O Instrumento Que Não Enxerga o Tráfego Que Importa

Em uma semana, um site de 1,5 milhão de páginas serviu 2,5 milhões de requisições e 1,28 milhão de páginas. A ferramenta de analytics registrou 5.977 pageviews humanos. Isso dá 214 requisições de máquina para cada visitante que o dashboard conseguiu contar.

O operador do PatronView publicou esses números em agosto de 2026 a partir dos próprios logs de servidor. São dados operacionais de primeira mão de um único site, sem pretensão de virar referência de mercado, e ele mesmo evita generalizar. Trate a proporção como uma medição isolada e o mecanismo como geral.

O mecanismo é a parte preocupante. O analytics em JavaScript dispara quando um navegador baixa a página, faz o parse, executa o script e envia o beacon. Crawlers, scrapers e a maioria dos agentes fazem o primeiro passo e pulam o resto. A ferramenta é estruturalmente incapaz de contar o tráfego automatizado. O número do dashboard é outra grandeza, com o rótulo “tráfego” colado em cima, e nenhuma margem de erro conserta isso.

A Medição Estava Certa e a Resposta Estava Errada

Todo número que aquele site reportava sobre si mesmo vinha de uma população que representava menos de meio por cento das requisições chegando na máquina. Planejamento de banda, estratégia de cache, orçamento de performance, decisão editorial sobre quais páginas “ninguém lê”: tudo a jusante de um instrumento que enxergava uma classe de cliente e ficava mudo sobre a outra.

Nada quebrou. A tag disparou corretamente. O pipeline do fornecedor estava saudável. O dado estava limpo, consistente e respondendo a uma pergunta que ninguém tinha feito.

Esse modo de falha tem nome em trabalho de instrumentação: a camada de observabilidade herda as premissas do cliente do qual ela depende. Analytics client-side pressupõe um cliente cooperativo. A maior parte da telemetria de agentes em produção hoje faz a mesma aposta. Se as métricas dos seus agentes vêm de um SDK que o próprio agente precisa chamar, você está medindo os agentes que cooperam e apresentando o resultado como se cobrisse os demais.

Já fizemos uma versão desse argumento sobre dashboards de fornecedor que escondem detalhe por rota. Este caso é mais duro. Lá, o detalhe existia e o fornecedor agregava por cima dele. Aqui, o detalhe nunca entrou no pipeline, e nenhum nível de drill-down no dashboard vai fazê-lo aparecer.

O Que o Log de Servidor Mostrou e o Dashboard Não Podia Mostrar

Uma camada abaixo, a imagem se reorganiza.

Em 22 de abril, aquele site absorveu 3,6 milhões de requisições vindas de 361.844 IPs únicos em um único dia. A Cloudflare emitiu 1,18 milhão de desafios nas dez horas de pico. Nada disso aparece em um relatório de pageviews, porque quase nenhum desses clientes executou uma linha de JavaScript.

As razões entre crawl e referral são o número que vale levar para a próxima reunião de planejamento. O Claude-SearchBot rastreou cerca de 35.000 páginas para cada visitante que devolveu. O Googlebot rodou 46 páginas por referral. O crawler da Amazon puxou aproximadamente 117.000 requisições por dia e não referenciou ninguém. Essas são taxas de câmbio. O site paga computação, banda e carga de origem em uma moeda e recebe tráfego em outra, a uma taxa que a ferramenta de analytics nunca imprime porque só enxerga o lado do recebimento.

Os números de defesa são igualmente específicos. Em 48 horas, 106.437 desafios de CAPTCHA produziram 252 resoluções: taxa de 0,24%. O operador trata esse valor como botão de calibragem. Perto de 0,2% significa que o desafio está pegando máquinas. Perto de 30% significa que está pegando humanos, e você passou a cobrar um pedágio dos seus leitores para conter crawlers.

Mais um detalhe, e é o mais honesto do texto: o próprio script de CAPTCHA dele custou 2.875ms no celular. O controle criado para defender a performance virou o problema de performance. Instrumentação e enforcement têm conta a pagar, e a conta cai justamente sobre a população que se queria proteger.

Sinais Que Sobrevivem a um Cliente Não Cooperativo

A parte útil do relato é a mudança no que conta como evidência. Quando o cliente não se identifica com honestidade, você para de perguntar a ele e passa a ler o que ele não consegue forjar.

A defasagem de versão do navegador funciona como sinal por causa de um fato distribucional que ele mediu: apenas 0,54% dos visitantes reais de busca rodam Chrome nas versões 100 a 130. Um cliente que alega essa faixa quase certamente não é uma pessoa. A inferência não depende de confiar na string de user agent. Depende de conhecer o formato do seu próprio tráfego real bem o bastante para notar uma alegação que não encaixa nele.

A postura de produção segue a mesma lógica. Rate limit em 30 requisições de página a cada 10 segundos por IP. Bloqueio no nível de ASN em vez de IP, porque um pool rotativo de endereços dentro de um mesmo sistema autônomo é um ator só usando muitos chapéus. Desafios gerenciados são preferidos a bloqueio duro, para que um humano classificado errado ainda tenha caminho. Crawlers sempre podem ler o robots.txt, mesmo quando todo o resto está bloqueado, porque um bot que não consegue ler a regra não tem como segui-la.

O custo emoldura tudo: cerca de US$ 90 por mês de baseline, com pico de 500% nos meses de ataque. É esse número que define quanta defesa é racional.

A mesma disciplina vale para agentes dentro dos seus sistemas. Um agente que escreve o próprio diário do que fez é útil, e continua sendo autorrelato. O log do proxy, a tabela de auditoria do banco e o registro de egress são o equivalente ao log de servidor: observam o agente por fora e não dependem de o agente escolher ser observado.

Faça Isto Agora

Pegue o único sistema em que você cita um número de tráfego ou de uso para alguém que decide com base nele. Puxe o log bruto de requisições das mesmas 24 horas na camada imediatamente abaixo do seu analytics: log de CDN, de load balancer, de ingress ou de API gateway. Conte o total de requisições. Divida pelo número que o dashboard reportou naquela janela.

Se a razão ficar perto de 1, seu instrumento enxerga a população dele e você pode parar por aí. Se der 10, ou 214, você acabou de dimensionar o que vinha administrando às cegas, em uma tarde e sem comprar nada.

Depois repita com um agente. Compare o que a telemetria dele diz que chamou com o que o log do proxy ou do banco diz que foi chamado de fato. A diferença entre essas duas contagens é a parte do comportamento do seu agente que hoje não tem dono.

O instrumento continua respondendo com precisão à única pergunta para a qual foi construído. Alguém rio acima começou a tratar essa resposta como o quadro inteiro. Ler uma camada abaixo custa uma tarde e resolve a dúvida.

Fontes

PatronView. “99% of my website traffic is bots.” Agosto de 2026.

A Victorino ajuda times de engenharia a instrumentar tráfego de agentes e de máquinas na camada que consegue enxergá-lo: contato@victorino.com.br | www.victorino.com.br