Un código CAPTCHA es una prueba que una web utiliza para reducir acciones automatizadas, como el envío masivo de formularios o la creación abusiva de cuentas. Puede pedirte escribir unos caracteres, seleccionar imágenes o completar una comprobación. Otros sistemas evalúan señales de riesgo sin mostrar un acertijo.
No existe un código CAPTCHA universal que puedas buscar o reutilizar: debes completar la prueba que aparece en esa página. Tampoco es lo mismo que una contraseña ni que un código de verificación recibido por SMS.
Qué significa CAPTCHA y para qué sirve
El término corresponde a las siglas inglesas de una prueba de Turing pública y automatizada para distinguir ordenadores y personas. Su propósito práctico es dificultar el abuso de una acción, como registrarse, comentar o enviar una solicitud.
No demuestra con certeza absoluta que alguien sea humano. Los sistemas automatizados y los servicios de resolución pueden superar determinadas pruebas, y una persona real puede encontrar dificultades para completarlas. Por eso se utiliza como una capa de protección, junto a otros controles.
Cómo introducir un código CAPTCHA
- Lee la instrucción de la página: puede pedir caracteres, imágenes concretas o una confirmación.
- Si aparecen letras y números, introdúcelos en el campo indicado y respeta las instrucciones sobre espacios o mayúsculas.
- Si no distingues un carácter, solicita una nueva prueba o utiliza la alternativa accesible que ofrezca el servicio.
- Completa la verificación y envía el formulario sin dejar pasar demasiado tiempo.
- Si la prueba caduca, vuelve a realizarla. No reutilices la respuesta de una prueba anterior.
Por ejemplo, si la imagen muestra una secuencia de caracteres, la respuesta es esa secuencia, no la palabra «captcha». Si pide seleccionar imágenes, sigue el criterio solicitado; no tienes que escribir un código en otro lugar.
Tipos de CAPTCHA y comprobaciones relacionadas
- Texto: reconocer caracteres de una imagen y escribirlos.
- Imágenes: seleccionar elementos que cumplen una instrucción.
- Audio: escuchar y transcribir una secuencia cuando el servicio ofrece esa alternativa.
- Casilla o comprobación interactiva: una acción sencilla puede activar verificaciones adicionales según el riesgo detectado.
- Análisis de riesgo: valorar señales de la interacción y devolver una puntuación o resultado para que la web decida cómo actuar.
Un campo trampa o honeypot y la limitación de solicitudes también pueden ayudar contra el abuso, pero no son el mismo mecanismo. Iniciar sesión con una red social tampoco constituye, por sí solo, una prueba CAPTCHA: tener una cuenta social no demuestra que no exista automatización.
Diferencia entre CAPTCHA y reCAPTCHA
CAPTCHA es el concepto general; reCAPTCHA es una solución de Google. No se llama reCAPTCHA por ser una segunda prueba que aparece después de equivocarse.
La documentación de versiones de Google distingue implementaciones como reCAPTCHA v2 y v3. V2 puede incluir una casilla o un desafío; v3 devuelve una puntuación de riesgo para que la aplicación determine la respuesta adecuada, sin plantear necesariamente un acertijo al usuario.
La puntuación no es una garantía de identidad. El responsable de la web debe interpretarla según la acción y evitar bloquear automáticamente a personas legítimas por una configuración demasiado restrictiva.
Qué hacer si el CAPTCHA no funciona
Antes de repetir muchos intentos, conserva el texto del formulario si puedes hacerlo de forma segura. Después identifica el tipo de fallo:
- Respuesta incorrecta: solicita otra prueba y revisa caracteres parecidos, como una letra O y un cero.
- Prueba caducada: repite la comprobación justo antes de enviar.
- El recuadro no carga: actualiza el navegador y comprueba si una extensión, el bloqueo de scripts o la red impiden cargar el servicio. Evita desactivar protecciones globalmente; prueba otra sesión o navegador de confianza.
- Se repite aunque lo resuelvas: espera antes de reintentar y contacta con el soporte de la web. La causa puede estar en su integración.
- La prueba no es accesible: utiliza una alternativa ofrecida o solicita otra vía para completar la gestión.
No necesitas instalar programas, ejecutar comandos ni pegar instrucciones en la terminal para resolver un CAPTCHA. Si una página te lo pide como condición de verificación, detente y comprueba que estás en el servicio legítimo.
Qué revisar si gestionas una web
No basta con colocar una casilla en el formulario. La comprobación debe formar parte del proceso que acepta o rechaza la solicitud:
- Elige una integración compatible con tu formulario y registra correctamente los dominios donde se utilizará.
- Configura las claves que corresponden al tipo de integración. No expongas secretos de servidor en el código público.
- Valida la respuesta en el servidor antes de procesar el envío.
- Controla fallos, caducidad y reintentos para no perder consultas legítimas.
- Prueba con móvil, teclado y los navegadores habituales, incluyendo situaciones de error.
En la integración clásica descrita por Google, el token de respuesta debe validarse en el servidor, tiene una vigencia limitada y no puede reutilizarse. En reCAPTCHA v3 también deben comprobarse los datos esperados de la acción, según su documentación técnica.
Si utilizas WordPress, empieza por la integración oficial o documentada del plugin de formularios. No añadas varias capas de CAPTCHA sin comprobar su compatibilidad. Para comentarios, puede ser más adecuado combinar moderación y medidas específicas contra el spam en WordPress.
Accesibilidad, privacidad y alternativas
Las pruebas visuales o auditivas pueden impedir que algunas personas completen una gestión. El W3C documenta las barreras de accesibilidad de CAPTCHA. Ofrece alternativas reales y comprueba que el mensaje de error explica cómo continuar.
También conviene revisar qué datos trata el proveedor, sus condiciones y cómo se integra con la información de privacidad de tu web. Instalar una solución antispam no garantiza por sí solo el cumplimiento de las obligaciones de privacidad.
Entre las alternativas están los campos trampa, la limitación de frecuencia, la moderación y servicios como Cloudflare Turnstile. Cada opción requiere una integración y evaluación propias. La decisión útil es reducir abuso sin impedir solicitudes reales: observa tanto el spam recibido como los errores y abandonos del formulario.
