Detecção de bots no Twitter: identifique bots e seguidores falsos em qualquer escala

#Como saber se uma conta do Twitter é um bot

Leia vários sinais em conjunto e conte quantos apontam na mesma direção: um detalhe estranho é ruído, quatro são um padrão. O Verificador de bots do Twitter, gratuito, faz essa contagem para qualquer conta pública em segundos. Ele lê dez sinais do perfil, dos dados de "Sobre esta conta" do próprio X e dos posts mais recentes, classifica a conta como baixa, média ou alta e pontua também os 200 seguidores mais recentes.

Verificar à mão no x.com leva cinco olhadas:

• O perfil. Uma foto padrão, uma bio vazia e um nome de usuário que termina com uma longa sequência de dígitos.
• Os números. Milhares de contas seguidas, algumas dezenas que seguem de volta e milhares de posts em uma conta recente.
• Sobre esta conta. Abra o menu no perfil: o X mostra o país em que coloca a conta, quantas vezes o nome de usuário mudou e quando o Premium começou. Uma bio que diz Miami em uma conta que o X coloca em outro lugar merece uma segunda olhada.
• Os posts. Só reposts, a mesma resposta em muitas threads ou posts a qualquer hora do dia e da noite.
• O rótulo. Bots que se declaram como tal exibem o rótulo de conta automatizada (abre em uma nova aba) do X abaixo do nome e do usuário. Um selo azul não prova nada: ele mostra um plano Premium pago, não uma pessoa.

#O que conta como bot ou seguidor falso no X

Um bot é uma conta operada, ao menos em parte, por software; um seguidor falso é uma conta que existe para inflar o número de seguidores de outra pessoa. Os dois se sobrepõem, mas pedem verificações diferentes: os bots se revelam pelo que postam, os seguidores falsos pelo quão vazios são os perfis.

• Conta automatizada

  O que é

  Software que posta em horários programados: alertas, feeds, previsão do tempo

  Como aparece

  Horários regulares, um único assunto, muitas vezes o rótulo "Automatizada" do X

• Bot de spam

  O que é

  Uma conta automatizada que empurra links, golpes ou respostas em volume

  Como aparece

  A mesma resposta em todo lugar, só reposts, um perfil vazio

• Seguidor falso

  O que é

  Uma conta comprada ou cultivada para aumentar a contagem de seguidores

  Como aparece

  Recém-criada, sem posts, sem curtidas, sem foto, entrou em lote

• Seguidor inativo

  O que é

  Uma pessoa real que parou de postar ou só lê

  Como aparece

  Um ou dois alertas, data de entrada mais antiga

• Conta coordenada

  O que é

  Pessoas ou scripts que operam muitas contas para simular apoio

  Como aparece

  Os mesmos argumentos, datas de entrada próximas, um local que não combina

A política de autenticidade (abre em uma nova aba) do X proíbe pagar para inflar seguidores, curtidas ou visualizações e proíbe o follow churn. Seguidores inativos não violam nenhuma regra, então uma boa auditoria os separa dos falsos.

#Os sinais que denunciam um bot

Dez sinais de três lugares públicos separam a maioria dos bots das pessoas: o perfil, o painel "Sobre esta conta" do X e os posts mais recentes da conta. Cada sinal só conta ao lado de outros, e a tabela diz quem mais o aciona.

• Configuração do perfil

  Onde você vê

  Perfil

  Merece atenção quando

  Dois de três: a foto padrão, uma bio vazia, um usuário que termina com seis ou mais dígitos

  Quem mais o aciona

  Pessoas que nunca configuraram o perfil

• Seguindo vs. seguidores

  Onde você vê

  Perfil

  Merece atenção quando

  Segue 1.000 ou mais e menos de 1 em 20 segue de volta

  Quem mais o aciona

  Contas novas, leitores de notícias

• Idade vs. audiência

  Onde você vê

  Perfil

  Merece atenção quando

  Menos de seis meses de vida e mais de 10 mil seguidores

  Quem mais o aciona

  Quem viralizou

• Ritmo de posts

  Onde você vê

  Perfil

  Merece atenção quando

  Mais de 50 posts por dia em média desde a entrada

  Quem mais o aciona

  Redações, quem cobre eventos ao vivo

• Onde está baseada

  Onde você vê

  Sobre esta conta

  Merece atenção quando

  O país do X difere do local da bio ou da região da App Store

  Quem mais o aciona

  Viajantes, usuários de VPN, expatriados

• Mudanças de usuário

  Onde você vê

  Sobre esta conta

  Merece atenção quando

  Três ou mais, ou uma nos últimos 90 dias com mais de 10 mil seguidores

  Quem mais o aciona

  Rebranding

• Momento do Premium

  Onde você vê

  Sobre esta conta

  Merece atenção quando

  Premium comprado na primeira semana após a entrada

  Quem mais o aciona

  Criadores que entraram para postar vídeos longos

• Horários dos posts

  Onde você vê

  Posts recentes

  Merece atenção quando

  As sete horas mais movimentadas caem à noite em todos os países que a conta alega

  Quem mais o aciona

  Turnos da noite, ferramentas de agendamento

• Mistura de conteúdo

  Onde você vê

  Posts recentes

  Merece atenção quando

  80% ou mais de reposts, 90% ou mais de respostas, ou um link em 90% ou mais dos próprios posts

  Quem mais o aciona

  Curadores, feeds de links

• Rótulos de IA

  Onde você vê

  Posts recentes

  Merece atenção quando

  Metade ou mais dos posts recentes com o rótulo "Feito com IA"

  Quem mais o aciona

  Artistas que declaram o uso de IA

Os três sinais de "Sobre esta conta" são os que a maioria dos guias ignora. O X os mostra em todo perfil público: o país em que coloca a conta, quantas vezes o nome de usuário mudou e quando o Premium começou. Para entender o que o país significa e de onde ele vem, leia o que "Conta com base em" significa no X.

Conte os sinais que merecem atenção: nenhum ou um indica risco baixo, dois ou três médio, quatro ou mais alto. São as mesmas faixas que o Verificador de bots do Twitter exibe, então um script montado a partir desta tabela e a ferramenta gratuita concordam em todas as contas.

#Como encontrar seguidores falsos em qualquer conta

Pontue cada seguidor por sete alertas tirados do próprio perfil e depois leia a parcela que parece falsa: três alertas ou mais indicam um provável falso, dois costumam indicar uma pessoa inativa, um ou nenhum, um seguidor real. Os sete vêm de campos que GET /followers retorna para cada seguidor:

• Entrou nos últimos 30 dias, a partir de created_at.
• Segue 1.000 ou mais, com menos de 1 em 20 seguindo de volta, a partir de followings_count e followers_count.
• Nenhum post: tweets_count é 0.
• Nenhuma curtida: favourites_count é 0.
• A foto padrão: profile_image_url aponta para a imagem padrão do X.
• Uma bio vazia: description está em branco.
• Um usuário de nome e dígitos: username termina com seis ou mais dígitos.

A parcela que parece falsa é o número a acompanhar, e é assim que a lemos:

• Menos de 10%

  O que costuma significar

  Normal em uma conta ativa: bots seguem contas populares para parecer humanos

• De 10 a 30%

  O que costuma significar

  Merece um olhar mais atento; compare contas do mesmo tamanho no mesmo nicho

• Mais de 30%

  O que costuma significar

  Seguidores comprados ou uma onda de bots, sobretudo se muitos entraram no X nas mesmas semanas

Essas faixas são a nossa leitura dos sete alertas, não uma regra publicada pelo X. As datas de entrada resolvem a maioria das dúvidas: o X lista os seguidores do mais novo para o mais antigo, e seguidores comprados chegam em um único lote, então uma compra aparece como uma multidão de contas recém-criadas no topo da lista.

Bom saber

Inativo não é falso. Muitas pessoas reais seguem contas e nunca postam, curtem ou preenchem a bio, então acionam dois alertas. Conte-as à parte: misturá-las com os falsos dobra o alarme em contas com uma audiência mais antiga e mais quieta.

#Audite todos os seguidores com Python

Uma auditoria de seguidores percorre a lista inteira de seguidores de uma conta e pontua cada perfil pelos sete alertas. Para essa tarefa, use a Sorsa API: GET /followers retorna 200 seguidores por requisição com todos os campos que os alertas pedem, a partir de US$ 0,007 por 1.000, então uma conta com 50 mil seguidores custa a partir de US$ 0,35. Cinco passos levam você da chave ao relatório.

1. Obtenha uma chave. Cadastre-se e copie sua chave de API no painel. As primeiras 100 requisições são grátis.

2. Peça a primeira página. Envie o nome de usuário para GET /followers (abre em uma nova aba) com sua chave no header ApiKey. Os seguidores mais recentes vêm primeiro.

   curl -G "https://api.sorsa.io/v3/followers" \
     -H "ApiKey: YOUR_API_KEY" \
     --data-urlencode "username=gulfcoast_wire_news"
   

   {
     "users": [
       {
         "id": "1981374420583055360",
         "username": "dana_k_2042719983",
         "display_name": "Dana K",
         "description": "Crypto | NFTs | DM for promo",
         "location": "",
         "created_at": "2026-10-24T03:12:51Z",
         "followers_count": 12,
         "followings_count": 2140,
         "tweets_count": 0,
         "favourites_count": 37,
         "media_count": 0,
         "profile_image_url": "https://abs.twimg.com/sticky/default_profile_images/default_profile_normal.png",
         "verified": false,
         "protected": false
       },
       {
         "id": "1204958817730289664",
         "username": "harborlight_reads",
         "display_name": "Harborlight Reads",
         "description": "Coastal history, one book at a time.",
         "location": "Mobile, Alabama",
         "created_at": "2019-12-12T15:40:02Z",
         "followers_count": 3871,
         "followings_count": 512,
         "tweets_count": 9420,
         "favourites_count": 18233,
         "media_count": 611,
         "profile_image_url": "https://pbs.twimg.com/profile_images/1204961/h.jpg",
         "verified": false,
         "protected": false
       }
     ],
     "next_cursor": "1849212213712385091"
   }
   

   Ver resposta completa

3. Pontue cada perfil. Conte os sete alertas em cada seguidor e classifique-o como parece falso, parece inativo ou parece real.

4. Siga o cursor. Um cursor é o marcador que cada página retorna: envie next_cursor de volta como parâmetro até uma página chegar sem ele, e a lista termina.

5. Rode a auditoria completa. O script abaixo faz os passos 2 a 4 para qualquer conta e imprime as três parcelas, o mês de entrada mais movimentado e cinco exemplos. Passe max_pages=1 para pontuar só os 200 mais recentes, como faz o verificador gratuito.

   import re
   import time
   from collections import Counter
   from datetime import datetime, timezone
   
   import requests
   
   API = "https://api.sorsa.io/v3"
   HEADERS = {"ApiKey": "YOUR_API_KEY"}
   NOW = datetime.now(timezone.utc)
   
   
   def flags(user):
       """The seven fake-follower flags of one profile."""
       joined = datetime.fromisoformat(user["created_at"].replace("Z", "+00:00"))
       following = user["followings_count"]
       photo = user.get("profile_image_url") or ""
       found = []
       if (NOW - joined).days < 30:
           found.append("joined in the last 30 days")
       if following >= 1000 and user["followers_count"] * 20 < following:
           found.append("follows 1,000+, few follow back")
       if user["tweets_count"] == 0:
           found.append("no posts")
       if user["favourites_count"] == 0:
           found.append("no likes")
       if not photo or "default_profile" in photo:
           found.append("default photo")
       if not (user.get("description") or "").strip():
           found.append("empty bio")
       if re.search(r"\d{6,}$", user["username"]):
           found.append("name-and-digits handle")
       return found
   
   
   def audit(username, max_pages=None):
       """Score every follower of one account, 200 per request."""
       params, pages = {"username": username}, 0
       groups, months, examples = Counter(), Counter(), []
       while True:
           r = requests.get(f"{API}/followers", headers=HEADERS, params=params)
           if r.status_code == 429:  # over 20 requests in one second
               time.sleep(1)
               continue
           r.raise_for_status()
           page = r.json()
           for user in page["users"]:
               found = flags(user)
               n = len(found)
               group = "fake" if n >= 3 else "inactive" if n == 2 else "real"
               groups[group] += 1
               months[user["created_at"][:7]] += 1
               if group == "fake" and len(examples) < 5:
                   examples.append((user["username"], found))
           pages += 1
           cursor = page.get("next_cursor")
           if not cursor or pages == max_pages:
               break
           params["next_cursor"] = cursor
       total = sum(groups.values())
       for group in ("fake", "inactive", "real"):
           print(f"looks {group}: {groups[group]} ({groups[group] / total:.0%})")
       month, count = months.most_common(1)[0]
       print(f"busiest join month: {month}, {count / total:.0%} of followers")
       for handle, found in examples:
           print(f"  @{handle}: {', '.join(found)}")
   
   
   audit("gulfcoast_wire_news")
   

   const API = "https://api.sorsa.io/v3";
   const headers = { ApiKey: "YOUR_API_KEY" };
   const DAY = 86_400_000;
   
   function flags(u) {
     const photo = u.profile_image_url || "";
     const found = [];
     if (Date.now() - Date.parse(u.created_at) < 30 * DAY) found.push("new");
     if (u.followings_count >= 1000 &&
         u.followers_count * 20 < u.followings_count) found.push("ratio");
     if (u.tweets_count === 0) found.push("no posts");
     if (u.favourites_count === 0) found.push("no likes");
     if (!photo || photo.includes("default_profile")) found.push("photo");
     if (!(u.description || "").trim()) found.push("empty bio");
     if (/\d{6,}$/.test(u.username)) found.push("digits");
     return found;
   }
   
   async function audit(username) {
     const groups = { fake: 0, inactive: 0, real: 0 };
     let cursor = null;
     do {
       const params = new URLSearchParams({ username });
       if (cursor) params.set("next_cursor", cursor);
       const res = await fetch(`${API}/followers?${params}`, { headers });
       if (!res.ok) throw new Error(`HTTP ${res.status}`);
       const page = await res.json();
       for (const u of page.users) {
         const n = flags(u).length;
         groups[n >= 3 ? "fake" : n === 2 ? "inactive" : "real"] += 1;
       }
       cursor = page.next_cursor;
     } while (cursor);
     return groups;
   }
   
   console.log(await audit("gulfcoast_wire_news"));
   

Um 401 ou 403 significa que a chave está ausente, errada ou sem requisições; um 429 significa mais de 20 requisições em um segundo, e o script em Python espera um segundo e tenta de novo. As páginas de uma conta rodam uma após a outra, já que cada uma precisa do cursor anterior; audite várias contas em paralelo a até 20 requisições por segundo por chave. Para salvar os próprios perfis em um arquivo, veja como extrair seguidores do Twitter para CSV.

Pontue uma resposta sem escrever código

Cole abaixo o JSON de qualquer página de GET /followers, da requisição curl acima ou do playground da API, e a página o pontua no seu navegador pelos mesmos sete alertas.

#Avalie uma lista de contas em lotes de 100

Para triar uma lista de criadores, parceiros ou contas que respondem, leia os perfis 100 por vez com GET /info-batch (abre em uma nova aba) e depois adicione os dados de "Sobre esta conta" de cada uma com GET /about (abre em uma nova aba). O script abaixo calcula seis dos dez sinais e imprime o país do X ao lado do local da bio para uma olhada rápida.

A parte de "Sobre esta conta" é onde a API oficial do X fica devendo: o objeto de usuário dela tem um local em texto livre, mas nenhum país, nenhum histórico de nomes de usuário e nenhuma data de início do Premium, como mostra o seu dicionário de dados (abre em uma nova aba). O GET /about da Sorsa API retorna country, username_change_count, last_username_change_at, premium_start_at e a região da App Store em source.

from datetime import datetime, timezone

import requests

API = "https://api.sorsa.io/v3"
HEADERS = {"ApiKey": "YOUR_API_KEY"}
NOW = datetime.now(timezone.utc)


def when(stamp):
    return datetime.fromisoformat(stamp.replace("Z", "+00:00"))


def profiles(handles):
    """Profiles of up to 100 accounts per request."""
    for i in range(0, len(handles), 100):
        r = requests.get(f"{API}/info-batch", headers=HEADERS,
                         params={"usernames": handles[i:i + 100]})
        r.raise_for_status()
        yield from r.json()["users"]


def about(handle):
    """X's About this account data: country, renames, Premium."""
    r = requests.get(f"{API}/about", headers=HEADERS,
                     params={"username": handle})
    r.raise_for_status()
    return r.json()


def signals(p, a):
    age = max((NOW - when(p["created_at"])).days, 1)
    fans, follows = p["followers_count"], p["followings_count"]
    photo = p.get("profile_image_url") or ""
    setup = [not photo or "default_profile" in photo,
             not (p.get("description") or "").strip(),
             p["username"][-6:].isdigit()]
    renamed = a.get("last_username_change_at")
    premium = a.get("premium_start_at")
    return {
        "profile setup": sum(setup) >= 2,
        "follow ratio": follows >= 1000 and fans * 20 < follows,
        "young, big audience": age < 183 and fans >= 10000,
        "50+ posts a day": p["tweets_count"] / age >= 50,
        "username changes": (a.get("username_change_count") or 0) >= 3
        or (bool(renamed) and (NOW - when(renamed)).days < 90
            and fans >= 10000),
        "Premium in week one": bool(premium)
        and (when(premium) - when(p["created_at"])).days < 7,
    }


for p in profiles(["gulfcoast_wire_news", "harborlight_reads"]):
    a = about(p["username"])
    hits = [name for name, hit in signals(p, a).items() if hit]
    print(f"@{p['username']}: {len(hits)} of 6 {hits}")
    print(f"  X places it in {a.get('country')}; bio: {p.get('location')}")

A requisição de "Sobre esta conta" de cada perfil é independente, então uma lista roda em paralelo: 1.000 contas levam menos de um minuto a 20 requisições por segundo. Os outros três sinais, horários dos posts, mistura de conteúdo e rótulos de IA, vêm de POST /user-tweets (abre em uma nova aba), que retorna os 20 posts mais recentes com created_at, respostas, reposts, links e o rótulo made_with_ai. Rode-o nas contas que já pontuaram dois ou mais, e a verificação profunda continua barata.

#Quanto custa uma auditoria de bots

Verificar seguidores pela Sorsa API custa a partir de US$ 0,007 por 1.000, contra US$ 10,00 por 1.000 na API oficial do X, que cobra cada seguidor retornado como uma leitura de usuário de US$ 0,010 na sua tabela de preços pay-per-use (abre em uma nova aba). Uma conta com 50 mil seguidores sai por US$ 0,35 em vez de US$ 500.

Avaliar uma lista de contas tem o mesmo preço. Os sinais de perfil e de "Sobre esta conta" de 1.000 contas custam a partir de US$ 1,41 na Sorsa API e, com os 20 posts mais recentes de cada uma para os sinais de comportamento, a partir de US$ 2,81. A API oficial do X cobra US$ 110,00 pelos mesmos 1.000 perfis com 20 posts cada, e o objeto de usuário dela não traz nenhum dado de "Sobre esta conta".

Ao escolher uma fonte de dados para detectar bots, cinco coisas decidem, e estes são os números da Sorsa API:

• Preço por 1.000: seguidores a partir de US$ 0,007, perfis a partir de US$ 0,014, requisições com falha nunca cobradas.
• Campos: o perfil público completo em cada seguidor, mais os dados de "Sobre esta conta" do X que a API oficial do X não traz.
• Velocidade: 20 requisições por segundo em todos os planos, inclusive contas gratuitas.
• Configuração: uma chave de API em um header, sem conta de desenvolvedor do X, sem OAuth e sem aprovação.
• Sua própria conta: nunca envolvida. A Sorsa API não pede login nem cookies do X, então verificar milhares de contas não coloca nada seu em risco.

#Por que os antigos detectores gratuitos de bots deixaram de funcionar

Os detectores que a maioria dos guias ainda cita dependiam da API gratuita do Twitter e perderam os dados quando ela foi encerrada em 2023. O Botometer, do Observatório de Mídias Sociais da Universidade de Indiana, agora roda o Botometer X em modo de arquivo: as próprias notas (abre em uma nova aba) dizem que as pontuações vêm de dados coletados antes de 31 de maio de 2023, que contas criadas desde então não têm registro e que o modelo é anterior à IA generativa e não consegue pegar bots movidos por IA.

Os últimos endpoints de pontuação ao vivo da API, Botometer v4 e BotometerLite, foram encerrados em 2 de novembro de 2026, segundo o aviso na página de API do Botometer Pro (abre em uma nova aba); só o endpoint de arquivo continua. A Auditoria de Seguidores Falsos gratuita da SparkToro também acabou: o endereço agora redireciona para a página inicial da SparkToro.

O que sobrevive é o método que essas ferramentas usavam: sinais públicos, contados em conjunto. Ele funciona com dados ao vivo desde que algo consiga ler perfis em escala, e essa é a parte que uma API fornece. As verificações deste guia rodam em contas criadas ontem, que nenhum arquivo consegue pontuar.

#O que a detecção por sinais não consegue dizer

Sinais encontram bots descuidados e a maior parte dos seguidores comprados; não provam quem opera uma conta nem por quê. Quatro limites importam na prática:

• Bons falsos passam. Uma conta antiga com foto real, ritmo de posts constante e respostas escritas por IA pode não acionar nada. Redes coordenadas aparecem entre contas (as mesmas semanas de entrada, as mesmas frases) mais do que dentro de uma só.
• Pessoas reais acionam alertas. Uma redação posta 80 vezes por dia, a bio de um expatriado cita a cidade natal, quem só lê nunca posta. Cada sinal da tabela acima lista quem mais o aciona.
• Listas privadas continuam privadas. Os seguidores de uma conta protegida não podem ser lidos por ninguém, e a Sorsa API retorna apenas dados públicos.
• Compras antigas afundam. Os 200 seguidores mais recentes mostram um lote recente; uma compra de dois anos atrás fica no fundo da lista, então audite a lista inteira quando o histórico importar.

Sinais, não um veredito

Trate uma pontuação alta como um motivo para olhar, não como prova. Abra algumas contas sinalizadas antes de remover, bloquear ou denunciar qualquer coisa, e nunca deixe um script fazer isso só com base em uma pontuação. Se o próprio X continua tratando a sua conta como um bot, é outro problema: veja o que fazer quando o X diz que uma requisição parece automatizada.

#Rode sua primeira auditoria de seguidores

Comece pela conta em que você menos confia e rode o script nela: a Sorsa API lê os seguidores dela 200 por requisição, a partir de US$ 0,007 por 1.000, com todos os campos que os sete alertas pedem. Suas 100 requisições grátis cobrem os primeiros 20 mil seguidores e, para uma única conta, o Verificador de bots do Twitter dá a resposta sem código. Para tudo o mais que os endpoints de seguidores retornam, veja o guia da API de seguidores do Twitter.

#Perguntas frequentes