≡En resumen
- El código captcha es un test para separar personas de bots antes de enviar un formulario o iniciar sesión.
- Los primeros pedían copiar letras deformadas; los actuales analizan el comportamiento y muchas veces no muestran nada.
- Un captcha que falla suele deberse a cookies o JavaScript bloqueados, VPN, extensiones o una conexión considerada sospechosa.
- Los bots con IA ya resuelven muchos captchas mejor que las personas, así que no deben ser la única defensa.
- Cada captcha visible añade fricción: en una web de empresa conviene usar versiones invisibles y reservar el reto para casos dudosos.
01 ¿Qué es el código captcha?
CAPTCHA son las siglas de Completely Automated Public Turing test to tell Computers and Humans Apart, «prueba de Turing completamente automática y pública para distinguir entre ordenadores y humanos». El nombre alude al test de Turing, pero al revés: aquí es una máquina la que pone a prueba a una persona. Se habla de «código» porque los primeros captchas consistían en copiar una secuencia de letras y números. Si buscas la visión general del concepto, la tienes en nuestra ficha de captcha.
02 Origen e historia del captcha
| Año | Hito |
|---|---|
| 1997 | Varios equipos, entre ellos el del buscador AltaVista, crean las primeras pruebas para frenar el registro automático de URL. |
| 2003 | Luis von Ahn, Manuel Blum, Nicholas J. Hopper y John Langford, de la Universidad Carnegie Mellon, acuñan el término CAPTCHA. |
| 2007 | Nace reCAPTCHA, que aprovecha las respuestas de los usuarios para digitalizar palabras de libros escaneados. |
| 2009 | Google compra reCAPTCHA. |
| 2014 | Llega la casilla «No soy un robot», que analiza el comportamiento y solo muestra imágenes si hay dudas. |
| 2018 | reCAPTCHA v3 puntúa cada visita sin mostrar ningún reto; Google retira la v1 en marzo. |
| 2022 | Cloudflare lanza Turnstile (28 de septiembre), una alternativa gratuita sin puzles. |
| 2026 | Google presenta Google Cloud Fraud Defense (22 de abril) como evolución de reCAPTCHA, con un reto por código QR. |
03 Tipos de código captcha
Texto distorsionado
El clásico: letras y números deformados que hay que copiar. Hoy es el más fácil de romper con reconocimiento de imagen.
Selección de imágenes
Marcar las casillas con semáforos, pasos de cebra o bicicletas. Muy usado por reCAPTCHA v2.
Casilla «No soy un robot»
Un clic basta si tu comportamiento y tu navegador parecen humanos; si no, salta un reto de imágenes.
Invisible o por puntuación
reCAPTCHA v3 o Turnstile evalúan la visita en segundo plano y devuelven una puntuación o un token sin molestar al usuario.
Audio y lógicos
Números dictados, sumas sencillas o preguntas de sentido común, pensados sobre todo como alternativa accesible.
Reto con el móvil
Escanear un código QR con otro dispositivo para demostrar que hay una persona detrás, como propone Google para frenar agentes automáticos.
Hay captchas creativos que rozan el experimento, como un captcha que te obliga a hacer flexiones para pasar de página usando la cámara. Curiosos, pero poco prácticos para una web de empresa.
04 ¿Para qué sirve el captcha en una web?
Su función es frenar el tráfico automatizado en los puntos donde un bot puede hacer daño. Es una pieza más de la seguridad web, no una protección completa.
| Punto de la web | Qué evita |
|---|---|
| Formulario de contacto | Mensajes de spam y enlaces maliciosos que llenan tu bandeja |
| Registro de usuarios | Creación masiva de cuentas falsas |
| Inicio de sesión | Ataques de fuerza bruta y de relleno de credenciales robadas |
| Comentarios del blog | Comentarios de spam con enlaces |
| Pago en la tienda | Pruebas de tarjetas robadas mediante pequeñas compras automáticas |
| Encuestas y sorteos | Votos y participaciones automáticas que falsean resultados |
05 Por qué el código captcha no funciona y cómo solucionarlo
Si el captcha no carga, te pide retos sin fin o dice que el código es incorrecto aunque lo hayas escrito bien, prueba esto:
- ✓Distingue mayúsculas y minúsculas y cuidado con letras parecidas (0 y O, l y 1).
- ✓Recarga el reto con el botón de flechas: puedes pedir otra imagen o la versión de audio.
- ✓Activa JavaScript y las cookies de terceros para esa web; sin ellas el captcha no puede validarte.
- ✓Desactiva la VPN o el proxy: las IP compartidas por muchos usuarios parecen sospechosas.
- ✓Prueba en una ventana privada o sin extensiones de bloqueo de anuncios y privacidad.
- ✓Comprueba que la fecha y la hora del dispositivo son correctas.
- ✓Si sigue fallando, espera unos minutos: muchos intentos seguidos endurecen el reto.
06 Cómo añadir un captcha a tu web
-
1
Elige el servicio
reCAPTCHA (dentro de Google Cloud), hCaptcha o Cloudflare Turnstile. Valora privacidad, precio por volumen y fricción.
-
2
Registra tu dominio
En la consola del servicio creas una clave de sitio (pública) y una clave secreta (privada).
-
3
Inserta el widget
Añade el script y el elemento del captcha en tu formulario de contacto, registro o login.
-
4
Verifica en el servidor
Tu backend envía el token recibido a la API del servicio con la clave secreta y decide si acepta la petición. Sin este paso, el captcha no protege nada.
-
5
Ajusta el umbral
En los sistemas por puntuación, define a partir de qué nota bloqueas, pides un reto o dejas pasar, y revisa los falsos positivos.
En WordPress, plugins de formularios como Contact Form 7 o WPForms integran reCAPTCHA o Turnstile con unas pocas opciones. Si tu formulario de contacto sigue recibiendo spam, combínalo con un campo trampa oculto (honeypot) y con límites de envíos por IP.
07 Captcha, conversión, accesibilidad e IA
Cada reto visible es un obstáculo para tus clientes. El W3C, en su nota sobre la inaccesibilidad del CAPTCHA, recomienda priorizar métodos no interactivos y ofrecer siempre alternativas para personas con discapacidad visual, auditiva o cognitiva. Por eso, en cualquier proyecto de diseño y desarrollo web preferimos captchas invisibles que solo muestran un reto cuando la visita parece sospechosa, y medimos su efecto con la optimización de la conversión.
14.000
Captchas resueltos por 1.400 participantes en el estudio de la Universidad de California en Irvine
Fuente: Searles et al., USENIX Security 2023
32 s
Tiempo medio que tarda una persona en completar un captcha típico
Fuente: Cloudflare, citado en Wikipedia
Preguntas frecuentes sobre Código Captcha
Es una prueba que muestra una web para comprobar que eres una persona y no un bot, por ejemplo escribir letras deformadas, elegir imágenes o marcar la casilla «No soy un robot».
Son las siglas de Completely Automated Public Turing test to tell Computers and Humans Apart: prueba de Turing pública y automática para distinguir ordenadores de humanos.
Para impedir que programas automáticos envíen spam, creen cuentas falsas, prueben contraseñas o tarjetas robadas o falseen votaciones en una web.
Por errores al copiar mayúsculas o caracteres parecidos, porque el reto ha caducado o porque tu navegador bloquea cookies o JavaScript. Recarga el captcha, desactiva la VPN o prueba sin extensiones.
El término lo acuñaron en 2003 Luis von Ahn, Manuel Blum, Nicholas J. Hopper y John Langford, de la Universidad Carnegie Mellon, aunque desde 1997 existían pruebas parecidas.
Captcha es el tipo de prueba en general; reCAPTCHA es el servicio concreto de Google para ponerla en una web, hoy integrado en Google Cloud Fraud Defense.
No, pero es muy recomendable si recibes spam. Puedes usar versiones invisibles o combinarlo con honeypots y límites de envío para no molestar a los usuarios reales.
Solo en parte. Estudios recientes muestran que los bots ya resuelven muchos captchas mejor que las personas, así que conviene combinarlos con análisis de comportamiento, límites de peticiones, honeypots y verificación en el servidor.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗