Em junho de 2026 apareceu no Show HN um projeto pequeno, em Python, que resolve um problema que pouca gente tinha coragem de nomear: como saber, antes de tentar, se um site vai bloquear ou receber bem um agente de IA que tenta automatizar uma tarefa lá dentro. O nome é Guestlist — uma lib Python + API gratuita que devolve um tier rating (verde, amarelo, laranja, vermelho) para qualquer domínio. Verde significa "pode entrar sem fricção", vermelho significa "vai bater em Cloudflare, CAPTCHAs e rate limits antes de conseguir fazer qualquer coisa". Vamos traduzir o que isso significa na prática.
Resposta direta
Guestlist é uma biblioteca Python + API HTTP que classifica sites em quatro tiers — green, yellow, orange, red — indicando o quão fácil é para um AI agent (browser-use, computer-use, RPA) acessar e interagir com aquele site. A API consulta robots.txt, sitemap, headers de resposta, presença de CAPTCHAs, JS rendering e proteções conhecidas (Cloudflare, DataDome, PerimeterX) e devolve um JSON com o rating, o tipo de bloqueio detectado e a recomendação. Em junho de 2026 o projeto apareceu no Show HN com a proposta simples: pare de queimar tempo e tokens descobrindo na marra que aquele e-commerce tem Cloudflare agressivo e seu agente não vai passar.
O que é e por que importa agora
A categoria "AI agent que faz tarefa no navegador" explodiu em 2026. Todo dev que mexeu com Claude Computer Use, OpenAI Operator, browser-use, Hermes com MCP de browser, ou Selenium + LLM sabe do problema: o agente roda 3 minutos para abrir um site, esbarra num CAPTCHA invisível, recebe 403, tenta de novo, é bloqueado, levanta exceção, e a tarefa termina sem ter feito nada. O custo é triplo — tempo de GPU, tokens queimados, e tarefa não cumprida.
A Skift notou isso no dia 1 de junho de 2026 em um artigo sobre fraude em bookings: o mercado está se dividindo entre "platforms built for agents" (que expõem API limpa, autenticação programática, e deixam o agente entrar) e plataformas que tentam retrofit de sistemas legados (Skift, 1 de junho de 2026). O artigo cita Adriana, da HospitalityNet, com a frase: "The market is starting to split between platforms built for agents and those trying to retrofit systems piecemeal."
O Guestlist entra exatamente nessa fenda. Antes de você sair programando um agente para automatizar uma tarefa em 50 sites, você chama a API e descobre: desses 50, 12 são verde (fácil), 18 são amarelo (funciona com cuidado), 11 são laranja (vai dar trabalho), e 9 são vermelho (esquece). Aí você planeja de acordo.
Como funciona (sem jargão)
A biblioteca tem dois modos de uso: CLI e API. O modo CLI serve para testar na hora; a API serve para o agente consultar em tempo de execução antes de tentar a tarefa.
Modo CLI:
pip install guestlist
guestlist check mercadolivre.com.br
# {
# "domain": "mercadolivre.com.br",
# "tier": "yellow",
# "bot_protection": ["cloudflare"],
# "captcha": false,
# "js_required": true,
# "robots_txt": "allow: GPTBot, ClaudeBot, CCBot",
# "score": 0.62
# }
Modo API (Python):
from guestlist import Client
client = Client()
result = client.check("amazon.com.br")
if result.tier == "red":
raise Exception("site bloqueia agent, use API oficial")
if result.tier in ("orange", "red"):
# trocar pra API oficial ou humana no loop
...
Por baixo, o Guestlist faz cinco checagens:
- robots.txt e meta robots. Quem o site deixa entrar? GPTBot, ClaudeBot, PerplexityBot, Google-Extended estão na allow list?
- Headers HTTP. Cloudflare, Akamai, Vercel Bot Management, DataDome — todos deixam rastro no
servere em headers customizados. Cloudflare agressivo + bot mode ligado = vermelho. - JS rendering. Site é SPA puro (Next.js, React) ou tem SSR com fallback? Se for SPA, o agente precisa de browser real, não só fetch.
- CAPTCHA invisível. Cloudflare Turnstile, hCaptcha, reCAPTCHA v3 com score baixo? Detectado na navegação.
- Histórico de bloqueio. A API tem um índice de domínios já testados pela comunidade. Se 200 agentes já reportaram que
magazineluiza.com.bré laranja, o rating agregado reflete isso.
O resultado é um objeto simples — tier, bot_protection, captcha, js_required, robots_txt, score de 0 a 1 — que o agente consome para decidir o próximo passo.
Comparativo rápido: antes vs agora
| Aspecto | Sem Guestlist | Com Guestlist |
|---|---|---|
| Descoberta de bloqueio | Depois de rodar o agente, perder 3-5 min, descobrir que 403 | Antes de tentar, em 200ms de API call |
| Custo de tentativa | Tokens queimados + GPU + retry loop | Uma chamada HTTP, alguns ms |
| Planejamento de automação | Achismo: "acho que esse site aceita" | Decisão baseada em tier + score |
| Tratamento de erro | Catch genérico de Exception | Branch explícito por tier (red → aborta, yellow → fallback) |
| Custo total por 100 sites | 100 tentativas, ~30 falham, ~70h-homem de debug | 100 chamadas API, 0 tentativas cegas, escolha informada |
O que isso muda para o seu negócio
Se você está contratando ou construindo automações com IA no varejo brasileiro, três consequências práticas:
Antes de propor um agente que faz X em Y sites, você sabe se Y é viável. Se 60% dos seus sites-alvo são vermelho, a consultoria tem que te avisar: "não dá pra fazer com agente público, tem que ser API oficial ou parceria com o marketplace". Melhor saber antes de pagar pela implementação.
Custo de erro cai. Um agente que tenta entrar em site bloqueado e falha queima tokens, GPU e tempo. A mesma decisão tomada com Guestlist custa uma chamada HTTP de 200ms. Em escala (100+ chamadas por dia por agente), a economia é real.
Roadmap de automação fica explícito. Em vez de "vamos tentar e ver", você tem um inventário: "esses 40 sites são verde, vamos automatizar primeiro. Esses 20 são amarelo, vale o esforço. Esses 15 são laranja, dependem de parceria. Esses 5 são vermelho, não mexe." É o tipo de entregável que se coloca em slide para o board.
Onde o Guestlist não resolve: se o site muda a proteção semana a semana (raro, mas acontece com sites que upgrade de Cloudflare Free para Enterprise), o rating fica stale. A comunidade reporta updates, mas não é em tempo real. Outro limite: ele mede a porta de entrada, não a qualidade da automação. Um site pode ser verde e ainda ter fluxos internos confusos que o agente vai demorar pra entender.
Referência natural Agendai
A Agendai usa o mesmo princípio — verificar antes de automatizar — em qualquer projeto de agente de IA para varejo. Antes de escrever uma linha de código, a equipe roda um inventário: quais sistemas o agente vai tocar (ERP, CRM, marketplace, gateway de pagamento), quais são tier verde (API oficial documentada), amarelo (API semi-documentada, rate limit agressivo), e vermelho (site sem API, scraping é a única saída). Em um caso recente de uma rede de farmácias com 18 lojas, a Agendai mapeou 14 integrações em uma tarde — e 4 delas caíram pra tier laranja, o que mudou o escopo do projeto e economizou ~3 semanas de tentativa e erro. Primeira semana de graça para validar o inventário antes de comprometer budget.
Para acompanhar a discussão sobre o futuro da agentic web, vale ler o briefing da HospitalityNet de 2 de junho de 2026 sobre como agentes vão decidir onde bookings aterrissam, e a thread original do Show HN no Hacker News para entender a reação da comunidade dev.
Perguntas frequentes
O que é o Guestlist em uma frase?
Uma biblioteca Python + API HTTP gratuita (em junho de 2026) que classifica sites em tiers (verde, amarelo, laranja, vermelho) indicando o quão fácil é para um AI agent acessar e interagir com aquele domínio.
Como o Guestlist funciona na prática?
Você instala via pip install guestlist, chama guestlist check <domínio> no terminal, ou usa o client Python em modo API. A ferramenta consulta robots.txt, headers HTTP, presença de CAPTCHA e JS rendering, e devolve um JSON com tier, proteções detectadas e score de 0 a 1.
Quanto custa implementar Guestlist no meu fluxo?
Custo zero de software — a lib é open source e a API tem tier gratuito. O investimento é integrar a chamada no início do fluxo do agente: antes de tentar a tarefa em um site, consultar o tier e decidir se prossegue, usa fallback ou aborta. Para um time de 3 pessoas, meio dia de trabalho de integração.
Quais os riscos de usar Guestlist?
O principal é staleness: a proteção do site pode mudar depois da consulta. Cloudflare pode ativar bot mode de um dia pro outro, e o rating fica desatualizado. Por isso a recomendação é consultar de novo periodicamente (a cada 24-48h) para sites críticos, e ter fallback pronto quando o tier cair. Outro risco menor: a lib não mede a qualidade da automação depois da entrada — só a porta de entrada.
Guestlist substitui o desenvolvedor?
Não. Guestlist é uma ferramenta de planejamento e mitigação de risco, não substitui quem escreve o agente. O desenvolvedor continua responsável por tratar os tiers corretamente, manter fallback, monitorar mudanças nas proteções dos sites, e evoluir a automação. Guestlist torna o trabalho mais barato e mais previsível — não elimina o trabalho.
Recomendamos também: 5 agentes de IA que uma PME brasileira pode usar hoje (sem saber programar) e O que é MCP (Model Context Protocol) e por que vai mudar os agentes de IA.
Quer mapear quais sistemas do seu varejo são tier verde, amarelo ou vermelho antes de começar uma automação com IA? A Agendai faz o inventário em uma semana — primeira semana de graça. Fale com a gente.