Contas falsas de clientes na Shopify: origem e como barrar

Contas falsas de clientes na Shopify geralmente são bots enviando seus formulários de newsletter, de contato ou de contas legadas. A Shopify cria um perfil de cliente para cada inscrição na lista de e-mails ou cadastro de conta. Para barrá-las, mantenha o hCaptcha ligado, migre para as contas de cliente atuais sem senha e ative o double opt-in para que cadastros não confirmados nunca recebam marketing. Depois exclua os falsos que não têm pedidos.

Tudo abaixo se baseia na Central de Ajuda e na documentação para desenvolvedores da Shopify em 6 de outubro de 2026, com links em cada seção. A Shopify muda o painel administrativo com frequência, então, se um caminho de menu tiver mudado de lugar, procure o nome do ajuste na Central de Ajuda.

De onde vêm os perfis falsos

Qualquer formulário que coleta um e-mail pode criar um perfil de cliente, e bots preenchem formulários automaticamente.

A página da Shopify sobre gerenciar clientes lista o que cria um perfil: "inscrever-se na sua lista de e-mails ou numa conta de cliente", "fazer um pedido" e "começar um pedido, mas abandonar o checkout". O formulário de newsletter é o alvo mais fácil. Ele pede só um e-mail, e o guia de informações de contato da Shopify diz que esses endereços "ficam armazenados no segmento de clientes Email subscribers".

Há dois padrões comuns, e eles trazem riscos diferentes:

O que você vê	Causa provável	Risco principal
Nomes aleatórios, endereços sem sentido, rajadas de cadastros	Spam genérico em formulários	Bounces quando você envia marketing
Endereços com cara de reais no Gmail ou em domínios de empresa, nunca abertos	Um bot enviando endereços de vítimas para muitos sites (list bombing)	Reclamações de spam de pessoas que nunca se cadastraram

A segunda linha é a perigosa. Sua loja vira um dos remetentes de um ataque contra a caixa de entrada de alguém, como descrito em como barrar cadastros falsos. Lojistas nos fóruns da comunidade Shopify descreveram ondas de contas falsas chegando mesmo com CAPTCHA, então trate os ajustes como uma camada de proteção, não como cura.

Passo 1: mantenha o hCaptcha ligado

O hCaptcha vem ligado por padrão. Confira se ele não foi desligado e não use outro app de CAPTCHA junto com ele.

Segundo a página de preferências da loja virtual da Shopify, o hCaptcha pode rodar "nos formulários de contato, de inscrição na newsletter e de comentários" e "nas páginas de login, criação de conta e recuperação de senha". Para conferir, vá em Online Store > Preferences, encontre Spam protection e confirme que as duas caixas estão marcadas:

• Enable hCaptcha on contact and comment forms
• Enable hCaptcha on login, create account, and password recovery pages

Dois avisos da mesma página. Primeiro, "o hCaptcha não é compatível com código personalizado ou apps de terceiros que adicionam CAPTCHA", então, se um app adiciona o próprio CAPTCHA, use um ou outro. Segundo, o ajuste das páginas de conta vale para as contas de cliente legadas. A Shopify atualizou a forma como o hCaptcha se conecta aos formulários legados de login, conta e cadastro em 28 de outubro de 2024 e descontinuou a antiga página /challenge, então um tema mais antigo pode precisar de atualização para a proteção funcionar.

Passo 2: migre das contas de cliente legadas

As contas de cliente legadas foram descontinuadas, e as contas de cliente atuais usam um código de uso único por e-mail em vez de senha.

O guia de migração da Shopify diz sem rodeios: "As contas de cliente legadas foram descontinuadas." Com as contas de cliente atuais, os clientes "digitam o endereço de e-mail e recebem um código de verificação de 6 dígitos de uso único. Não é preciso senha para entrar." A página de preferências acrescenta que "o processo de verificação das contas de cliente não exige hCaptcha".

A Shopify não publica números antiabuso sobre isso, então não vamos afirmar nenhum número. A lógica do design é simples: entrar exige ler um código enviado para aquela caixa de entrada, o que um bot com um endereço inventado não consegue fazer. Revise antes as limitações do guia de migração, principalmente se você criou um formulário de cadastro personalizado ou depende de fluxos disparados pelas contas legadas.

Passo 3: ative o double opt-in para marketing

O double opt-in não impede que o perfil seja criado, mas deixa os endereços não confirmados fora do seu marketing.

Vá em Settings > Notifications > Customer notifications e, em Marketing double opt-in, selecione Customer marketing confirmation. A Shopify descreve isso como exigir que "os clientes cliquem num link em um e-mail para confirmar que querem receber marketing por e-mail e SMS de você".

Três detalhes da documentação da Shopify:

• "Clientes que se inscrevem na sua lista antes de você ativar o double opt-in não precisam confirmar o status." Os falsos já existentes continuam inscritos, e é por isso que o passo 4 existe.
• Se um app de inscrições coleta os cadastros, configure o double opt-in nesse app também. Se ele não tiver essa opção, "todos os clientes que se cadastrarem ficam marcados como inscritos".
• Atualize a mensagem de confirmação do seu formulário de newsletter para pedir que as pessoas olhem a caixa de entrada.

Um e-mail de confirmação por cadastro ainda é um e-mail para uma possível vítima. Combine o double opt-in com o hCaptcha para que bots não consigam disparar milhares deles. Os prós e contras estão em double opt-in vs. verificação de e-mail.

Passo 4: encontre e exclua os falsos que você já tem

Monte um segmento de perfis sem pedidos do período do ataque, revise e depois exclua em massa.

O editor de segmentos da Shopify usa uma linguagem de consulta. A referência documenta number_of_orders, customer_added_date e customer_email_domain, com datas relativas como -30d. Um segmento para começar:

number_of_orders = 0 AND customer_added_date >= -30d

Refine antes de excluir. Ordene por data de cadastro e procure rajadas. Para checar um domínio suspeito, adicione AND customer_email_domain = 'example.com'. Nessa visão, inscritos reais sem pedidos se parecem muito com os falsos, então exclua só os grupos de que você tem certeza.

Depois, na página Customers, selecione os perfis e escolha Delete customers. As regras da Shopify:

• A exclusão "não pode ser desfeita".
• Perfis não podem ser excluídos se o cliente "está associado a um ou mais pedidos", "já teve uma assinatura", aguarda uma exclusão por GDPR ou tem um cartão-presente agendado para receber.
• Numa exclusão em massa, "só os perfis que podem ser excluídos são excluídos".

Apagar dados pessoais é diferente de excluir. A Shopify oculta o nome e o endereço, "mas o perfil e o histórico de pedidos permanecem".

Se você quiser automatizar isso, confira o que de fato dispara sua ferramenta. O gatilho Customer created do Shopify Flow está documentado como iniciado "quando um novo cliente faz um pedido na sua loja, ou quando um perfil de cliente é criado manualmente", então não presuma que ele pega inscrições na newsletter.

Passo 5: verifique antes de enviar

Exporte o segmento Email subscribers, verifique e remova o que dá bounce antes da sua próxima campanha.

Cadastros falsos fazem mais estrago quando você manda e-mail para eles. Endereços que não existem geram hard bounce, e uma sequência de bounces num único envio mostra aos provedores de e-mail que você coleta sua lista sem cuidado. Alguns endereços lixo também são spam traps.

Exporte o segmento como CSV, passe por um verificador e cancele a inscrição ou exclua as linhas invalid. Deixe os resultados risky e catch-all fora de envios grandes até que tenham engajado. Qualquer serviço de verificação serve para isso. O SimpleVerifier aceita uploads de CSV de até 100,000 linhas nos planos mensais, e a checagem gratuita de saúde da lista de e-mails dá uma noção rápida do tamanho do problema. Erros de digitação no checkout e abuso de pop-ups de desconto, as outras fontes de endereços ruins no ecommerce, são tratados em verificação de e-mail para lojas de ecommerce.

A versão curta

1. Online Store > Preferences > Spam protection: mantenha as duas caixas do hCaptcha marcadas e não empilhe um segundo app de CAPTCHA.
2. Migre para as customer accounts (contas de cliente) atuais, que usam códigos de uso único e substituem as contas legadas descontinuadas.
3. Settings > Notifications > Customer notifications > Customer marketing confirmation: ative o double opt-in.
4. Segmente os perfis com number_of_orders = 0 do período do ataque, revise e exclua em massa. Perfis com pedidos não podem ser excluídos.
5. Verifique a lista Email subscribers antes de cada campanha grande.