Un CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) es una prueba reto-respuesta utilizada en sitios web para distinguir a personas de bots automatizados. El término fue acuñado en 2003 por Luis von Ahn, Manuel Blum, Nicholas J. Hopper y John Langford en la Universidad Carnegie Mellon. Los CAPTCHAs modernos incluyen Google reCAPTCHA v2 (rejillas de imágenes), reCAPTCHA v3 (puntuación invisible), hCaptcha y Cloudflare Turnstile, mientras que alternativas más respetuosas con la privacidad son los campos honeypot y el análisis de formularios por tiempo.
¿Cómo funciona un CAPTCHA?
Un CAPTCHA propone una tarea fácil para humanos y difícil para software: identificar texto distorsionado, seleccionar imágenes con un semáforo o, en CAPTCHAs invisibles, analizar en segundo plano el movimiento del ratón, cookies, fingerprint y reputación de IP. El servidor solo acepta el envío si el token CAPTCHA valida contra la API del proveedor.
¿Qué tipos de CAPTCHA existen en 2026?
- CAPTCHA de texto — letras distorsionadas; obsoleto desde ~2014.
- CAPTCHA de imagen (reCAPTCHA v2) — "selecciona los cuadros con autobuses", lanzado en 2014.
- Checkbox CAPTCHA — "No soy un robot", parte de reCAPTCHA v2 desde 2014.
- Invisible / puntuación (reCAPTCHA v3) — score 0.0–1.0, lanzado en octubre de 2018.
- hCaptcha — alternativa privacy-first lanzada en 2018, usada por Cloudflare 2020–2023.
- Cloudflare Turnstile — invisible, sin etiquetado, GA septiembre de 2023.
- CAPTCHA matemático o de pregunta — operaciones simples ("2 + 3 = ?").
- CAPTCHA de slider o puzzle — arrastrar una pieza a su sitio.
¿Por qué usar un CAPTCHA en un sitio WordPress?
- Anti-spam en formularios de contacto, comentarios y registro.
- Defensa contra fuerza bruta en
wp-login.phpy login de WooCommerce. - Mitigación de credential stuffing con contraseñas filtradas.
- Disuasión de scrapers en listas de precios y formularios de lead-gen.
¿Qué desventajas tienen los CAPTCHAs?
- Accesibilidad: los retos visuales bloquean a usuarios de lectores de pantalla; WCAG 2.2 exige alternativa.
- Privacidad: Google reCAPTCHA carga scripts desde
google.comy recoge IP, cookies y datos de navegador. Autoridades de protección de datos europeas exigen consentimiento explícito (RGPD). - Caída de conversión: estudios estiman entre un 3,2 % y un 29 % de abandono de formularios.
- Rendimiento: reCAPTCHA añade ~200 KB de JavaScript.
- Resoluble por IA: desde 2023 los modelos clase GPT-4 resuelven la mayoría en segundos.
¿Qué alternativas respetuosas con la privacidad existen?
- Campo honeypot — input oculto que solo los bots rellenan.
- Comprobación de tiempo — rechazar envíos en menos de 2–3 segundos.
- Cloudflare Turnstile — sin etiquetado ni cookies.
- Friendly Captcha — proof-of-work alojado en la UE.
- Rate limiting — bloquear IPs tras N intentos por minuto.
Qué comprueba InspectWP
InspectWP detecta Google reCAPTCHA, hCaptcha y Cloudflare Turnstile a través de los scripts cargados y los reporta en RGPD (scripts de Google) y seguridad. También marca la falta de protección contra fuerza bruta en wp-login.php.