¿Qué es el captcha?
¿Qué es el captcha?
Un captcha es una prueba que presenta una página web para saber si quien está del otro lado de la pantalla es una persona real o un programa automático, conocido como bot. La palabra es el acrónimo en inglés de Completely Automated Public Turing test to tell Computers and Humans Apart, es decir, una prueba de Turing automática y pública para diferenciar entre computadoras y personas. Cuando un formulario te pide escribir unas letras distorsionadas, marcar la casilla "no soy un robot" o seleccionar las imágenes que contienen semáforos, estás resolviendo un captcha.
Estas pruebas aparecieron a fines de los años noventa, cuando el crecimiento de internet empezó a atraer programas capaces de crear miles de cuentas falsas, enviar correo basura o registrar datos en masa. Desde entonces, el captcha se convirtió en una de las barreras más comunes entre un sitio web y el tráfico automatizado. Su aspecto cambió mucho con los años: de las letras torcidas de los primeros tiempos se pasó a la casilla de un solo clic y, más recientemente, a verificaciones que el usuario apenas nota.
En este artículo se explica para qué sirve un captcha, qué tipos existen, cómo funciona por dentro, qué ventajas y desventajas tiene para un sitio web y qué alternativas modernas, como la verificación invisible y las passkeys, están reemplazándolo poco a poco.
Para qué sirve un captcha
El propósito del captcha es proteger los servicios en línea del tráfico generado por programas. Un bot puede ejecutar en minutos lo que a una persona le tomaría horas, y eso resulta muy atractivo para quienes buscan abusar de los sistemas. Sin una prueba que filtre a los programas, cualquier formulario público queda expuesto a estos riesgos:
- Spam en comentarios y formularios: los bots llenan secciones de comentarios, libros de visitas y formularios de contacto con enlaces publicitarios o contenido fraudulento.
- Registros masivos de cuentas: los programas crean miles de cuentas falsas en minutos para agotar promociones, manipular sorteos o inflar métricas.
- Ataques de fuerza bruta: un bot puede probar millones de contraseñas contra una página de acceso hasta encontrar la correcta.
- Robo de contenido y datos: los programas recorren sitios web a gran velocidad para copiar precios, publicaciones o información de clientes.
- Compra de entradas y productos en lotes: los revendedores usan bots para acaparar boletos de conciertos o artículos de edición limitada en segundos.
El captcha no detiene a un atacante decidido que opera con recursos humanos reales, pero sí elimina el problema más barato y masivo: la automatización. Al obligar a cada intento a pasar por una prueba que solo una persona puede resolver con facilidad, el sitio encarece y frena las operaciones de los programas.
Tipos de captcha
Con los años aparecieron muchas variantes, cada una diseñada para ser difícil para una máquina pero sencilla para una persona. Estos son los tipos más habituales:
| Tipo | Cómo funciona | Dónde se ve con frecuencia |
|---|---|---|
| Texto distorsionado | Muestra letras y números deformados que el usuario debe escribir en un campo | Formularios antiguos y sitios de descarga |
| Selección de imágenes | Pide marcar todas las imágenes que contienen un objeto, como semáforos o vehículos | reCAPTCHA en páginas de acceso y registro |
| Casilla "no soy un robot" | El usuario marca una casilla y el sistema evalúa su comportamiento antes de aceptar | Millones de sitios web con reCAPTCHA |
| Rompecabezas y operaciones | Propone arrastrar una pieza, resolver una suma o completar una secuencia lógica | Plataformas de juegos y foros |
| Verificación invisible | Analiza el comportamiento en segundo plano sin que el usuario haga nada | Servicios con mucho tráfico que no quieren fricción |
La tendencia general fue abandonar las pruebas que exigen esfuerzo visual y pasar a modelos que molestan menos al visitante. El clic en la casilla, por ejemplo, casi nunca es la prueba real: lo que ocurre antes y después del clic es lo que delata a los programas.
Cómo funciona un captcha
Un captcha combina dos mecanismos. El primero es la prueba visible, que plantea un desafío que una persona resuelve sin dificultad pero que una máquina todavía no domina: reconocer texto torcido, identificar objetos en una foto o razonar una instrucción sencilla. El segundo es el análisis de comportamiento, que observa cómo se mueve el cursor, cuánto tarda el usuario en reaccionar, desde qué dispositivo y dirección IP llega la solicitud y qué patrón siguen sus movimientos.
Los sistemas modernos, como el reCAPTCHA de Google, asignan una puntuación de riesgo a cada visita. Si la puntuación indica que el comportamiento parece humano, el sistema deja pasar al usuario sin mostrarle nada o solo con la casilla. Si la duda es mayor, aparece una prueba de imágenes; y si la actividad parece claramente automatizada, el acceso se bloquea. Por eso dos personas pueden ver cosas distintas en la misma página: una resuelve un clic y la otra debe seleccionar nueve recuadros con bicicletas.
Este diseño es deliberado. La prueba visual no busca ser imposible de resolver para una máquina, sino lo bastante costosa y molesta para que automatizarla deje de valer la pena. Cada vez que un bot falla una selección de imágenes, el sitio gana información para mejorar su modelo de detección.
Ventajas y desventajas del captcha
Como toda medida de seguridad, el captcha tiene un lado positivo y un costo que pagan los usuarios reales. Estas son sus principales ventajas:
- Frena el spam automático: reduce de forma drástica los comentarios basura y los envíos fraudulentos de formularios.
- Protege las cuentas: dificulta los ataques de fuerza bruta y la creación de perfiles falsos en masa.
- Cuida los recursos del servidor: evita que millones de peticiones automáticas consuman ancho de banda y capacidad de procesamiento.
- Preserva la calidad de los datos: impide que encuestas, sorteos y registros se llenen de respuestas vacías o duplicadas.
- Es económico de implementar: los servicios más usados ofrecen versiones gratuitas que cualquier sitio puede integrar.
Pero también tiene desventajas que conviene conocer:
- Fricción para el usuario: cada prueba interrumpe la tarea y suma segundos, o minutos cuando la imagen no se entiende.
- Abandono de formularios: muchos visitantes prefieren irse antes que resolver una prueba complicada, lo que reduce conversiones.
- Problemas de accesibilidad: las pruebas visuales excluyen a personas con discapacidad visual si no hay alternativas adecuadas.
- Falsos positivos: usuarios legítimos pueden quedar bloqueados o recibir pruebas encadenadas sin explicación.
- Consumo de datos personales: el análisis de comportamiento recopila información sobre cómo navega cada persona.
El captcha y la accesibilidad
La accesibilidad es el punto más débil del captcha tradicional. Una persona con baja visión no puede leer texto distorsionado ni identificar objetos pequeños en una foto, y las alternativas de audio resultan difíciles de entender o simplemente no existen en muchos servicios. Esto contradice el objetivo mismo de la prueba: un mecanismo pensado para dejar pasar a las personas termina dejando afuera precisamente a algunas de ellas.
Las guías de accesibilidad web recomiendan ofrecer más de una vía para superar la prueba, explicar con claridad qué debe hacer el usuario y evitar los desafíos que dependen solo de la vista o del oído. En la práctica, la mejor solución fue reducir el peso de la prueba visual: cuanto menos depende el sistema de ella, menos personas quedan excluidas.
Alternativas modernas: verificación invisible y passkeys
La evolución natural del captcha es desaparecer de la vista del usuario. La verificación invisible ya analiza el comportamiento y el entorno de la solicitud sin pedir ninguna acción, y reserva las pruebas visibles solo para los casos realmente dudosos. Muchos sitios grandes funcionan así: el visitante nunca marca una casilla, pero el sistema igualmente distingue entre personas y programas.
Otra vía es reemplazar la pregunta "¿eres humano?" por la pregunta "¿eres tú?". Las passkeys, o claves de acceso, permiten entrar a una cuenta con la huella digital, el rostro o el PIN del propio dispositivo, sin contraseñas. Como la verificación queda ligada a un dispositivo y a una persona real, los bots pierden la oportunidad de robar credenciales o de automatizar accesos, y de paso desaparece la fricción del captcha en el inicio de sesión. Tecnologías como WebAuthn ya están integradas en los navegadores principales y en los servicios más usados.
Ninguna de estas medidas es perfecta por sí sola, y lo habitual es combinarlas: verificación invisible en los formularios, límites por dirección IP, análisis de comportamiento y autenticación sin contraseña en las cuentas sensibles. El captcha no va a desaparecer de un día para otro, pero su papel está cambiando: de protagonista visible a filtro silencioso de última instancia.
Entender qué es un captcha ayuda a valorar por qué los formularios piden esas pruebas y por qué tantas empresas se esfuerzan en que sus plataformas las manejen sin molestar al cliente. Si tu negocio usa herramientas web para gestionar su operación diaria, contar con un sistema confiable, como Kardex Tauro para el control de inventarios, también forma parte de proteger la información de tus usuarios en un entorno lleno de automatización.