O que é captcha?

O que é captcha?

Um captcha é um teste que um site apresenta para saber se quem está do outro lado da tela é uma pessoa real ou um programa automático, conhecido como bot. A palavra é a sigla em inglês de Completely Automated Public Turing test to tell Computers and Humans Apart, ou seja, um teste de Turing automático e público para diferenciar computadores de humanos. Quando um formulário pede que você digite letras distorcidas, marque a caixa "não sou um robô" ou selecione as imagens que contêm semáforos, você está resolvendo um captcha.

Esses testes surgiram no fim dos anos 1990, quando o crescimento da internet começou a atrair programas capazes de criar milhares de contas falsas, enviar mensagens de spam ou coletar dados em massa. Desde então, o captcha se tornou uma das barreiras mais comuns entre um site e o tráfego automatizado. Sua aparência mudou muito com o tempo: das letras tortas dos primeiros anos, passou-se à caixa de um clique e, mais recentemente, a verificações que o usuário quase não percebe.

Este artigo explica para que serve um captcha, quais tipos existem, como ele funciona por dentro, quais vantagens e desvantagens traz para um site e quais alternativas modernas, como a verificação invisível e as passkeys, estão aos poucos substituindo-o.

Para que serve um captcha

O objetivo do captcha é proteger os serviços online do tráfego gerado por programas. Um bot consegue fazer em minutos o que levaria horas para uma pessoa, e isso é muito atraente para quem quer abusar dos sistemas. Sem um teste que filtre os programas, qualquer formulário público fica exposto a estes riscos:

• Spam em comentários e formulários: bots enchem seções de comentários, livros de visitas e formulários de contato com links publicitários ou conteúdo fraudulento.
• Cadastro em massa de contas: programas criam milhares de contas falsas em minutos para esgotar promoções, manipular sorteios ou inflar métricas.
• Ataques de força bruta: um bot pode testar milhões de senhas em uma página de login até encontrar a correta.
• Roubo de conteúdo e dados: programas percorrem sites em alta velocidade para copiar preços, publicações ou informações de clientes.
• Compra de ingressos e produtos em lotes: revendedores usam bots para esgotar ingressos de shows ou itens de edição limitada em segundos.

O captcha não impede um atacante decidido que conta com pessoas reais, mas elimina o problema mais barato e massivo: a automação. Ao obrigar cada tentativa a passar por um teste que só uma pessoa resolve com facilidade, o site encarece e freia as operações dos programas.

Tipos de captcha

Com o passar dos anos, surgiram muitas variantes, cada uma pensada para ser difícil para uma máquina e simples para uma pessoa. Estes são os tipos mais comuns:

A tendência geral foi abandonar os testes que exigem esforço visual e partir para modelos que incomodam menos o visitante. O clique na caixa, por exemplo, quase nunca é o teste de verdade: o que acontece antes e depois do clique é o que denuncia os programas.

Como funciona um captcha

Um captcha combina dois mecanismos. O primeiro é o teste visível, que apresenta um desafio que uma pessoa resolve sem dificuldade, mas que uma máquina ainda não domina: ler texto torto, identificar objetos em uma foto ou seguir uma instrução simples. O segundo é a análise de comportamento, que observa como o cursor se move, quanto tempo o usuário leva para reagir, de qual dispositivo e endereço IP vem a solicitação e qual padrão os movimentos seguem.

Sistemas modernos, como o reCAPTCHA do Google, atribuem uma pontuação de risco a cada visita. Se a pontuação indica que o comportamento parece humano, o usuário passa sem ver nada ou apenas com a caixa. Se há mais dúvida, aparece um teste de imagens; e se a atividade parece claramente automatizada, o acesso é bloqueado. Por isso duas pessoas podem ver coisas diferentes na mesma página: uma resolve um clique e a outra precisa selecionar nove quadrados com bicicletas.

Esse desenho é proposital. O teste visual não busca ser impossível para uma máquina, mas caro e irritante o bastante para que automatizá-lo deixe de valer a pena. Cada vez que um bot erra uma seleção de imagens, o site ganha informação para melhorar seu modelo de detecção.

Vantagens e desvantagens do captcha

Como toda medida de segurança, o captcha tem um lado positivo e um custo que os usuários reais pagam. Estas são suas principais vantagens:

• Freia o spam automático: reduz de forma drástica os comentários de lixo e os envios fraudulentos de formulários.
• Protege as contas: dificulta ataques de força bruta e a criação em massa de perfis falsos.
• Preserva os recursos do servidor: evita que milhões de solicitações automáticas consumam banda e capacidade de processamento.
• Mantém a qualidade dos dados: impede que pesquisas, sorteios e cadastros fiquem cheios de respostas vazias ou duplicadas.
• É barato de implementar: os serviços mais usados oferecem versões gratuitas que qualquer site pode integrar.

Mas também tem desvantagens que vale a pena conhecer:

• Atrito para o usuário: cada teste interrompe a tarefa e soma segundos, ou minutos quando a imagem não é compreendida.
• Abandono de formulários: muitos visitantes preferem ir embora a resolver um teste difícil, o que reduz as conversões.
• Problemas de acessibilidade: testes visuais excluem pessoas com deficiência visual quando não há alternativa adequada.
• Falsos positivos: usuários legítimos podem ser bloqueados ou receber testes em sequência sem explicação.
• Coleta de dados pessoais: a análise de comportamento reúne informações sobre como cada pessoa navega.

O captcha e a acessibilidade

A acessibilidade é o ponto mais fraco do captcha tradicional. Uma pessoa com baixa visão não consegue ler texto distorcido nem identificar objetos pequenos em uma foto, e as alternativas de áudio costumam ser difíceis de entender ou simplesmente não existem em muitos serviços. Isso contradiz o próprio objetivo do teste: um mecanismo criado para deixar as pessoas passarem acaba deixando algumas delas de fora.

As diretrizes de acessibilidade web recomendam oferecer mais de uma forma de passar no teste, explicar com clareza o que o usuário deve fazer e evitar desafios que dependam apenas da visão ou da audição. Na prática, a melhor solução foi reduzir o peso do teste visual: quanto menos o sistema depende dele, menos pessoas ficam excluídas.

Alternativas modernas: verificação invisível e passkeys

A evolução natural do captcha é desaparecer da vista do usuário. A verificação invisível já analisa o comportamento e o ambiente da solicitação sem pedir nenhuma ação, reservando os testes visíveis apenas para os casos realmente suspeitos. Muitos sites grandes funcionam assim: o visitante nunca marca uma caixa, mas o sistema mesmo assim diferencia pessoas de programas.

Outro caminho é trocar a pergunta "você é humano?" pela pergunta "você é você?". As passkeys, ou chaves de acesso, permitem entrar em uma conta com a digital, o rosto ou o PIN do próprio dispositivo, sem senhas. Como a verificação fica ligada a um dispositivo físico e a uma pessoa real, os bots perdem a chance de roubar credenciais ou automatizar acessos, e o atrito do captcha desaparece do login ao mesmo tempo. Tecnologias como WebAuthn já estão integradas aos principais navegadores e aos serviços mais usados.

Nenhuma dessas medidas é perfeita sozinha, e o comum é combiná-las: verificação invisível nos formulários, limites por endereço IP, análise de comportamento e autenticação sem senha nas contas sensíveis. O captcha não vai desaparecer da noite para o dia, mas seu papel está mudando: de protagonista visível a filtro silencioso de último recurso.

Entender o que é um captcha ajuda a valorizar por que os formulários pedem esses testes e por que tantas empresas se esforçam para lidar com eles sem incomodar o cliente. Se o seu negócio usa ferramentas web para gerir a operação do dia a dia, contar com um sistema confiável, como o Kardex Tauro para o controle de estoques, também faz parte de proteger as informações dos seus usuários em um ambiente cheio de automação.