as cinco consultas deste post são exemplos, não um benchmark.

Uma pontuação de fraude alta significa que o IP é um bot?

Não. A pontuação mede risco, não automação. Nas nossas cinco consultas, um scanner da Censys teve pontuação 0 e um servidor da DigitalOcean teve 15, ambos allow, embora os dois sejam claramente automatizados. Uma saída Tor teve 100, block. Leia os sinalizadores para saber o que é o tráfego e a pontuação para saber quão arriscado ele é.

O GeoIPHub detecta proxies residenciais?

Não. O campo is_residential_proxy é uma inferência aproximada baseada em ASN, não uma detecção. Um IP doméstico alugado por meio de uma rede de proxies parece uma conexão doméstica comum na camada de IP, então pegá-lo exige sinais de comportamento e de sessão.