Saiba como funciona o CAPTCHA moderno. Compare Google reCAPTCHA, Cloudflare Turnstiles e outros provedores considerando recursos, preços e dicas de integração.
CAPTCHA (Teste de Turing Público Completamente Automatizado Para Diferenciar Computadores de Humanos) é um sistema de desafio-resposta usado para distinguir usuários humanos de programas automatizados ou bots. Ele apresenta tarefas fáceis para humanos, mas difíceis para máquinas.
Por exemplo, um CAPTCHA tradicional pode mostrar letras ou números distorcidos e pedir para o usuário digitá-los. Ao aproveitar o reconhecimento de padrões humanos, os CAPTCHAs bloqueiam a maioria dos scripts e bots de spam que tentam abusar de formulários e serviços online.
Os CAPTCHAs clássicos dependem de tarefas como interpretar texto distorcido ou selecionar imagens específicas. A distorção (por exemplo, letras deformadas sobrepostas com ruído) frustra algoritmos simples de OCR (Reconhecimento Óptico de Caracteres).
As soluções modernas de CAPTCHA evoluíram para várias categorias:
Usar CAPTCHA é um equilíbrio entre segurança e experiência do usuário. Ao escolher um serviço CAPTCHA, pontos-chave a considerar incluem:
CAPTCHAs são eficazes contra bots básicos, mas atacantes determinados possuem contramedidas. Scripts avançados ou bots guiados por IA podem por vezes driblar CAPTCHAs usando OCR/reconhecimento de imagem e aprendizado de máquina. Existem até serviços de anti-CAPTCHA ou "resolver" (muitas vezes chamados de bypass como serviço) em que atacantes pagam humanos ou IAs especializadas para resolver CAPTCHAs em escala. Por exemplo, o Google já relatou que CAPTCHAs de texto antigos poderiam ser resolvidos por bots em mais de 99% das vezes.
No entanto, CAPTCHAs modernos não interativos e invisíveis, como verificações comportamentais ou criptográficas em segundo plano, oferecem melhor defesa contra ataques de IA. Vale ressaltar que o tráfego de bots hoje é enorme: cerca de 51% de todo o tráfego da internet, sendo 37% malicioso. Portanto, ter alguma proteção CAPTCHA ou detecção de bots é importante, mesmo que não seja infalível.
Além disso, adicionar proteção contra bots em várias camadas é necessário, como fingerprinting de dispositivo (por exemplo, via passkeys), limitação de taxa e Autenticação Multifatorial.
Todo CAPTCHA adiciona fricção para os usuários. Estudos mostram que apenas cerca de 66% dos humanos digitam um CAPTCHA corretamente na primeira tentativa, o que significa que muitos podem se frustrar ou abandonar um formulário. Por exemplo, quebra-cabeças de imagem longos ou várias tentativas podem diminuir as taxas de conversão.
Para mitigar isso, os provedores modernos de CAPTCHA focam em minimizar o esforço humano. Estratégias incluem:
A Cloudflare relata que o Turnstile “elimina a experiência frustrante dos CAPTCHAs”, para que os verdadeiros usuários “não precisem mais perder tempo nem esforço resolvendo quebra-cabeças visuais”. Na prática, muitos sites mostram apenas uma caixa de seleção ou desafio de imagem quando o comportamento do usuário parece suspeito; usuários normais muitas vezes não veem nada.
Hoje em dia, estão surgindo cada vez mais agentes de IA, desenvolvidos para automatizar tarefas e interagir com serviços de terceiros.
Muitos agentes de IA específicos de domínio se conectam de forma segura e legítima a aplicativos de terceiros usando protocolos padrão como OAuth e MCP (Protocolo de Contexto de Modelo). Esta é uma forma segura e aprovada de conceder acesso ao agente, permitindo que os usuários autorizem sem atrito.
No entanto, alguns “agentes de IA de uso geral” ambiciosos visam substituir inteiramente as ações de navegação feitas por humanos. Por exemplo, o Manus é projetado para automatizar tudo o que uma pessoa faria no navegador, de preencher formulários a fazer login com usuário e senha. Em testes reais, o Manus tem dificuldade para passar por CAPTCHAs modernos de alta segurança como Cloudflare Turnstile e Google reCAPTCHA Enterprise, mesmo quando o usuário tenta “transferir” a sessão para uma pessoa real resolver o desafio manualmente. Se você está construindo um agente de IA, é importante desenhar atentamente seus fluxos de autenticação. Contar com automação de navegador para fazer login como um humano é cada vez menos prático porque CAPTCHAs fortes bloqueiam muito bem interações com cara de bot.
Os serviços de CAPTCHA variam entre gratuitos e pagos. Planos gratuitos geralmente limitam o uso ou possuem recursos básicos. Por exemplo:
Certifique-se de conferir os limites e os preços dos planos de cada provedor de acordo com o seu tráfego esperado e metas de conversão.
Os CAPTCHAs são normalmente implantados onde bots podem causar problemas. Cenários comuns incluem:
Ao inserir CAPTCHAs nesses pontos críticos, você reduz significativamente o abuso automatizado e mantém o sistema aberto para usuários legítimos.
| Provedor CAPTCHA | Experiência do usuário | Plano & preços |
|---|---|---|
| reCAPTCHA v2 (Google) | Usuários precisam clicar em uma caixa "Não sou um robô". Esse clique pode ou não acionar um desafio de quebra-cabeça visual. | Gratuito (Essentials) até 10K avaliações/mês; depois planos pagos (Standard/Enterprise). Enterprise: US$ 8 para até 100K, US$ 1 por 1K adicional. |
| reCAPTCHA v3 (Google) | Invisível, pontuação de risco em segundo plano (sem desafio para o usuário). | Mesmos planos do reCAPTCHA v2 |
| reCAPTCHA Enterprise (Google) | Dois modos interativos: 1. Baseado em pontuação (sem desafio). 2. Caixa de seleção e desafio visual adaptativo. | Preço baseado em volume: gratuito até 10K; US$ 8 até 100K; US$ 1/1K extra. Recursos extras como defensor de conta e proteção anti-SMS. |
| Cloudflare Turnstile | Três modos interativos: 1.Gerenciado: a lógica Cloudflare decide quais usuários veem o widget de caixa de seleção. 2. Não interativo: todos os usuários veem o widget de carregamento automático, mas nunca interagem. 3. Invisível: visitantes nunca veem ou interagem com o widget. Desafios invisíveis levam poucos segundos. | Praticamente gratuito. Plano grátis: Até 20 widgets CAPTCHA, 15 hostnames por widget, volume ilimitado. Enterprise: widgets ilimitados. |
| hCaptcha | Tarefas interativas de classificação de imagens (semelhante ao reCAPTCHA v2). Foca em privacidade, mas os desafios podem ser complexos. | Gratuito até 100K requisições/mês. Pro: ~US$ 99/mês. Enterprise: planos personalizados. |
| FunCaptcha (Arkose Labs) | Mini-jogos gamificados (girar/deslizar objetos, quizzes simples). Desafios mais envolventes para derrotar bots. | Sem opção gratuita. Apenas soluções Enterprise (parte do Arkose Bot Management), preços sob consulta. |
| Friendly Captcha | Prova de trabalho totalmente invisível feita em segundo plano, sem ação do usuário. | Plano gratuito não comercial (1 domínio, 1.000 requisições). Planos pagos: Starter €9/mês (1K req); Growth €39/mês (5K req); Advanced €200/mês (50K req); Enterprise: personalizado. |
| BotDetect (Captcha.com) | CAPTCHA clássico de imagem ou áudio com letras/números. | Auto-hospedado e licenciado. Sem plano grátis. Licença anual a partir de cerca de US$ 99. |
Entre estes, o Cloudflare Turnstile se destaca atualmente. É gratuito, fácil de integrar e discreto. O Turnstile oferece bloqueio robusto de bots sem forçar quebra-cabeças para usuários reais e "nunca coleta dados para retargeting de anúncios", respeitando totalmente a privacidade do usuário. Para a maioria dos sites, o Turnstile oferece o melhor equilíbrio entre segurança, UX e custo.
A maneira mais fácil de adicionar CAPTCHA é usar uma plataforma integrada de identidade.
O Logto, uma solução IAM amigável para desenvolvedores, suporta os principais provedores como Google reCAPTCHA Enterprise e Cloudflare Turnstile, permitindo ativar o CAPTCHA com apenas alguns cliques.
Com o Logto, sua equipe pode proteger todos os fluxos de autenticação sem lidar com implementações complexas, incluindo cadastro, login, recuperação de conta, SSO, MFA, gerenciamento multi-inquilino, etc. Saiba mais sobre o CAPTCHA no Logto ou fale com a equipe se quiser explorar mais opções de provedores de CAPTCHA.