Un CAPTCHA es una prueba de desafío-respuesta que usan los sitios web para distinguir a los visitantes humanos de los bots automatizados, por ejemplo pidiendo leer texto distorsionado o seleccionar imágenes.
Cómo funciona un CAPTCHA
El nombre son las siglas de «Completely Automated Public Turing test to tell Computers and Humans Apart»; lo acuñaron en 2003 investigadores de la Universidad Carnegie Mellon, entre ellos Luis von Ahn. Tipos habituales:
- CAPTCHA de texto: letras y números distorsionados;
- CAPTCHA de imágenes: «seleccione todas las casillas con semáforos»;
- comprobaciones invisibles o por puntuación: Google reCAPTCHA v3, hCaptcha y Cloudflare Turnstile analizan señales del navegador y el comportamiento, y solo plantean un desafío a los visitantes sospechosos;
- CAPTCHA de audio: una alternativa accesible.
Por qué importan los CAPTCHA
Los CAPTCHA frenan el abuso automatizado: registro masivo de cuentas, relleno de credenciales e inicios de sesión por fuerza bruta, spam en comentarios, reventa de entradas y web scraping agresivo. Sin embargo, no son una barrera sólida. El aprendizaje automático resuelve muchos acertijos clásicos mejor que las personas, y los servicios comerciales de resolución de CAPTCHA emplean a trabajadores mal pagados que responden desafíos para botnets por una pequeña tarifa por cada mil.
Los atacantes también abusan del aspecto familiar de los CAPTCHA. En las campañas «ClickFix», ampliamente documentadas desde 2024, páginas falsas de «verifique que es humano» piden pulsar Win+R y pegar un comando copiado al portapapeles, que en realidad instala infostealers como Lumma.
Buenas prácticas
- Combinar el CAPTCHA con limitación de peticiones, gestión de bots y autenticación multifactor.
- Preferir soluciones accesibles y de baja fricción, y desafiar solo las peticiones de riesgo.
- Recordar: un CAPTCHA real nunca pide ejecutar comandos, abrir el cuadro Ejecutar ni pegar nada en una terminal.
