Respuesta corta: un CAPTCHA es una prueba que intenta distinguir a las personas de los bots, a menudo con un acertijo. reCAPTCHA, que ahora forma parte de Google Cloud Fraud Defense, puede puntuar a quien visita sin pedirle nada. Empieza por comprobaciones que nadie ve, añade una prueba solo cuando una petición parezca dudosa y deja siempre otra forma de contactarte.
Qué es un CAPTCHA y a quién deja fuera
Un CAPTCHA intenta distinguir a las personas de los robots antes de que envíen un formulario o creen una cuenta. El W3C señala que la versión clásica, escribir un texto deformado de una imagen, sigue siendo habitual, pero han aparecido otros métodos.
Cualquier tipo de CAPTCHA será imposible de resolver para algunas personas con discapacidad, advierte el W3C. Las WCAG solo lo permiten con un texto alternativo que describa su propósito y otras versiones para sentidos distintos.
El W3C también recomienda ofrecer el CAPTCHA en más de dos modalidades, una persona que ayude a quien se quede atascado y ningún CAPTCHA para los usuarios autorizados. Nuestra guía de las WCAG 2.2 explica las reglas nuevas sobre los acertijos al iniciar sesión.
Cómo funciona reCAPTCHA
reCAPTCHA, de Google, forma parte ahora de Google Cloud Fraud Defense. Cuando alguien hace una acción protegida, como enviar un formulario, tu web recibe un veredicto con una puntuación de riesgo de 0.0 a 1.0.
Tú eliges cómo funciona: por puntuación, con una casilla o con una prueba basada en políticas. El nivel Essentials es gratis hasta 10,000 evaluaciones por mes natural, y necesita un método de pago válido en Google Cloud.
| Opción | Qué hace quien visita | Qué conviene saber |
|---|---|---|
| reCAPTCHA por puntuación | Nada | Tu web decide qué hacer con una puntuación de riesgo de 0.0 a 1.0 |
| Casilla de reCAPTCHA | Marca «No soy un robot» | La versión más conocida, y todos tienen que marcarla |
| Turnstile de Cloudflare | Casi siempre nada | Hace pequeñas comprobaciones sin interacción en el navegador, sin pasar tu tráfico por Cloudflare |
| Campo trampa | Nada | Un campo oculto para las personas que los bots rellenan |
| Heurísticas | Nada | Patrones como cuánto pide un visitante o cómo se escriben los datos |
De las páginas de Google Cloud, Cloudflare y el W3C sobre los CAPTCHA, en inglés, consultadas el 4 de noviembre de 2026.
Qué cambió en reCAPTCHA en 2026
Desde el 2 de abril de 2026, la insignia de reCAPTCHA ya no menciona la Política de Privacidad ni las Condiciones de Google. Google pasa a ser encargado del tratamiento, y quien tiene la web es el responsable.
Google recomienda quitar también esas menciones de tu propia web. Puedes seguir ocultando la insignia siempre que tu página diga que usas reCAPTCHA, y Google da el texto en inglés: «This site is protected by reCAPTCHA».
Fraud Defense también pone una cookie necesaria, _GRECAPTCHA, para su análisis de riesgo. Inclúyela en tu lista de cookies, y nuestra guía del aviso de cookies explica el aviso que va con ellas.
Frenar el spam sin acertijos
El W3C celebra los métodos que no le piden nada a la persona, porque cuando funcionan no suponen ningún problema de accesibilidad. También advierte que algunos exponen muchos datos de cada visitante al servicio que los analiza.
Un campo trampa es un campo oculto para las personas que los robots rellenan, y eso los delata. Las heurísticas buscan patrones, como cuánto pide un visitante o cómo se escriben los datos. Limitar lo que pueden hacer las cuentas nuevas hace que una web sea un blanco menos atractivo.
Turnstile, de Cloudflare, hace pequeñas comprobaciones en el navegador y funciona sin enseñar un CAPTCHA. Nuestra guía del formulario de contacto explica cómo hacer un formulario que la gente termine.
Cómo proteger un formulario sin bloquear a la gente
- Empieza por comprobaciones que nadie ve, como un campo oculto y heurísticas.
- Si aún entra spam, añade una comprobación basada en puntuación o sin interacción.
- Enseña una prueba solo cuando una petición parezca dudosa, nunca a todo el mundo.
- Dale a cada prueba un texto alternativo y otra forma de pasar.
- Si ocultas la insignia de reCAPTCHA, di «This site is protected by reCAPTCHA».
- Quita de esa línea los antiguos enlaces a la Política de Privacidad y las Condiciones de Google.
- Deja otra forma de contactarte y prueba el formulario con el teclado.
Qué le pide nuestro formulario de contacto a una persona
El 4 de noviembre de 2026 abrimos nuestro formulario de contacto como un visitante nuevo, en inglés y en español, en una computadora y en un teléfono. Pide tu nombre, teléfono, correo y qué necesitas.
Después vienen dos casillas de consentimiento y el botón de enviar. Nada en el formulario pide demostrar que eres una persona: ni acertijos, ni la casilla «No soy un robot», ni insignia. Quien prefiera no usar el formulario puede escribirnos por WhatsApp desde la misma página.
Antes de publicar
- La mayoría de la gente nunca ve una prueba.
- Cualquier prueba tiene un texto alternativo y otra forma de pasar.
- La gente puede contactarte sin el formulario.
- La página dice que usa reCAPTCHA si la insignia está oculta.
- Esa línea ya no enlaza la Política de Privacidad ni las Condiciones de Google.
- La cookie de reCAPTCHA aparece en tu lista de cookies.
RecuerdaLa mejor protección contra el spam es la que tus visitas nunca notan. Añade fricción solo a las pocas peticiones que parezcan sospechosas y no dejes a nadie sin una forma de entrar.
Los formularios que dejan fuera el spam sin dejar fuera a la gente son parte de nuestro servicio de diseño web.
Respuestas rápidas sobre los CAPTCHA
¿Qué es un CAPTCHA?
Una prueba que intenta distinguir a las personas de los robots, casi siempre antes de enviar un formulario o crear una cuenta. La versión clásica pide escribir un texto deformado de una imagen, pero muchas webs usan ahora una casilla o comprobaciones que no se ven.
¿reCAPTCHA es gratis?
El nivel Essentials de Google Cloud Fraud Defense, que incluye reCAPTCHA, es gratis hasta 10,000 evaluaciones por mes natural. Aun así, necesita un método de pago válido en Google Cloud.
¿Puedo ocultar la insignia de reCAPTCHA?
Sí, siempre que tu página diga que usas reCAPTCHA. Google da el texto en inglés «This site is protected by reCAPTCHA». Desde el 2 de abril de 2026 también recomienda quitar los antiguos enlaces a su Política de Privacidad y a sus Condiciones.
¿Los CAPTCHA son malos para la accesibilidad?
Pueden serlo. El W3C dice que cualquier tipo de CAPTCHA será imposible de resolver para algunas personas con discapacidad. Las WCAG piden un texto alternativo que describa la prueba y otras versiones para sentidos distintos.
¿Qué puedo usar en lugar de un CAPTCHA?
El W3C enumera métodos que no le piden nada a la persona, como los campos trampa ocultos, las heurísticas y las cuentas de uso limitado. Turnstile, de Cloudflare, y reCAPTCHA por puntuación también funcionan sin enseñar ningún acertijo.
Fuentes
Consultadas el 4 de noviembre de 2026, en inglés (las páginas de Google Cloud en español son traducciones automáticas). Google Cloud: Google Cloud Fraud Defense overview, Compare features between Google Cloud Fraud Defense tiers, Setup overview for websites y Frequently Asked Questions. Cloudflare: Cloudflare Turnstile. Iniciativa de Accesibilidad Web del W3C: Understanding SC 1.1.1 Non-text Content (Level A) e Inaccessibility of CAPTCHA. Nuestro caso: nuestro formulario de contacto, leído en un navegador el 4 de noviembre de 2026.