ESCAPTCHA es una prueba de verificación que ayuda a los sitios web a distinguir a los usuarios humanos del software automatizado. El nombre significa Prueba de Turing pública completamente automatizada para diferenciar las computadoras de los humanos.
Puede encontrar uno al crear una cuenta, iniciar sesión o enviar un formulario. Es posible que le solicite que ingrese letras distorsionadas, seleccione imágenes o complete una tarea breve. El sitio web verifica su respuesta antes de permitir que proceda la solicitud.
Esta comprobación tiene un propósito concreto. No confirma quién es el propietario de una cuenta ni si una transacción es segura. Esas decisiones requieren otras comprobaciones.
¿Cómo funciona CAPTCHA?
Un CAPTCHA generalmente se encuentra dentro de un proceso más amplio del sitio web, como el registro o el pago. Un desafío típico sigue estos pasos:
- El sitio web solicita verificación. Esto puede suceder con cada envío o solo cuando el sitio requiere una verificación adicional.
- El usuario completa una tarea. El desafío puede involucrar texto, imágenes u otra interacción.
- Se envía la respuesta. El sistema recibe una respuesta o un token del servicio de verificación.
- El servidor valida la respuesta. Comprueba si el resultado enviado es válido.
- La aplicación continúa con sus propias comprobaciones. Es posible que aún deba validar una contraseña, comprobar los campos del formulario o revisar la cuenta.
Por ejemplo, completar un CAPTCHA en un formulario de registro no reserva el nombre de usuario elegido. El sitio puede aceptar la verificación y luego rechazar un nombre de usuario que ya utiliza otra cuenta.
Con servicios de terceros, el widget visible es sólo una parte del proceso. En la integración reCAPTCHA de Google, el backend de la aplicación debe validar el token de respuesta.
Tipos y ejemplos comunes de CAPTCHA
Los tipos CAPTCHA más familiares difieren en lo que le piden al usuario que haga.
| Tipo | Lo que hace el usuario | Dificultad común |
|---|---|---|
| Texto | Introduce letras o números mostrados en una imagen. | Los caracteres distorsionados pueden ser difíciles de distinguir |
| Imagen | Selecciona imágenes que coinciden con un mensaje | Los objetos pequeños o poco claros pueden hacer que la respuesta sea incierta |
| Audio | Escucha una grabación y accede al contenido. | El ruido de fondo o las dificultades auditivas pueden afectar la finalización. |
| rompecabezas interactivo | Mueve un objeto o completa una tarea corta. | Algunas tareas son difíciles con determinadas herramientas de entrada o accesibilidad. |
Un texto CAPTCHA puede mostrar una breve cadena de letras. Un desafío de imágenes podría pedirle que identifique cada imagen que contenga un semáforo. Estos ejemplos describen la tarea en sí.
Una casilla de verificación le dice menos sobre la verificación subyacente. Al hacer clic en él, se puede completar la interacción visible o el servicio puede solicitar otro desafío. El clic por sí solo no explica cómo el sistema llegó a su decisión.
CAPTCHA frente a reCAPTCHA y CAPTCHA alternativas
CAPTCHA es un término general. Google reCAPTCHA es un servicio específico con varios modos. Cada modo maneja la interacción del usuario de manera diferente.
- casilla de verificación reCAPTCHA v2 le pide al usuario que seleccione una casilla de verificación. Puede surgir un desafío adicional.
- reCAPTCHA v2 invisible se puede ejecutar cuando el usuario realiza una acción, sin necesidad de hacer clic en una casilla de verificación inicial. Todavía puede presentar un desafío.
- reCAPTCHA v3 devuelve una puntuación de interacción sin pedirle al usuario que resuelva un rompecabezas. El sitio web decide qué acción tomar a partir de ese resultado.
Un sitio que utilice la versión 3 podría solicitar otra forma de verificación según su política. Esa es una decisión del sitio, más que un desafío de imagen integrado en la versión 3.
Cloudflare Turnstile se posiciona como una alternativa CAPTCHA. Realiza comprobaciones sin pedir a los visitantes que resuelvan los tradicionales acertijos CAPTCHA.
Estas distinciones son importantes al describir un problema. Un desafío de imagen faltante es diferente de una evaluación de antecedentes fallida. Ambos pueden interrumpir el envío de un formulario, pero es posible que requieran una solución de problemas diferente.
¿Por qué los sitios web muestran comprobaciones CAPTCHA?
Algunos sitios web incluyen CAPTCHA como parte rutinaria del registro, los comentarios o los formularios de contacto. Ver uno no significa necesariamente que tu actividad haya sido marcada.
Otros sitios utilizan la Detección de bots para decidir cuándo es necesaria una verificación adicional. Pueden considerar patrones de solicitud, información de red y contexto del navegador o de la sesión. Los repetidos intentos fallidos de inicio de sesión, por ejemplo, pueden hacer que un sitio requiera más verificación.
Reputación de IP puede contribuir a esa evaluación. Sin embargo, muchos usuarios pueden compartir una Dirección IP, por lo que no puede identificar a la persona detrás de cada solicitud.
Una huella digital del navegador proporciona otro tipo de información. Describe las características técnicas del entorno del navegador. Esas características son independientes de la respuesta enviada a un CAPTCHA.
El desafío en sí rara vez indica qué factor lo provocó. Una verificación de rutina, un problema técnico y una decisión basada en riesgos pueden parecer similares desde el punto de vista del usuario. Tratar cada CAPTCHA como evidencia de un bloqueo de IP puede llevar la solución de problemas en la dirección equivocada.
¿Por qué CAPTCHA puede fallar o seguir reapareciendo?
Comience con el problema visible. Un rompecabezas ilegible, un widget vacío y un envío de formulario rechazado son fallas diferentes.
| lo que ves | ¿Qué puede explicarlo? | que probar |
|---|---|---|
| El desafío es difícil de leer. | El mensaje actual no está claro | Solicite otro desafío o una opción accesible disponible |
| El widget no se carga | Un recurso requerido está bloqueado o no disponible | Comprueba el navegador y cualquier error de carga relevante. |
| Se rechaza la comprobación completada | La respuesta ha caducado o la validación ha fallado | Repita el flujo de verificación normal. |
| El desafío sigue regresando | Un problema técnico o una política del sitio requiere otra verificación | Registre el error y siga los pasos de solución de problemas del proveedor. |
| La verificación pasa pero la acción falla. | Otra verificación de la aplicación ha fallado | Siga el mensaje específico del sitio web. |
El momento oportuno puede explicar el rechazo de una respuesta aparentemente correcta. Suponga que completa la verificación y luego dedica varios minutos a editar un formulario. Es posible que la respuesta ya no sea válida cuando la envíe. Los tokens de respuesta reCAPTCHA de Google caducan después de dos minutos y solo se pueden verificar una vez. Otras implementaciones tienen sus propias reglas.
Las extensiones del navegador y los problemas de conexión también pueden impedir que se carguen los recursos de verificación. Estos problemas pueden causar desafíos repetidos de Cloudflare, incluso cuando una persona está intentando completar la verificación.
Verifique la falla específica antes de borrar todos los datos del navegador. Los sitios web utilizan cookies como parte de la Gestión de sesiones, por lo que borrarlas puede cerrar su sesión. No reparará la integración de verificación rota de un sitio web.
Los equipos que utilizan perfiles de navegador separados deben verificar a qué perfil y sesión afecta el error. Si el problema persiste, informe al equipo de soporte del sitio el mensaje de error y los pasos que lo llevaron.
¿Cuáles son las limitaciones de CAPTCHA?
CAPTCHA puede añadir un obstáculo al abuso automatizado, pero algunos sistemas automatizados y servicios de resolución pagos pueden superar los desafíos. Por lo tanto, una respuesta correcta tiene un valor limitado como prueba de buenas intenciones.
Los usuarios reales también pueden tener dificultades con la tarea. Las imágenes pequeñas, el audio poco claro, las instrucciones desconocidas y las limitaciones de entrada crean barreras de accesibilidad. Ofrecer un desafío de audio puede ayudar a alguien que no puede ver una imagen. Aún así puede excluir a alguien que también tenga dificultades para oír.
La actividad legítima también tiene un costo. Un desafío agrega otro paso a un formulario, inicio de sesión o compra. Los fallos repetidos pueden impedir que alguien termine una tarea que tiene derecho a realizar.
Para los propietarios de sitios, la pregunta útil es si la verificación reduce el abuso sin excluir a demasiados usuarios legítimos. CAPTCHA no puede reemplazar la autenticación de cuenta, los controles de solicitud ni una ruta de soporte para las personas que no pueden completar la verificación.
Preguntas frecuentes
¿Qué significa ingresar CAPTCHA?
Significa que debe completar la verificación que se muestra en la página actual. Para un desafío de texto, ingrese los caracteres mostrados. Para un desafío de imágenes, siga las instrucciones de selección. El sitio web ofrece el desafío, por lo que no es necesario obtener un código por separado en ningún otro lugar.
¿CAPTCHA es lo mismo que una OTP o una contraseña?
No. CAPTCHA busca evidencia relacionada con actividad humana o automatizada. Una contraseña ayuda a autenticar el acceso a una cuenta. Una OTP proporciona un código temporal para un paso de autenticación o verificación. Un sitio web puede requerir tanto CAPTCHA como una OTP porque tienen diferentes propósitos.
¿CAPTCHA verifica mi identidad?
No establece su nombre ni prueba que posee una cuenta. Completar un desafío le da al sitio web un resultado de verificación para esa interacción. El sitio aún necesita su proceso de autenticación normal para determinar si puede acceder a la cuenta.
¿Puede una persona real fallar CAPTCHA?
Sí. Una persona puede leer mal un mensaje, encontrar una tarea inaccesible o enviar una respuesta caducada. La verificación también puede fallar porque un componente no se carga correctamente. Una verificación fallida por sí sola no demuestra que el visitante sea un bot.
¿Cómo se debe manejar CAPTCHA en las pruebas automatizadas?
Para un sitio de su propiedad o que esté autorizado a probar, utilice la configuración de prueba admitida por el proveedor. Con Turnstile, las claves de prueba le permiten comprobar los resultados de la verificación sin que problemas reales interrumpan la prueba. Compruebe que la aplicación maneje correctamente tanto la verificación exitosa como la fallida.
