Tráfego Direct inflado: a IA, os bots e o dark traffic que o GA4 esconde

Por Miguel Maio · Publicado em 30 de outubro de 2026

O teu Direct não é tráfego direto. É o que o GA4 não conseguiu classificar, e boa parte dele nem é humana. Toda a gente olha para o canal Direct e imagina gente a escrever o URL na barra ou a carregar num bookmark. Quase nunca é isso. O Direct é o balde onde o GA4 despeja tudo o que não soube atribuir, e antes de tirares uma conclusão desse número tens de saber o que lá está dentro.

Porque é que o teu tráfego Direct está inflado

O Direct é o canal por omissão: o GA4 mete lá qualquer sessão a que não consegue atribuir origem. Não é um sinal de intenção, é uma ausência de dados. Enche-se por várias vias ao mesmo tempo, e raramente pela que imaginas.

As causas clássicas são a perda de referrer: uma ligação de HTTPS para HTTP, um clique a partir de uma app ou de um cliente de e-mail, um redirect mal feito que deixa cair o referrer. A estas juntou-se um salto entre domínios mal medido, que o GA4 trata como sessão nova sem origem, e, nos últimos dois anos, o tráfego de IA: muita referência de chatbots e de respostas geradas chega sem referrer identificável e aterra, também ela, no Direct. O número cresce, e cresce pela pior razão: mede-se cada vez pior.

O que o GA4 filtra de bots, e o que lhe escapa

O GA4 filtra bots, mas só os mais óbvios. A norma do setor (MRC) divide o tráfego inválido em dois: General Invalid Traffic (GIVT), detetável por listas conhecidas, e Sophisticated Invalid Traffic (SIVT), que exige análise avançada para ser apanhado. O GA4 só trata do primeiro.

A filtragem do GA4 assenta numa combinação de investigação da própria Google e da lista internacional de spiders e bots (IAB), está ligada por omissão e não se pode desligar nem sequer ver quanto foi excluído. Ou seja: apanha o GIVT, a parte fácil, e deixa passar o SIVT, a parte que importa. Um bot que não esteja nessas listas, que execute JavaScript e dispare a tag, entra nos teus relatórios como visita humana. E a definição de SIVT da MRC inclui exatamente isso: bots que se fazem passar por gente, tráfego por proxy, dispositivos sequestrados. O GA4 não o vê, e tu também não, se olhares só para o GA4.

Dark traffic: o tráfego humano que perde o referrer

Nem todo o Direct inflado é bot. Boa parte é dark traffic: tráfego humano real que chega sem referrer e por isso não é atribuível. É o oposto do problema dos bots. Aqui perdes gente verdadeira, mal etiquetada, não ganhas gente falsa.

O mecanismo é a Referrer Policy do W3C, que define quando e quanto do referrer um browser envia (W3C, Referrer Policy). Numa ligação que baixa de HTTPS para HTTP, o referrer é suprimido por norma. Em apps, clientes de e-mail e documentos, muitas vezes nem existe. E quando o percurso atravessa um segundo domínio sem medição cross-domain configurada, a origem real perde-se entre os dois. O resultado é sempre o mesmo: uma pessoa real, a vir de um sítio concreto, contada como Direct. Multiplica isto por milhares de sessões e tens um canal que parece forte e não diz nada.

Browsers de IA: o tráfego que dispara o GA4 e parece humano

Os browsers com IA integrada, o Atlas da OpenAI e o Comet da Perplexity, são a próxima vaga de ruído no Direct, e a mais traiçoeira, porque executam JavaScript, disparam a tag do GA4 e comportam-se como um utilizador. Não estão na lista do IAB. Logo, são SIVT que passa por humano.

É aqui que a coisa surpreende pela negativa: o problema não vai melhorar, vai piorar. À medida que estes agentes navegam, clicam e preenchem em nome das pessoas, geram sessões que o GA4 regista como tráfego legítimo e deposita no Direct, ou numa origem que não corresponde a nenhuma decisão humana. Quem continuar a medir só pelo GA4 vai ver o Direct engordar e atribuí-lo a notoriedade de marca, quando é, em parte, software a visitar o site. Já escrevi em detalhe sobre os browsers de IA como o Atlas e o Comet.

A verdade está nos logs do servidor, não no GA4

Os logs do servidor registam tudo o que chegou ao servidor, timestamp, IP, user-agent, URL pedido e código de estado, independentemente de JavaScript, de consentimento de cookies ou de listas de bots. São a única fonte de medição que não depende da tag. Se o GA4 te mostra a versão filtrada e enviesada, os logs mostram o que aconteceu de facto.

É aqui que apanhas o que o GA4 esconde. Primeiro, verificas os bots falsificados, porque qualquer script pode escrever "Googlebot" ou "GPTBot" no user-agent. Há dois métodos, e cada fornecedor sério suporta um: a correspondência do IP contra o ficheiro de gamas que o fornecedor publica (OpenAI, para o GPTBot, o OAI-SearchBot e o ChatGPT-User; a Anthropic; a Perplexity), ou o DNS reverso e direto, o método que a Google documenta para o Googlebot. Um PTR genérico prova controlo de DNS, não a identidade do bot. A escala da fraude é real: a HUMAN Security mediu que 5,7% do tráfego que se diz crawler de IA é falsificado, e o mais imitado de todos é o ChatGPT-User, com cerca de um pedido falso por cada cinco verdadeiros.

Segundo, e mais importante para o Direct: dimensionas a fatia não-humana e mal atribuída por reconciliação. Puxas o GA4 e os logs do mesmo período, procuras nos logs os user-agents de IA e de bots, e comparas com o que o GA4 contou. A diferença é a tua subcontagem (ou sobrecontagem) real, em número, não em palpite. Ferramenta para isto: o Screaming Frog Log File Analyser, que tem uma opção de verificar bots na importação, a cruzar os IPs com as listas publicadas. Sem esta reconciliação, estás a discutir o Direct com metade dos dados.

Como separar humano, dark traffic e bots no GA4

Se não chegas aos logs, ainda consegues limpar parte do ruído dentro do próprio GA4, menos fiável, mas melhor do que nada. A regra é parar de tratar o Direct como um bloco e começar a parti-lo.

Três movimentos práticos. Aplica um filtro de hostname para cortar o tráfego fantasma de domínios que não controlas, uma fonte clássica de Direct e de referrals falsos. Cria um segmento que cruze o Direct com páginas profundas e específicas, porque ninguém escreve de cor o URL de um artigo interno, logo Direct a aterrar aí é quase sempre referrer perdido ou IA, não acesso direto. E confronta os picos de Direct com as páginas que a IA anda a citar: se o Direct sobe nas páginas que aparecem em respostas de chatbots, já sabes de onde vem. Nada disto é tão sólido como os logs, mas transforma um balde opaco em três hipóteses testáveis. Para o detalhe de como medir a IA no GA4, escrevi um guia dedicado.

Como mitigar o tráfego de bots: Cloudflare, server-side e filtros

Medir melhor não chega: convém também travar o bot antes que ele suje os dados. A mitigação faz-se em camadas, da borda da rede até à recolha, e a escolha depende do que tens e do que pagas.

Na borda, a Cloudflare é o caminho mais direto. O Bot Fight Mode, no plano gratuito, trava tráfego automatizado óbvio; o Super Bot Fight Mode, nos planos Pro, Business e Enterprise (sem o add-on de Bot Management), deixa-te definir ações por categoria de bot e distinguir bots verificados dos outros; o Bot Management, no plano Enterprise, dá uma pontuação por pedido para decidires caso a caso. Na recolha, uma configuração server-side permite filtrar o pedido antes de ele chegar ao GA4, a bloquear o que vem com pontuação de bot alta. E dentro do GA4, para lá da filtragem automática, usas filtros de hostname e de dados para cortar o spam de referral e o Measurement Protocol. Nenhuma camada chega sozinha; juntas, devolvem-te um Direct em que podes confiar.

Não decidas com base no Direct enquanto não souberes o que lá está

Cada euro que moves para um canal com base num Direct que não abriste é um euro movido às cegas. Pode estar a pagar bots, a esconder uma origem real que devias estar a reforçar, ou a tapar um erro de medição que te está a custar dados há meses. O custo não é teres o número errado no relatório. É tomares a decisão certa para o problema errado, e só descobrires quando já gastaste.

Fontes

• MRC - Invalid Traffic Detection and Filtration Standards (PDF)
• Google Analytics Help - Exclusão de bots conhecidos
• W3C - Referrer Policy
• Google Search Central - Verificar o Googlebot
• OpenAI - GPTBot (gamas de IP)
• Anthropic - Crawlers (bots.json)
• Perplexity - Crawlers
• Cloudflare - Bots (documentação)
• HUMAN Security - AI crawler spoofing
• Screaming Frog - Monitorizar bots de IA nos logs

Perguntas frequentes