Aprende cómo funciona el CAPTCHA moderno. Compara Google reCAPTCHA, Cloudflare Turnstile y más proveedores desde características, precios y consejos de integración.
CAPTCHA (Prueba de Turing Pública Completamente Automatizada para diferenciar Computadoras y Humanos, por sus siglas en inglés) es un sistema de desafío-respuesta utilizado para distinguir usuarios humanos de programas automáticos o bots. Presenta tareas que son fáciles para los humanos pero difíciles para las máquinas.
Por ejemplo, un CAPTCHA tradicional puede mostrar letras o números distorsionados y pedir al usuario que los escriba. Aprovechando el reconocimiento de patrones humanos, los CAPTCHAs bloquean la mayoría de scripts y bots de spam que intentan abusar de formularios y servicios en línea.
Los CAPTCHAs clásicos se basan en tareas como interpretar texto distorsionado o seleccionar imágenes específicas. La distorsión (por ejemplo, letras deformadas cubiertas con ruido) frustra los algoritmos sencillos de OCR (Reconocimiento Óptico de Caracteres).
Las soluciones modernas de CAPTCHA han evolucionado en varias categorías:
El uso de CAPTCHA es un equilibrio entre seguridad y experiencia de usuario. Al seleccionar un servicio de CAPTCHA, considera:
Los CAPTCHAs son efectivos contra bots básicos, pero los atacantes determinados tienen contramedidas. Scripts avanzados o bots impulsados por IA pueden a veces superar los CAPTCHAs usando OCR/reconocimiento de imágenes y aprendizaje automático. Incluso existen servicios anti-CAPTCHA o solvers (conocidos como bypass-as-a-service) donde los atacantes pagan a humanos o IA especializada para resolver CAPTCHAs a gran escala. Por ejemplo, Google reportó que los viejos CAPTCHAs de texto pueden ser resueltos por bots más del 99% de las veces.
Sin embargo, los CAPTCHAs no interactivos y CAPTCHAs invisibles modernos, como los que se basan en el comportamiento o comprobaciones criptográficas en segundo plano, ofrecen mejor defensa frente a ataques de IA. Además, el tráfico de bots ahora es enorme: alrededor del 51% de todo el tráfico de Internet, y el 37% es malicioso. Así que tener algún tipo de CAPTCHA o detección de bots es importante aunque no sea infalible.
Además, agregar protección multinivel contra bots es necesario, como el fingerprinting de dispositivos (por ejemplo, usando passkeys), limitación de tasa, Autenticación Multifactor.
Cualquier CAPTCHA añade fricción para los usuarios. Estudios muestran que solo aproximadamente el 66% de los humanos completan un CAPTCHA correctamente en el primer intento, lo que significa que muchos pueden frustrarse o abandonar un formulario. Por ejemplo, rompecabezas de imágenes largos o múltiples intentos pueden disminuir las tasas de conversión.
Para mitigar esto, los proveedores de CAPTCHA modernos se enfocan en minimizar el esfuerzo humano. Estrategias incluidas:
Cloudflare informa que Turnstile“elimina la experiencia frustrante de los CAPTCHAs” para que los usuarios reales “ya no tengan que perder tiempo y esfuerzo resolviendo rompecabezas visuales”. En la práctica, muchos sitios solo muestran una casilla o desafío de imagen cuando el comportamiento del usuario parece sospechoso; los usuarios normales pueden no ver nada.
Hoy en día surgen cada vez más agentes de IA, diseñados para automatizar tareas e interactuar con servicios de terceros.
Muchos agentes de IA específicos de dominio se conectan de forma segura y legítima a apps de terceros usando protocolos estándar como OAuth y MCP (Protocolos de Contexto de Modelo). Esta es una forma segura y aprobada de otorgar acceso a un agente, lo que permite a los usuarios autorizar sin problemas.
Sin embargo, algunos ambiciosos agentes de IA “de propósito general” buscan reemplazar completamente las acciones de navegación de los humanos. Por ejemplo, Manus está diseñado para automatizar todo lo que una persona podría hacer en un navegador web, desde completar formularios hasta iniciar sesión con usuario y contraseña. En pruebas reales, Manus lucha para superar CAPTCHAs modernos de alta seguridad como Cloudflare Turnstile y Google reCAPTCHA Enterprise, incluso si el usuario intenta “transferir” la sesión a una persona real para resolver el desafío manualmente. Si estás desarrollando un agente de IA, es importante diseñar cuidadosamente los flujos de autenticación. Confiar en la automatización del navegador para iniciar sesión como un humano es cada vez más inviable porque los CAPTCHAs inteligentes son extremadamente buenos bloqueando las interacciones tipo bot.
Los servicios de CAPTCHA van de gratuitos a de pago. Los planes gratuitos suelen limitar el uso o tener funciones básicas. Por ejemplo:
Asegúrate de revisar los límites de cada plan y precios según tu tráfico esperado y objetivos de conversión.
Los CAPTCHAs se emplean donde los bots pueden causar problemas. Algunos escenarios comunes:
Al insertar CAPTCHAs en estos puntos críticos, reduces significativamente el abuso automatizado mientras mantienes el acceso a usuarios legítimos.
| Proveedor CAPTCHA | Experiencia de usuario | Plan y precios |
|---|---|---|
| reCAPTCHA v2 (Google) | Los usuarios deben hacer clic en la casilla "No soy un robot". Este clic puede o no desafiarles con rompecabezas de imágenes de CAPTCHA. | Gratis (Essentials) hasta 10K evaluaciones/mes; luego niveles de pago (Standard/Enterprise). Enterprise cuesta $8 hasta 100K y $1 por cada 1K adicional. |
| reCAPTCHA v3 (Google) | Invisible, evaluación de riesgo en segundo plano (sin desafío al usuario). | Mismos precios que reCAPTCHA v2 |
| reCAPTCHA Enterprise (Google) | Dos modos interactivos: 1. Basado en puntuación (sin desafío). 2. Casilla y desafío visual adaptativo. | Precio por volumen: gratis hasta 10K; $8 hasta 100K; $1/1K en adelante. Ofrece extras como defensa de cuentas y protección de fraude por SMS. |
| Cloudflare Turnstile | Tres modos interactivos: 1.Gestionado: Lógica de Cloudflare determina qué usuarios ven el widget de casilla. 2. No interactivo: Todos ven el widget de carga automática, pero no interactúan con él. 3. Invisible: Los visitantes nunca ven o interactúan con el widget. Los desafíos invisibles tardan unos segundos. | Prácticamente gratis. Plan gratuito: hasta 20 widgets de CAPTCHA, 15 hostnames por widget, volumen ilimitado. Plan Enterprise: widgets ilimitados. |
| hCaptcha | Tareas interactivas de clasificación de imágenes (similar a reCAPTCHA v2). Se enfoca en privacidad, pero los rompecabezas pueden ser complejos. | Gratis hasta 100k solicitudes por mes. Pro ~$99/mes. Planes Enterprise personalizados. |
| FunCaptcha (Arkose Labs) | Microjuegos gamificados (rotar/deslizar objetos, quizzes simples). Rompecabezas más atractivos para derrotar bots. | Sin nivel gratuito. Solo para Enterprise (parte de Arkose Bot Management), consulta para precios. |
| Friendly Captcha | Prueba de trabajo totalmente invisible. No requiere acción del usuario, todo se resuelve en segundo plano. | Nivel gratis no comercial (1 dominio, 1000 solicitudes). Planes de pago: Starter €9/mes (1K req); Growth €39/mes (5K req); Advanced €200/mes (50K req); Enterprise personalizado. |
| BotDetect (Captcha.com) | CAPTCHA tradicional de imagen o audio con letras/números. | Autohospedado y con licencia. Sin plan gratuito. Licencia APT aprox. $99/año. |
Entre estos, Cloudflare Turnstile destaca hoy en día. Es gratis, fácil de integrar y no intrusivo. Turnstile ofrece un bloqueo robusto de bots sin forzar rompecabezas a usuarios legítimos, y “nunca recoge datos para retargeting publicitario”, respetando completamente la privacidad. Para la mayoría de sitios, Turnstile ofrece el mejor equilibrio entre seguridad, experiencia de usuario y coste.
La forma más fácil de agregar CAPTCHA es usar una plataforma de identidad integrada.
Logto, una solución IAM amigable para desarrolladores, soporta los principales proveedores como Google reCAPTCHA Enterprise y Cloudflare Turnstile, así que puedes habilitar CAPTCHA en solo unos clics.
Con Logto, tu equipo puede asegurar todos tus flujos de autenticación sin trabajo de implementación complejo, incluyendo registro, inicio de sesión, recuperación de cuenta, SSO, MFA, gestión multi-tenant, etc. Aprende más sobre CAPTCHA de Logto o contacta con el equipo si quieres explorar más opciones de proveedores de CAPTCHA.