Device graph para gestor: como plataformas ligam gente sem “provar”

O coordenador quer uma prova. Um ID. Um registro que diga “estas duas contas são a mesma máquina”. A plataforma quase nunca entrega esse teatro. Liga gente com sinais fracos que, juntos, bastam para a fila de risco. Device graph (grafo de dispositivo), no vocabulário de ads, não é um tribunal. É um retrato probabilístico. Quem opera várias identidades no mesmo Chrome pede para o retrato ficar fácil.

Este texto é conceitual para gestor, não para engenheiro de tracking. Explica quais arestas costumam existir, por que “provar” é a palavra errada, e o que a mesa controla sem fingir que apagou o grafo. A impressão digital do navegador é uma aresta. Não é o mapa.

Grafo, não carimbo

Pense em nós e arestas. Nó: uma sessão, uma conta, um aparelho aparente, um pagamento, um admin. Aresta: qualquer sinal que liga dois nós. Cookie persistente é aresta forte e temporária. Fingerprint é aresta média e teimosa. IP / ASN é aresta de vizinhança. Login com o mesmo e-mail é aresta explícita. Cartão é aresta que o browser não vê e não apaga.

Nenhuma aresta, sozinha, “prova” fraude. Cookie pode ser família no mesmo computador. IP pode ser CGNAT. Fingerprint pode coincidir em frota corporativa. Cartão pode ser holding. O sistema soma. Soma em volume, em tempo, em coincidência. Agência com doze BMs no mesmo retrato oferece coincidência de graça.

Por isso a conversa de fórum — “eles não podem provar” — não ajuda a operação. A fila de anúncio não é um júri. É um classificador. Classificador erra. Erra para os dois lados. Sua tarefa não é ganhar o debate filosófico. É não oferecer o cluster óbvio.

Há grafos internos da plataforma e grafos de mercado. O interno liga contas daquela empresa. O de mercado tenta ligar aparelhos entre sites. O fim do cookie de terceiros enfraqueceu o segundo e fortaleceu o primeiro: conta logada, app, pagamento. Mesa de mídia vive no primeiro. Obsessão com o segundo é nostalgia de pixel.

Arestas que o gestor mexe no dia

Storage. Cookie, localStorage, sessão. É a aresta que o time mais entende porque dá para apagar. Apagar desliga a sessão. Não desliga o resto. O texto de cookies versus fingerprint é o mapa dessa diferença. Quem limpa cookie e declara vitória contra o grafo só venceu a aresta mais fácil.

Fingerprint. Tela, GPU, fontes, áudio, User-Agent, fuso. Medição, não arquivo. Perfil de Chrome nativo isola mal isso. Perfil isolado de verdade reduz a chance de duas identidades parecerem o mesmo aparelho no storage. Se a GPU, a tela e o IP continuam idênticos e o WebRTC vaza o host, a aresta de dispositivo permanece. Isolar é cortar o fácil e disciplinar o médio. Não é zerar o médio.

IP e ASN. Bairro. Duas contas no mesmo endereço, no mesmo bloco, no mesmo horário, viram vizinhança. Sticky honesto é uma pessoa no mesmo bairro. Rotação nervosa é uma pessoa teletransportada. Datacenter é um prédio que a plataforma já conhece como prédio. Aresta de IP é barata de criar e cara de desfazer: o histórico do bloco fica.

Comportamento. Horário, velocidade de criação, sequência de telas, idioma de digitação. Gestor que opera cinco clientes no mesmo ritmo de script cola as identidades pelo calendário. Roteiro de troca de perfil existe para isso. Não por estética. Por aresta.

Login explícito. O mesmo Google na MCC e no Gmail pessoal. O mesmo Facebook pessoal como admin da BM do cliente. O mesmo Apple ID no app. Isso não é fingerprint. É porta. Porta aberta torna o debate de canvas irrelevante. Feche a porta antes de comprar ferramenta.

Arestas que o browser não cobre

Pagamento. BIN, titular, endereço de fatura, PIX, documento. Duas empresas com o mesmo cartão da agência já se conhecem no grafo. Isolar o navegador não esconde o plástico. O artigo de payment fingerprint existe para esse limite. Aqui cabe a frase: device graph e payment graph se conversam. Limpar um não limpa o outro.

Admin e parceria. Pessoa física em dezenas de BMs. Parceiro antigo que ninguém tirou. E-mail de recuperação único. Passagem de conta malfeita. Saída inexistente. O grafo de gente é tão efetivo quanto o de máquina. Às vezes mais. A plataforma lê quem está dentro da conta com mais confiança do que lê o canvas.

Pixel e dataset. O mesmo pixel em “empresas” que no papel não se conhecem. CAPI com o mesmo identificador. Isso liga anunciantes. Não liga necessariamente o laptop. Liga o negócio. Time que isola sessão e reutiliza pixel fez meia higiene.

Celular. Identificador de app, conta da loja, chip, backup, lista de apps. O iPhone da agência com cinco contas de Instagram e três Facebook é um hub. O Chrome isolado no escritório não desfaz o hub. Device graph não é só desktop. Quem opera social e ads no mesmo bolso oferece a ponte.

Fornecedor. A mesma extensão, o mesmo painel de proxy mal configurado, o mesmo cookie exportado. Ferramenta comum vira aresta se vaza identidade. Inventário chato. Útil.

“Provar” é a palavra que atrapalha

Jurídico pensa em prova. Ops pensa em risco. Classificador de risco não assina atestado. Empurra a sessão para mais fricção: captcha, verificação, restrição, desativação. Você raramente verá o grafo desenhado. Verá o efeito. Discutir se o efeito é “justo” não reabre a BM. Reduzir arestas óbvias reduz a chance do efeito. É só isso que a mesa controla.

Falsos positivos existem. Holding com várias lojas. Franquia. Casa de família. CGNAT de operadora. Frota de notebooks iguais. Por isso higiene não é pânico: não randomize tudo a cada hora para “não parecer”. Estabilidade dentro da identidade, separação entre identidades. O grafo gosta de coincidência densa e de variação maluca. Os dois extremos. O meio chato — uma pessoa, um bairro, um aparelho aparente por conta — é o que uma operação séria tenta parecer.

Não personifique a plataforma. Não é um detetive. É um conjunto de sistemas que otimiza abuso versus receita. Abuso, no sentido deles, inclui cadastro em massa, sequestro, fraude de pagamento, política. Sua agência não precisa ser fraude para entrar no mesmo balde se o retrato for o de abuso. O balde não pede prova. Pede semelhança.

Determinístico versus probabilístico, sem jargão de vendor

Há ligações que a plataforma não adivinha. O mesmo e-mail. O mesmo ID de usuário. O mesmo admin aceito. O mesmo cartão tokenizado. Isso é determinístico: a própria conta declara a ponte. Isolar fingerprint não corta essa ponte. Só a saída, o convite revogado, o billing separado.

Há ligações que a plataforma infere. Mesmo retrato de aparelho. Mesmo prefixo. Mesmo horário. Mesma sequência de telas. Mesmo cookie de terceiro, quando ainda existe. Isso é probabilístico. Nenhuma aresta fecha o caso. O cesto fecha o risco. Agência oferece cesto. Por isso o procedimento parece paranoia para quem opera uma conta só. Uma conta só tem cesto pequeno.

O gestor pede o ID determinístico do dispositivo. Quase nunca vem. O que vem é fricção. Fricção é o output do probabilístico. Tratar fricção como prova jurídica gera e-mail inútil para o suporte. Tratar fricção como cesto gera checklist. Checklist reduz arestas. E-mail não reduz.

Há um meio termo operacional. Quando a ligação é determinística — o mesmo Google na MCC e no Gmail — você corta com certeza. Quando é probabilística — dois perfis no mesmo notebook — você reduz. Reduzir não é zerar. Aceite o residual. Residual de frota corporativa, de CGNAT, de holding, existe. Residual de doze BMs no mesmo Chrome não é residual. É desenho.

App e web compartilham nós determinísticos com facilidade: o login. Compartilham nós probabilísticos com mais ruído. Por isso o iPhone da agência é perigoso mesmo com o desktop isolado. O login no app é a ponte. Tire o login pessoal do aparelho de operação. A ponte cai. O canvas do Chrome nem entra na frase.

O Chrome da agência como hub

Um browser, vinte abas, doze BMs, Gmail pessoal, banco, Seller. Esse processo é um nó que toca todos os outros. Cookie cruza. Extensão lê. Horário coincide. IP coincide. O hub é o desenho. Pasta não desfaz o hub. Perfil nativo desfaz o storage, não o resto. Ambiente por identidade desfaz o óbvio.

O hub também é humano. Um gestor é admin de tudo. Um cartão. Um 2FA no mesmo telefone. Device graph encontra people graph. Isolar só o canvas e deixar o admin único é polir a aresta fraca e conservar a forte.

Há o hub de escritório. IP fixo de fibra, dezenas de identidades, mesmo horário comercial. Vizinhança. Proxy por identidade reduz essa aresta. Proxy único para a agência inteira a reconstrói. Escolha. Documente.

Há o hub de plantão. O mesmo laptop de casa no sábado toca as contas que o escritório tocou na sexta, com outro IP, outro WebRTC, às vezes outro fuso se a pessoa viajou. O grafo vê a identidade viajando. Plantão precisa do mesmo retrato da identidade, não do retrato da sala de estar. BYOD sem perfil é aresta nova toda semana.

Há o hub de ferramenta. O mesmo painel de criativo logado com o Google da agência, o mesmo gerador de UTM, o mesmo repositório. Conta de ferramenta não é BM. Continua sendo nó. Inventarie. Use SSO corporativo com revogação. Não use o Gmail pessoal do diretor como login da ferramenta que todas as BMs tocam.

O que fazer com o conceito, na segunda-feira

Inventário por identidade: perfil, proxy, dono, pagamento, admins, pixel, máquina. Sem inventário, você não vê o grafo. Só sente o efeito.

Uma identidade, um ambiente. Sem Gmail pessoal no perfil de ads. Sem Facebook pessoal de admin no mesmo retrato da BM do cliente. Sem cookie export como “atalho de equipe”.

Pagamento separado por anunciante, na medida do contrato. Cartão da casa “só hoje” é aresta cara.

Ritmo humano. Sem burst de gêmeo. Sem clonar dez contas no mesmo bloco depois de uma restrição.

Celular como canal à parte. Procedimento de app não é procedimento de painel web.

Quando cair uma conta, não nasça a próxima no hub que a anterior ocupava. Isso é o reflexo que o grafo espera. Ambiente novo, pagamento novo, admin consciente, criativo que não é o mesmo PDF recusado. Mesmo assim a plataforma pode ligar pelo documento. O browser não apaga documento. Honestidade operacional: você reduz o fácil. O difícil permanece.

Leia comparativos de ferramenta como escolha de isolamento, não como escolha de invisibilidade. Invisibilidade não é o produto. Separação é. Device graph continua existindo para a identidade única e saudável. Ele só está simples. Agência torna o grafo complexo por acidente. O acidente tem nome: Chrome da casa, cartão da casa, admin da casa. Corte os três e o conceito deixa de ser terror. Vira checklist.

O gestor não precisa desenhar o grafo. Precisa parar de pedir prova e parar de oferecer cluster. Entre os dois extremos — paranoia de ID místico e negação — fica a mesa que documenta arestas. Documentar é o contrário de folklore. Folklore é “eles pegaram o dispositivo”. Dispositivo, aqui, é o apelido de um cesto. Esvazie o cesto óbvio. Aceite que o cesto interno da conta — pagamento, admin, política — não mora no User-Agent.