Cómo los bots del checkout vacían tu inventario antes de que lo vean los clientes reales

Los lanzamientos de stock limitado son un imán para la automatización. Un bot de reventa puede llenar un carrito y llegar al checkout en mucho menos de un segundo, más rápido que cualquier persona, y hacerlo cientos de veces a la vez desde direcciones IP que van rotando.

Por qué limitar las peticiones no basta

La limitación clásica cuenta peticiones por IP. Los bots ya la superaron:

• Rotan por redes de proxys residenciales para que ninguna IP parezca abusiva
• Reparten sus peticiones al azar para evitar picos evidentes
• Envían cabeceras y user agents de aspecto realista

Nada de eso cambia lo que pasa dentro del navegador. Un checkout por script mueve el ratón (o no), rellena los formularios demasiado rápido o directamente no los rellena, y se relaciona con la página de una forma estadísticamente distinta a una persona que quiere comprarse una sudadera.

Lo que funciona de verdad

Las señales de comportamiento, como el movimiento del ratón, el ritmo de los clics y la velocidad al rellenar formularios, junto con comprobaciones del entorno como la detección de navegadores headless, las huellas de frameworks de automatización y las marcas de WebDriver, detectan lo que las reglas por IP no ven. Si esas señales se puntúan en tiempo real, el checkout se puede bloquear o verificar antes de que se complete el pedido, y no después de que llegue un contracargo.

Ese es el modelo de Skyfense: puntuar cada visita de forma invisible y actuar solo sobre las que parecen automatizadas.