O tráfego de aocr.org é um bot: como identificá-lo e filtrá-lo

Resumindo: as visitas vindas de aocr.org no seu analytics não são usuários reais. Elas vêm de um bot que se passa por um Chrome comum e envia um referrer falso. Ele já deixou 388 sessões em oito dos nossos sites e, em um dos menores, respondia por uma em cada seis sessões. Você pode filtrá-lo no painel de analytics ou no servidor, pelo cabeçalho Referer. Não bloqueie IPs, não confie no robots.txt e não entre em contato com o aocr.org.

O que é esse bot e como reconhecê-lo

A análise mais completa é o texto do tin.computer de 29 de outubro de 2026. Ele considera três descobertas confirmadas: a impressão digital de rede do bot (TLS, HTTP/2, cabeçalho Accept) bate com a do Bytespider, o crawler declarado da ByteDance; as gravações de sessão contêm campos de tempo com o nome de Forest, o carregador interno de recursos da ByteDance; e um vazamento de WebRTC localizou as máquinas reais na rede de data centers da China Mobile em Shanxi. Não se sabe quem opera o bot: uma equipe da ByteDance ou um cliente de um serviço de nuvem da ByteDance, como o Volcano Engine. O site aocr.org pertence ao American Osteopathic College of Radiology e não tem nada a ver com isso. Cobrimos o lado noticioso na nossa matéria sobre o bot do aocr.org no nowosci.ai (em polonês).

Nosso próprio analytics conta a mesma história. Em 7 de novembro, nosso Umami auto-hospedado tinha 388 sessões com referrer aocr.org em oito sites, 321 delas no maior. Segundo o tin.computer, outros donos de sites relatam o bot desde cerca de 24 de setembro; nos nossos dados, as primeiras visitas são de 18 de setembro de 2026. Houve algumas dezenas de sessões até o fim de outubro, e em novembro o bot acelerou bruscamente, com 206 sessões só no dia 6 de novembro. Toda visita se denuncia pelo mesmo conjunto de características:

• Um referrer aocr.org. O cabeçalho traz https://www.aocr.org/ e o Umami o registra como aocr.org. As requisições também trazem Sec-Fetch-Site: none, o valor que o navegador envia quando o endereço é digitado ou aberto por um programa; um clique real vindo do aocr.org enviaria cross-site (tin.computer).
• Tela de 800x600, Windows 10, Chrome 146, en-US. Nos nossos dados, quase todas as sessões são 800x600 (duas foram 600x800), e sistema operacional, navegador e idioma coincidem em 100% delas. O user agent sozinho não prova nada, porque o bot imita um Chrome comum.
• Uma página, cerca de 25 segundos. Em 96% das visitas o bot vê uma única página, a mediana de duração da visita no nosso Umami é de 23,6 s, e o tin.computer mediu cerca de 28 s de espera e rolagem.
• Um IP novo em quase toda visita, principalmente de redes de hospedagem e proxy: Datacamp/CDN77, Web2Objects, M247, Ace Data Centers, NET3. São as mesmas redes que o tin.computer listou de forma independente. Por isso os EUA dominam o relatório de países (75% das nossas sessões), embora isso só reflita onde estão os proxies.
• O fuso horário Asia/Shanghai ao lado de um IP americano e idioma inglês (tin.computer). No PostHog, você o encontra na propriedade $timezone.
• Uma curiosidade dos nossos logs: o Referer falso é anexado a todas as requisições: arquivos CSS e JS, imagens e até a chamada de analytics. Um navegador normal enviaria ali o endereço da sua página, então o cabeçalho vem da automação, não do navegador. É exatamente por isso que filtrar por ele funciona.

Como filtrá-lo

• Umami: nas suas visualizações, adicione um filtro de Referrer “is not” aocr.org, sem www, porque é assim que o Umami registra o domínio. As visitas antigas continuam no banco de dados, mas param de distorcer seus gráficos.
• Plausible e Fathom: exclua o referrer www.aocr.org nos seus filtros (conselho do tin.computer). Confira no relatório de fontes se a ferramenta registra o domínio com ou sem www.
• GA4: crie um segmento que exclua as sessões com a origem aocr.org (conselho do tin.computer).
• PostHog: exclua os eventos em que $referring_domain é www.aocr.org. Se o bot mudar o referrer, o tin.computer sugere filtrar por $timezone = Asia/Shanghai junto com $screen_width = 800.

Se você hospeda o próprio analytics, pode simplesmente parar de contar o bot. Desde 7 de novembro fazemos isso no nginx, na frente do Umami: toda chamada ao tracker (/api/send) cujo cabeçalho Referer aponta para aocr.org recebe uma resposta 204 vazia e nunca chega ao banco de dados. As páginas continuam disponíveis; só a contagem é bloqueada. E como um navegador de verdade envia ao tracker o endereço da sua página, um visitante genuíno vindo do aocr.org (se algum dia aparecer) continua sendo contado. Esta é a versão mínima da regra, com o bloco map no contexto http:

map $http_referer $aocr_referrer {
    default 0;
    "~*^https?://([^/]+\.)?aocr\.org(/|$)" 1;
}

server {
    # ... the server block of your analytics host
    location = /api/send {
        if ($aocr_referrer) { return 204; }
        proxy_pass http://127.0.0.1:3000;  # your Umami upstream
    }
}

Quer barrar o bot, e não apenas deixar de contá-lo? Para o Cloudflare, o tin.computer sugere uma regra personalizada de WAF com a ação Managed Challenge: o cabeçalho Accept contém image/heif,image/avif e não há cabeçalho sec-ch-ua. Uma segunda regra, mais simples, verifica se o campo http.referer contém aocr.org. Antes de ativar o challenge, veja o que a regra captura: o tin.computer recomenda começar no modo de registro (log), se o seu plano incluir essa opção. O autor também observa que a regra por impressão digital atinge de quebra o Bytespider declarado.

O que não fazer

• Não bloqueie endereços IP. Nos logs do nosso servidor, 5.365 requisições do bot vieram de 1.020 endereços diferentes, e só 7 deles apareceram em mais de um dia. Uma lista de bloqueio assim fica desatualizada antes mesmo de ser aplicada. O texto do tin.computer diz o mesmo.
• Não confie no robots.txt. O bot não se identifica como Bytespider, então uma regra para o Bytespider não vale para ele. Se quiser bloqueá-lo, faça isso na CDN ou no firewall.
• Não entre em contato com o aocr.org. É o site do American Osteopathic College of Radiology, nada indica que ele tenha sido invadido, e o tin.computer pede explicitamente que ninguém entre em contato com eles por causa desse tráfego.
• Não apague o histórico às pressas. Nós mantivemos as visitas antigas no banco de dados e as escondemos com um filtro. Se o bot mudar o referrer, os dados brutos vão ajudar você a rastreá-lo pelas outras características.

Por que isso importa em projetos pequenos

Medimos a participação do bot a partir da primeira visita dele em cada site. No nosso maior site, ela é de 0,18% das sessões, porque o tráfego alto a dilui. No raba.pl já são 8,45% (18 de 213) e no openclaw.com.pl, 16,3% (7 de 43). Se você cria side projects com vibecoding e usa o analytics para decidir qual deles está decolando, esse bot acrescenta usuários que não existem. O mesmo vale para um agente ao qual você dá acesso às suas estatísticas. Ele também distorce outros números: no nosso maior site, acumulou 924 “visualizações” de banners de parceiros e enviou 321 requisições de eventos ao PostHog. Os filtros de analytics e a regra do nginx não bloqueiam conteúdo, só a contagem de visitas, então são poucos minutos de trabalho que não mudam quem pode ler o seu site.

Fontes: tin.computer: Getting traffic from aocr.org? That's ByteDance crawling your website.