Pedidos creados por bots

Toda tienda online recibe visitas de bots: programas automáticos que navegan por las páginas sin una persona detrás. La mayoría solo lee tus páginas, pero algunos van más allá, agregan productos al carrito y entran al checkout. Cuando eso ocurre, puedes ver en tu panel pedidos o carritos abandonados que ningún cliente real creó.

No todos los bots son un problema. Algunos los envía Google para verificar tus productos y son imprescindibles si vendes en Google Shopping. Otros solo llenan tus carritos abandonados de basura. Y unos pocos son un intento real de fraude. Este artículo te ayuda a distinguirlos y actuar en cada caso.

Los tres tipos de pedidos de bots

Tipo	Lo que ves	¿Es dañino?	Qué hacer
Google StoreBot	Carritos abandonados de Google Bot / johnsmith001@storebotmail.joonix.net, que llegan desde js-google-shopping-app	No. Es Google verificando tus productos	No lo bloquees
Bots de spam	Muchos carritos abandonados con nombres aleatorios y emails desechables o sin sentido, creados en ráfagas	No directamente, pero distorsionan tus métricas y listas de email	Exclúyelos de tus métricas y listas de email
Card testing	Muchos pedidos pequeños en poco tiempo, a menudo con pagos fallidos o rechazados	Sí. Alguien está probando tarjetas robadas en tu checkout	Actúa rápido con tu proveedor de pagos

Google StoreBot: pedidos de verificación de Google Shopping

Es el caso más común en tiendas conectadas a Google mediante la app Google Commerce.

Cómo reconocerlo

Campo	Lo que verás
Nombre del cliente	Google Bot o Google StoreBot
Email	johnsmith001@storebotmail.joonix.net, johnsmith002@..., etc.
Teléfono	Un número que termina en 650 253 0000.
Navegador	Chrome (Generic Linux). El rastreador se identifica con el user agent Storebot-Google/1.0.
Información de referencia	Fuente y medio de campaña js-google-shopping-app: la visita llegó desde un enlace de producto de tu feed de Google Shopping.
Historial	Solo “Carrito creado”.
Productos	A veces ninguno (“El cliente los eliminó antes de completar el checkout”) y un total de $0.

Por qué ocurre

Google StoreBot es un rastreador oficial de Google. Según la propia Google, “analiza sistemáticamente páginas web para recopilar y analizar datos” y navega por páginas de producto, de carrito y de checkout. Google lo usa para comprobar que la información que envías a Merchant Center coincide con lo que ven los compradores en tu sitio: precios de productos y de envío, disponibilidad, validez de cupones, plazos de entrega, medios de pago, y la seguridad y los datos de contacto de la tienda.

Para ver los costos de envío y los medios de pago, el bot entra al checkout como lo haría un cliente. Cuando completa los datos de contacto, Jumpseller crea el carrito y, como el bot nunca finaliza la compra, el carrito termina en Pedidos > Abandonados.

¿Debo bloquearlo?

No. Google indica que “se recomienda encarecidamente permitir que el rastreador acceda a tus páginas”. Si lo bloqueas (por IP, firewall, robots.txt o cualquier otro método):

• Google deja de poder verificar tus productos, Merchant Center informa problemas de acceso y puede rechazar tus productos.
• Las preferencias de rastreo para Storebot-Google afectan a todas las superficies de Google Shopping, así que tus productos pueden dejar de mostrarse ahí.
• Una vez restablecido el acceso, según Google normalmente tardan entre 12 y 48 horas en volver a aprobarse los productos.

Bloquearlo solo tiene sentido si tu tienda no usa Google Shopping ni Merchant Center en absoluto.

Si realmente quieres, puedes bloquear al cliente desde tu panel de administración, pero no lo recomendamos para Google StoreBot, por los motivos anteriores.

Bots de spam: carritos abandonados basura

Son scripts automáticos que visitan tiendas, agregan productos al carrito, escriben un email y se van sin comprar.

Cómo reconocerlos

• Muchos carritos abandonados en poco tiempo, a menudo de noche o en oleadas.
• Nombres aleatorios o repetidos, y emails de dominios desechables o desconocidos.
• El mismo producto (o los mismos pocos productos) en todos los carritos.
• Sin referencia, o sin ninguna página de producto visitada antes del checkout.

Qué hacer

• No son ventas y no se realiza ningún pago, así que no hay dinero en riesgo.
• Exclúyelos de tus métricas. Si analizas carritos abandonados o conversión, filtra estos emails al exportar tus pedidos abandonados.
• Mantén limpias tus listas de email. Si usas emails de recuperación de carritos abandonados o una herramienta de email marketing conectada a tu tienda, elimina o suprime estas direcciones para que no cuenten como contactos ni distorsionen tus estadísticas de email.
• Mantén activada la Protección contra el Spam. En Configuración > General, la Protección contra el Spam agrega un captcha a los formularios de registro de clientes y de contacto para frenar registros falsos y mensajes automáticos.

Si el volumen es muy alto, puedes bloquear a los clientes involucrados o activar temporalmente el captcha en el checkout, y contactarnos para que nuestro equipo lo revise.

Card testing: cuando los bots prueban tarjetas robadas

Este es el tipo que requiere acción. Los estafadores compran listas de números de tarjetas robadas y usan bots para hacer muchos intentos de pago pequeños en un checkout real, para descubrir qué tarjetas siguen funcionando.

Cómo reconocerlo

• Un pico de pedidos con montos pequeños en pocos minutos.
• Muchos pagos fallidos o rechazados, a veces desde el mismo email o con datos muy parecidos.
• Pedidos desde países o regiones a los que normalmente no vendes.
• Una caída repentina de tu ticket promedio.

Qué hacer

1. Contacta a tu proveedor de pagos de inmediato. La mayoría de las pasarelas tiene sus propias herramientas antifraude (como verificación del código de seguridad de la tarjeta, puntuación de riesgo o 3-D Secure) y puede ayudarte a frenar el ataque.
2. Activa el captcha en el checkout mientras dure el ataque, para que los bots no puedan seguir enviando intentos de pago.
3. No despaches ningún pedido que parezca sospechoso, aunque el pago haya sido aprobado. Los pagos hechos con tarjetas robadas pueden ser desconocidos más tarde por el titular real.
4. Anula o reembolsa los pedidos pagados sospechosos a través de tu proveedor de pagos.
5. Contáctanos con los números de pedido y el periodo para que revisemos la actividad desde nuestro lado.

Herramientas para proteger tu tienda

Bloquear un cliente

Si un cliente concreto sigue creando carritos basura o pedidos sospechosos, puedes bloquearlo desde tu panel de administración: ve a Clientes, abre el cliente y haz clic en Bloquear.

Ten en cuenta:

• No bloquees a Google StoreBot (@storebotmail.joonix.net) si vendes en Google Shopping. No lo recomendamos, por los motivos explicados más arriba.
• Los bots de spam y de card testing suelen cambiar de email en cada intento, así que bloquear a un cliente no detiene un ataque por sí solo. Úsalo con quienes se repiten, junto con el captcha.

Activar el captcha en el checkout

En Configuración > Checkout > Formulario puedes activar la opción captcha en el checkout. El captcha solo se muestra cuando es necesario y hace mucho más difícil que los bots completen tu checkout.

Solo recomendamos activarlo durante un ataque (por ejemplo, una oleada de card testing o de carritos de spam). Cualquier paso extra en el checkout puede añadir fricción para los clientes reales, y también puede afectar a bots legítimos como Google StoreBot. Cuando el ataque termine, puedes volver a desactivarlo.

Cómo distinguirlos rápidamente

• Email storebotmail.joonix.net + js-google-shopping-app → Google StoreBot. Ignóralo y no lo bloquees.
• Emails aleatorios, sin intento de pago, muchos carritos → bot de spam. Limpia tus métricas y listas; bloquea a los que se repiten.
• Muchos intentos de pago, montos pequeños, tarjetas rechazadas → card testing. Actúa ya y activa el captcha en el checkout.

Preguntas frecuentes

¿Puedo bloquear a un cliente concreto? Sí, desde Clientes, abriendo el cliente y haciendo clic en Bloquear (ver cómo). En bots de spam y card testing rara vez detiene un ataque por sí solo, porque suelen cambiar de email, nombre e IP en cada intento. Para Google StoreBot no lo recomendamos.

¿Se realizó algún pago? Google StoreBot y los bots de spam recorren el checkout sin pagar, por eso se quedan en la lista de Abandonados. Puede aparecer un medio de pago seleccionado en el pedido (por ejemplo, Webpay), pero eso solo refleja lo que se eligió en el formulario del checkout. El card testing es la excepción: sí intenta pagos.

¿Por qué empezaron a aparecer ahora? Google no publica el calendario de rastreo de StoreBot. En nuestra experiencia, estos carritos suelen aparecer después de que una tienda se conecta a Google Shopping o actualiza su catálogo. Los bots de spam y el card testing suelen llegar en oleadas, sin relación con ningún cambio que hayas hecho.

¿Puedo eliminarlos? Los carritos abandonados no cuentan como ventas, así que no hace falta.

Fuentes

• Ayuda de Google Merchant Center: Acerca del rastreador Google StoreBot
• Google Search Central: Rastreadores comunes de Google (Storebot-Google)

Si tienes alguna duda, puedes contactarnos en cualquier momento y te ayudaremos con gusto.