hCaptcha

¿Qué es hCaptcha?

hCaptcha es un servicio de detección de bots y prevención del fraude que sitios y aplicaciones incorporan justo donde el abuso ocurre de verdad: formularios de registro, páginas de inicio de sesión, flujos de pago y API. Si alguna vez ha hecho clic en cuadros con autobuses, ha conocido solo el extremo del producto que da al público — ese widget es su parte más pequeña. El sitio oficial se presenta ahora como una plataforma empresarial de detección de bots en tiempo real, verificación de agentes de IA y prevención del fraude, que evalúa el comportamiento de forma continua a lo largo de una sesión en lugar de bloquear un único instante con un acertijo.

La empresa detrás importa para entender el producto. hCaptcha es un servicio de Intuition Machines, Inc., titular de la marca, y entre sus asesores figuran Brendan Eich, director ejecutivo de Brave y creador del lenguaje JavaScript, junto a Dawn Song, catedrática de la Universidad de California en Berkeley. Ese linaje explica el posicionamiento: el objetivo declarado es el reCAPTCHA de Google, y el factor diferencial es que hCaptcha no pertenece a una empresa publicitaria. Su arquitectura se comercializa como Zero-PII, con la tesis de que la detección puede funcionar sin la huella de navegador en la que se apoyan los productos de seguridad cercanos a la publicidad. En la formulación oficial: en lugar de basarse en la huella de navegador o en datos personales, evalúa continuamente si la actividad refleja una intención legítima del usuario, mediante lo que la empresa llama Advanced Threat Signatures, sumado al estudio del comportamiento y una puntuación de riesgo extraída de miles de señales.

Conviene saber de dónde viene el producto, porque el origen aún se nota. La descripción de la página «Acerca de» sigue llamándolo un reemplazo directo de reCAPTCHA que hace ganar dinero a los propietarios de sitios y ayuda a las empresas a etiquetar sus datos — un mercado de dos caras donde a los editores se les pagaba por el trabajo humano de resolver desafíos, y ese trabajo producía datos de entrenamiento. La plataforma de seguridad empresarial creció desde esa maquinaria, y ambas mitades siguen presentes en la documentación.

Esto es infraestructura, no una aplicación. Nadie se registra para usar hCaptcha como quien contrata un asistente de escritura: un desarrollador lo integra, un equipo de seguridad lo ajusta, y millones de usuarios finales se lo encuentran sin haberlo elegido jamás.

Funciones principales

• Detección conductual de bots con puntuación de riesgo: el motor evalúa cada interacción frente a miles de señales y devuelve un juicio sobre la intención en lugar de un simple aprobado o suspenso ante un acertijo. Los despliegues empresariales obtienen puntuaciones numéricas de riesgo utilizables en su propia lógica, además de mitigación de APT dirigida a atacantes persistentes y adaptativos más que a bots de volumen.
• Compatibilidad directa con reCAPTCHA: la migración se abarata a propósito. Los métodos de hCaptcha son compatibles a nivel de API con los de reCAPTCHA, por ejemplo render() y onload(), y atributos personalizados como theme, size y tab-index se comportan igual, de modo que una integración existente suele requerir cambiar la URL del script y la clave en vez de reescribirla.
• Modos pasivo e invisible: más allá de la casilla visible, la plataforma ofrece un modo pasivo de baja fricción al 99,9 % y, en el nivel empresarial, un modo No-CAPTCHA totalmente pasivo pensado para desafiar a menos del 0,1 % de los usuarios legítimos. El acertijo pasa a ser la excepción y no la norma.
• Módulos de fraude y seguridad de cuentas: el alcance va más allá del bloqueo de bots hasta la detección de apropiación de cuentas, multicuentas, uso compartido de cuentas, identidades sintéticas, abuso de incentivos y fraude en transacciones, con una autenticación multifactor por SMS de tipo «pull» diseñada para eliminar el incentivo al fraude de tarificación que crea el SMS de tipo «push».
• Private Learning y modelos de amenaza a medida: en lugar de un único modelo global, los clientes empresariales pueden obtener modelos de riesgo adaptados a su propio tráfico, con aprendizaje adaptativo en tiempo real conforme cambian los patrones de ataque, y un enriquecimiento de señales acotado y cegado que pueden alimentar a su propio aprendizaje automático.
• Amplitud operativa para entornos incómodos: compatibilidad hasta Internet Explorer 8, soporte para clientes sin JavaScript y alojamiento de primera parte para que las peticiones vayan a hcaptcha.yourdomain.com — funciones que existen porque los despliegues grandes siempre tienen casos límite, además de una disponibilidad declarada en todos los países, a diferencia de reCAPTCHA.
• Vías de acomodo para accesibilidad: un desafío de accesibilidad basado en texto que los sitios pueden activar, y una autorización universal de accesibilidad que los usuarios registrados portan mediante una cookie cifrada, se ofrecen como alternativas a los desafíos visuales.

Casos de uso

1. Proteger el registro frente a la creación masiva de cuentas falsas: el alta masiva es la puerta de entrada de la mayoría de los abusos posteriores: spam, manipulación de reseñas, caza de promociones. Colocar la verificación en el registro y leer la puntuación de riesgo permite bloquear de inmediato la automatización evidente y derivar los casos límite a comprobaciones adicionales, en vez de descubrir el problema semanas después en las colas de moderación.
2. Defender el inicio de sesión del relleno de credenciales: los atacantes reproducen en masa pares de usuario y contraseña filtrados. Como la plataforma evalúa el comportamiento de forma continua y no solo en un único punto de paso, y agrupa a los atacantes a través de muchas direcciones IP y dispositivos, apunta a la forma de un ataque más que a una petición aislada — que es lo que hace posible bloquear sin castigar a clientes que comparten la IP de una oficina.
3. Detener el fraude en el pago y la caja: el testeo de tarjetas, el fraude por contracargos y las transacciones fraudulentas cuestan dinero real por evento, y ahí es donde el nivel empresarial se gana su precio. El proveedor afirma que la mayoría de las grandes plataformas de pago usan su oferta empresarial, y sus módulos antifraude prometen frenar el abuso transaccional sin requerir datos personales.
4. Custodiar promociones y economías dentro de los juegos: sorteos, bonos por recomendación y recompensas en juego atraen el multicuentas y el abuso de incentivos, donde el atacante suele ser una persona real operando a escala más que un bot. Detectar el abuso humano — y no solo la automatización — es la mitad más difícil de este problema y un objetivo declarado del producto.
5. Atender a públicos sensibles a la privacidad y a regiones bloqueadas: para proveedores de VPN, servicios de mensajería privada y cualquier sitio con usuarios en Tor o Brave, una capa de seguridad que bloquea a quienes cuidan su privacidad es un problema de negocio. La disponibilidad declarada en todos los países importa por la misma razón que le importó a Cloudflare en 2020: los servicios de Google no son alcanzables en todas partes.
6. Cumplir requisitos regulatorios en sectores supervisados: en despliegues de sanidad, finanzas y administración pública, las certificaciones ISO 27001, SOC 2 Type II y PCI DSS, el acuerdo de tratamiento con cláusulas contractuales tipo y la recogida minimizada de datos son requisitos de compra, no argumentos de marketing.

Cómo usar hCaptcha

1. Cree una cuenta y genere una sitekey. Decida primero la granularidad: puede usar una sola sitekey en muchos sitios, o una por flujo — por ejemplo una para registro y otra para inicio de sesión —, porque el comportamiento y las estadísticas se registran por sitekey.
2. Añada el script cliente y el contenedor a su página. Cargue el JavaScript de hCaptcha y coloque un elemento vacío con la clase h-captcha y su data-sitekey, normalmente dentro del formulario que quiere proteger.
3. Verifique en el servidor, siempre. Cuando se supera un desafío, el navegador recibe un token que viaja con su formulario como h-captcha-response, y su servidor debe confirmarlo contra api.hcaptcha.com/siteverify antes de confiar en la petición. El éxito en el cliente por sí solo no prueba nada.
4. Actualice su política de seguridad de contenido. Añada los dominios de hCaptcha a script-src, frame-src, style-src y connect-src. Punto crítico: no codifique de forma fija subdominios concretos, como newassets.hcaptcha.com, en su CSP, porque los subdominios de recursos utilizados pueden variar con el tiempo o según la región.
5. Ajuste la fricción a su riesgo. Empiece con el widget visible y avance hacia los modos pasivo o invisible a medida que gane confianza, usando el renderizado explícito con callback, error-callback y expired-callback para que su aplicación gestione con elegancia la caducidad del token en lugar de fallar en el momento del envío.
6. Configure la accesibilidad antes del lanzamiento, no después. Decida si activa el desafío de accesibilidad basado en texto y documente una vía alternativa de acomodo para los usuarios que su configuración pueda excluir.

Consejos y buenas prácticas

• Nunca trate la devolución de llamada del cliente como una autorización. La única verificación con sentido es la llamada siteverify del lado del servidor. Cualquier comprobación que viva por completo en el navegador puede ser eliminada por quien controle ese navegador — que, por definición, es el atacante del que se defiende.
• Use sitekeys separadas para flujos separados. El registro y el inicio de sesión atraen patrones de ataque distintos y merecen ajustes de dificultad distintos. Separar las claves además le da estadísticas por flujo, que es lo que convierte «parece que hay más bots» en una observación accionable.
• Presupueste su volumen de evaluaciones antes de desplegar a lo ancho. El nivel de pago mide las evaluaciones, así que una verificación colocada en una página de mucho tráfico que en realidad no necesita protección se vuelve un coste recurrente sin beneficio de seguridad. Proteja los puntos donde el abuso tiene consecuencias.
• Planifique la vía de accesibilidad deliberadamente. El proveedor es explícito sobre dónde recae la responsabilidad: los sitios y aplicaciones que usan hCaptcha deciden qué funciones de accesibilidad activar y si las emplean o proporcionan acomodos alternativos. No dé por hecho que la configuración por defecto satisface sus obligaciones legales.
• Vigile la interacción con los bloqueadores de anuncios. El mecanismo de la cookie de accesibilidad depende de cookies entre sitios para hcaptcha.com, de modo que los usuarios con bloqueadores estrictos pueden seguir recibiendo desafíos. Si su audiencia se inclina hacia la privacidad, pruebe con esos bloqueadores activos y no en un navegador limpio.
• Mida la fricción frente al fraude, no de forma aislada. Cada punto de verificación pierde a una parte de los usuarios legítimos. La comparación correcta enfrenta los registros abandonados con el abuso evitado, y esa proporción difiere por completo entre la página de acceso de un banco y un formulario de boletín.

¿Para quién es hCaptcha?

• Desarrolladores web y de aplicaciones: quienes realmente lo integran, añaden el script, conectan la verificación del servidor y arreglan la CSP cuando se bloquean recursos.
• Equipos de seguridad y de confianza y seguridad: grupos responsables de apropiación de cuentas, cuentas falsas y abuso de plataforma, que necesitan señales de riesgo y no solo un contador de peticiones bloqueadas.
• Equipos de fraude y pagos: funciones que miden su éxito en contracargos evitados y testeos de tarjeta detenidos, para las que bloquear bots es apenas la primera capa.
• Plataformas de sectores regulados: sanidad, finanzas y servicios públicos donde el estado de certificación y la minimización de datos determinan si un proveedor es siquiera utilizable.
• Empresas con usuarios repartidos por el mundo: en especial las que atienden regiones donde los servicios de Google resultan poco fiables y una capa de seguridad pensada para Estados Unidos deja fuera en silencio a clientes reales.
• Servicios orientados a la privacidad: proveedores de VPN, correo privado y mensajería cuyos usuarios rechazarían por principio una capa de seguridad basada en el rastreo.
• Propietarios de sitios que migran desde reCAPTCHA: equipos empujados por el coste, la disponibilidad regional o el deseo de mantener los datos de sus usuarios lejos de una empresa publicitaria.

Plataformas

• Integración web: el mecanismo principal de entrega — un widget de JavaScript más un punto de verificación en el servidor, compatible con cualquier pila web.
• Complementos para frameworks: complementos y ejemplos oficiales para ReactJS, VueJS, Angular, Node y Express, además de WordPress y cientos de integraciones con otras plataformas.
• SDK móviles: SDK nativos de iOS y Android para una experiencia coherente entre web, web móvil y aplicaciones nativas.
• Protección en servidor y de API: la plataforma puede ejecutarse enteramente del lado del servidor para puntos de API, no solo en formularios renderizados por el navegador.
• Entornos heredados y limitados: el soporte que llega hasta Internet Explorer 8 y hasta clientes sin JavaScript importa en despliegues con una cola realmente larga.
• Alojamiento de primera parte: los clientes empresariales pueden encaminar peticiones y recursos por su propio dominio, útil para CSP estrictas, tarifa cero de operadoras y evitar bloqueos de terceros.

Precios y planes

Existe un nivel realmente gratuito. hCaptcha ofrece un nivel Basic gratuito, un nivel Pro que incluye una asignación mensual de evaluaciones y cobra por millar a partir de ahí, y un nivel Enterprise que se vende por medio del equipo comercial. El plan gratuito no es una prueba: incluye la protección esencial contra bots, la disponibilidad global y la postura de cumplimiento declarada, lo que explica que el servicio abunde en sitios pequeños y proyectos de código abierto.

Las fronteras entre niveles merecen estudiarse antes de comprometerse, porque las capacidades que la mayoría supone básicas no lo son. Las puntuaciones de riesgo, el modo No-CAPTCHA totalmente pasivo, la mitigación de APT, los acuerdos de nivel de servicio empresariales, el SSO SAML y las API de informes pertenecen todos en exclusiva a Enterprise, mientras que el modo pasivo de baja fricción, los temas personalizados y la analítica se sitúan en Pro. Si su plan depende de leer una puntuación numérica de riesgo dentro de su propia lógica, está comprando Enterprise con independencia de su volumen de tráfico. Pro se ofrece con una prueba gratuita limitada en el tiempo que no requiere datos de pago y vuelve automáticamente al plan gratuito. Tenga en cuenta además que la afirmación competitiva principal sobre precisión y coste lleva una nota al pie: las estimaciones de coste y precisión se basan en datos comparativos comunicados por clientes, es decir, en la propia declaración de los clientes y no en una evaluación independiente. Confirme las cifras actuales en la página oficial de precios.

Alternativas

• Google reCAPTCHA: el titular del mercado por un margen enorme y el producto al que hCaptcha apunta directamente; la contrapartida es que los datos fluyen hacia una empresa publicitaria y la disponibilidad resulta desigual en algunas regiones.
• Cloudflare Turnstile: gratuito para cualquier sitio, construido explícitamente para evitar los acertijos visuales y reseñable aquí porque Cloudflare lo creó tras haber usado hCaptcha.
• Friendly Captcha: un enfoque basado en prueba de trabajo, posicionado en torno a la protección de datos europea y dirigido a equipos que no quieren interacción alguna del usuario.
• Arkose Labs: prevención de fraude y abuso orientada a empresas, con énfasis en la economía del atacante más que en una verificación puntual.
• Limitación de tasa en el servidor y reglas WAF: no es un reemplazo equivalente, pero para muchos formularios de bajo riesgo la limitación junto a un campo trampa resuelve el problema real sin añadir una dependencia de terceros a cada carga de página.

Limitaciones y consideraciones

• El relato sobre privacidad merece una lectura atenta, no solo el titular. El encuadre Zero-PII es real en el sentido de que hCaptcha no es un negocio publicitario, y su independencia de Google fue precisamente el motivo de la adopción por parte de Cloudflare. Pero la política de privacidad es explícita: el servicio recoge movimientos del ratón, posición de desplazamiento, eventos de pulsación de teclas, eventos táctiles e información similar cuando corresponde para juzgar si un visitante es humano. El análisis conductual es el mecanismo; la afirmación es que no se vincula a una persona identificada, no que no se recoja nada.
• Las respuestas de sus usuarios son datos de entrenamiento. Según la política de privacidad, las respuestas de los usuarios finales a las indicaciones se clasifican como Labeled Data y se usan para el etiquetado de datos en aplicaciones de aprendizaje automático. La política señala que no están ligadas a una persona identificada, pero los operadores de sitios deberían entender que pedir a un visitante que resuelva un desafío puede ser también pedirle un trabajo de etiquetado no remunerado — el modelo de negocio que la página «Acerca de» aún describe.
• La responsabilidad legal ante los usuarios finales recae en usted, no en el proveedor. La política de privacidad afirma llanamente que el tratamiento de los datos personales de los usuarios finales se rige por el acuerdo con los clientes integradores y no por esa política. Si un regulador pregunta por qué los datos de sus visitantes fueron a un tercero, la respuesta debe salir de su acuerdo de tratamiento y de su aviso de privacidad.
• La accesibilidad no puede resolverse por completo, y lo admite el propio proveedor. La declaración de accesibilidad reconoce que funciones como los desafíos visuales no pueden ser plenamente accesibles mientras cumplen su función de seguridad. La vía de acomodo también tiene fricción: la cookie cifrada de accesibilidad puede usarse varias veces al día pero debe renovarse periódicamente iniciando sesión, y los bloqueadores agresivos o el bloqueo de cookies entre sitios la rompen — lo que sitúa a los usuarios con discapacidad preocupados por su privacidad en una posición incómoda.
• Los datos independientes de eficacia nunca han sido fáciles de obtener. Cuando The Register pidió datos que compararan el desempeño de hCaptcha y reCAPTCHA frente a ataques automatizados, el proveedor se mostró reacio a publicarlos. Aquello ocurrió en 2020, y las comparativas públicas cara a cara siguen siendo escasas; las cifras de precisión y reducción de ataques que ofrece el proveedor proceden de sus clientes.
• Toda la categoría CAPTCHA está bajo presión, y su cliente más famoso se marchó. TechCrunch informó de que Cloudflare llegó a pasarse a un servicio llamado hCaptcha — con opiniones dispares, citando un desafío que pedía a los usuarios nombrar una preferencia de verdura y hacer clic en las 27 imágenes con trenes; después Cloudflare construyó Turnstile y redujo su propio uso de CAPTCHA un 91 %. El mismo reportaje señala servicios de resolución asistidos por humanos e IA a un precio de hasta 0,50 dólares por cada mil resueltos. Los acertijos de verificación son una defensa que se degrada, y de ahí que la hoja de ruta del propio proveedor se haya desplazado a la detección pasiva.
• La posición de mercado necesita ese matiz. hCaptcha se describe como el mayor servicio independiente de su clase, y esa palabra soporta todo el peso: según una medición, el 97,7 % del millón de sitios web con más tráfico usa el reCAPTCHA de Google. El diferencial es la independencia; el liderazgo por escala no lo es.

FAQ

Q1. ¿hCaptcha es gratuito?

Sí, hay un nivel gratuito permanente que incluye la protección esencial contra bots, disponibilidad global y la postura de cumplimiento declarada, y no un mero periodo de prueba. Los niveles de pago añaden modos pasivos, analítica, puntuaciones de riesgo y controles empresariales, con un consumo medido por volumen de evaluaciones.

Q2. ¿Cuánto cuesta cambiar desde reCAPTCHA?

Deliberadamente poco. Los métodos son compatibles a nivel de API con equivalentes de reCAPTCHA como render() y onload(), y atributos como theme, size y tab-index funcionan igual, de modo que la mayoría de las integraciones existentes solo necesitan cambiar el script y usar una clave nueva en lugar de reescribirse.

Q3. ¿De verdad hCaptcha no recoge datos?

No es exactamente eso lo que se afirma. La arquitectura Zero-PII busca minimizar la información personal, pero la política de privacidad revela la recogida de señales conductuales como movimientos del ratón, posición de desplazamiento y eventos de pulsación de teclas para determinar si un visitante es humano. La posición declarada es que eso no se vincula a una persona identificada.

Q4. ¿Las respuestas de mis visitantes se usan para entrenar IA?

La política de privacidad clasifica las respuestas a las indicaciones como Labeled Data, empleadas para el etiquetado de datos en aplicaciones de aprendizaje automático, y afirma que no están ligadas a ninguna persona identificada. Ello refleja los orígenes del producto como mercado de etiquetado, en paralelo a su función de seguridad.

Q5. ¿Cumple el RGPD?

El proveedor declara que respalda el cumplimiento del RGPD y la CCPA y mantiene certificaciones ISO 27001, SOC 2 Type II y PCI DSS, con las transferencias desde la UE amparadas por cláusulas contractuales tipo en su anexo de tratamiento de datos. Es importante que el tratamiento de datos de usuarios finales se rige por su acuerdo con hCaptcha y no por la política pública, así que la obligación recae en su propio acuerdo y en su aviso de privacidad.

Q6. ¿Es accesible para personas con discapacidad?

En parte, y el proveedor es franco sobre el límite. Ofrece un desafío de accesibilidad basado en texto y una cookie de accesibilidad previo registro, aspira al nivel WCAG 2.2 AA, pero afirma que los desafíos visuales no pueden ser plenamente accesibles mientras cumplen su función de seguridad, y que el operador del sitio decide qué acomodos habilita.

Q7. ¿Pueden los bots o personas contratadas resolverlo igualmente?

Hasta cierto punto, sí, y esto vale para toda la categoría. Reportajes independientes han documentado servicios comerciales de resolución a fracciones de céntimo por acertijo y ataques basados en IA contra CAPTCHA muy extendidos, razón por la cual la hoja de ruta del proveedor insiste en la detección conductual pasiva antes que en acertijos más difíciles.

Q8. ¿Sigo necesitando verificación en el servidor?

Siempre. El navegador solo recibe un token; su servidor debe enviarlo al punto de verificación antes de confiar en la petición. Cualquier comprobación que exista únicamente en el cliente puede ser eludida por el atacante que controla ese cliente.

Q9. ¿Quién está detrás de hCaptcha?

Es un servicio de Intuition Machines, Inc., titular de la marca. Entre los asesores de la empresa figuran Brendan Eich, director ejecutivo de Brave y creador de JavaScript, y Dawn Song, catedrática de la Universidad de California en Berkeley; su especialidad declarada es el aprendizaje profundo y el aprendizaje automático de dominio visual a gran escala.

Q10. ¿Funciona en todos los países?

El proveedor promueve explícitamente la disponibilidad global como diferencial frente a reCAPTCHA, que no resulta accesible de forma fiable en todas partes. Fue una de las razones declaradas por Cloudflare al adoptarlo en 2020, junto al coste y a consideraciones de privacidad.