Principais achados
- 3 de 6barrados no portão: dois robôs de buscador falsos e um crawler de IA.
- 2 de 6mandados para uma checagem invisível em vez da página: os dois diziam ser Chrome.
- 1 de 6passou: um script simples que pediu uma página e disse o que era.
O nosso site de demonstração, demo.qlyne.com, fica atrás do mesmo proxy que os clientes rodam nos próprios servidores. Em 18 de outubro de 2026 apontamos um script pequeno para a página inicial com seis disfarces diferentes, um pedido cada. É uma conferência, não um benchmark: seis pedidos, uma página, uma rodada. O que ela mostra é como cada camada do portão responde ao visitante para o qual foi feita.
Os seis visitantes
| Perfil | O que finge ser | Resultado |
|---|---|---|
| Script simples | Um cliente de linha de comando que diz isso no user agent | passou |
| Googlebot falso | Googlebot no nome, vindo de um endereço fora da rede do Google | barrado |
| Bingbot falso | Bingbot no nome, vindo de um endereço fora da rede da Microsoft | barrado |
| Robô de IA | Um crawler de IA (GPTBot) que se identifica | barrado |
| Navegador automatizado | Chrome no nome, sem os cabeçalhos que um Chrome de verdade manda | checado |
| Imitação de Chrome | Um Chrome recente com cabeçalhos coerentes, de um script que não roda JavaScript | checado |
Por que os buscadores falsos foram barrados
O user agent é uma afirmação que qualquer um digita. O Google e a Microsoft publicam as redes de onde os crawlers deles saem, então o portão confere o endereço de todo pedido que diz ser um deles. Os nossos diziam Googlebot e Bingbot e vinham de outro lugar, e essa divergência basta para barrar. Um Googlebot de verdade, vindo da rede do Google, passa.
Por que o crawler de IA foi barrado
A demo barra crawlers de treino de IA por categoria, um ajuste do painel. O GPTBot se identifica com honestidade, então este é o caso fácil: a regra bateu no nome. O caso difícil é o crawler que se passa por navegador, e é disso que tratam os dois perfis seguintes.
Por que dois foram checados em vez de barrados
Os dois diziam ser Chrome. O primeiro deixou de fora cabeçalhos que todo Chrome atual manda ao pedir uma página, um sinal forte de automação. O segundo mandou todos, de forma coerente. Nos dois casos o portão não tinha certeza bastante para barrar, então respondeu com uma checagem: uma pequena prova de trabalho que um navegador de verdade resolve em segundo plano sem o visitante perceber. Um script que não roda JavaScript para aí.
A imitação de Chrome é o perfil para ficar de olho. É o mais perto que um script simples chega de uma pessoa, e preferimos fazer uma pergunta a mandar embora, porque um bloqueio errado custa um cliente de verdade.
Por que o script simples passou
Ele pediu uma página, disse o que era e não fez mais nada. É assim que se parece um monitor de disponibilidade ou um leitor de feed, e barrá-lo quebraria ferramentas de que as pessoas dependem. Quando um script desses pede demais, rápido demais, é o limite de pedidos que o segura.
O que isto não mostra
Seis pedidos não medem precisão. Mostram que cada camada responde do jeito que foi desenhada: a conferência de rede para buscadores, a regra por categoria para crawlers de IA, as checagens de navegador para imitações e o limite de pedidos por trás de tudo. O tráfego real é mais bagunçado. Por isso todo site novo começa em Observar e mostra o que teria sido barrado antes de barrar qualquer coisa.
Como medimos
Um pedido GET à página inicial por perfil, de um endereço nosso, com um segundo e meio entre eles. Nada tocou páginas de login, armadilhas ou qualquer coisa que mude estado. O resultado é o que voltou: a página normal, a página de checagem ou um bloqueio. A mesma rodada alimenta o placar da nossa página inicial.