¿Qué son el CAPTCHA y la protección antispam?

CAPTCHA: definición y finalidad

CAPTCHA son las siglas de «Completely Automated Public Turing test to tell Computers and Humans Apart». Se trata de una tarea que debería ser fácil para las personas y difícil para los bots sencillos. Los sitios web la usan en formularios de contacto, registros, inicios de sesión y funciones de comentarios para frenar el spam, los registros falsos y los ataques automatizados, como los intentos de adivinar contraseñas.

Los acertijos clásicos, como letras distorsionadas o la selección de imágenes, son impopulares, difíciles de resolver para muchas personas y a menudo también los descifran bots asistidos por IA. Por eso, los métodos modernos suelen trabajar de forma invisible en segundo plano, evalúan el comportamiento y las características del dispositivo o solo exigen un simple clic.

Métodos de un vistazo

La protección antispam es más que un CAPTCHA. Lo eficaz suele ser una combinación de varias capas que pasan desapercibidas para los usuarios reales, pero filtran pronto los envíos automatizados y descargan el buzón y el servidor. La elección depende del riesgo, del tipo de formulario y de las exigencias de protección de datos. Componentes habituales:

• Honeypot: campo de formulario oculto que solo rellenan los bots
• Comprobación de tiempo: los formularios enviados demasiado rápido se descartan
• Comprobación en el servidor y limitación de solicitudes por dirección IP (rate limiting)
• CAPTCHA invisibles como Cloudflare Turnstile, hCaptcha o Google reCAPTCHA
• Doble opt-in en boletines y registros
• Filtros antispam como Akismet o reglas para enlaces y palabras clave

Ejemplo práctico: formulario de contacto de un despacho de abogados

Un despacho de abogados recibe a diario decenas de mensajes de spam con enlaces publicitarios a través de su formulario de contacto. Un acertijo de imágenes desconcertaría a los clientes y no sería accesible. En su lugar se emplean un campo honeypot, una comprobación de tiempo y una comprobación de enlaces en el servidor; el spam restante lo intercepta un CAPTCHA invisible.

Las solicitudes reales llegan al despacho sin clics adicionales. El número de mensajes de spam baja claramente y el buzón se mantiene ordenado, de modo que el personal no pierde tiempo en clasificar y las consultas reales de nuevos encargos no se pierden. Además, se registran los envíos para poder entender las falsas alarmas.

Protección de datos, accesibi­lidad y límites

Google reCAPTCHA carga scripts desde servidores de Google y evalúa el comportamiento de los usuarios. Por eso, en Alemania suele considerarse sujeto a consentimiento (RGPD, § 25 de la ley alemana TDDDG sobre privacidad en telecomunicaciones y servicios digitales). Desde su traspaso a Google Cloud, por encima de un contingente gratuito (actualmente 10.000 verificaciones al mes) se aplican tarifas. Alternativas más respetuosas con la protección de datos son Cloudflare Turnstile, hCaptcha o proveedores europeos como Friendly Captcha.

También cuenta la accesibilidad: los acertijos de imágenes suelen excluir a usuarios ciegos y con discapacidad visual. Las WCAG exigen alternativas y, donde se aplica la ley alemana de accesibilidad (BFSG), los operadores deberían apostar por métodos invisibles o accesibles. Ningún método detiene a todos los bots, por eso resulta útil una protección en varias etapas.

Imple­menta­ción

Nano Concepts combina varias capas de protección para los formularios, elige un método adecuado según el riesgo y los requisitos de protección de datos y lo integra de conformidad con el consentimiento. En los sitios WordPress, forman parte además la protección del inicio de sesión y las actualizaciones periódicas, para que los atacantes no entren a través de plugins desactualizados. Tras la puesta en producción se comprueba el efecto a partir de las entradas del formulario.