CAPTCHA y desafíos

VisitorFilters incluye un CAPTCHA propio basado en prueba de trabajo: los visitantes sospechosos resuelven un pequeño rompecabezas computacional antes de pasar. Sin cuadrículas de imágenes, sin solicitudes a terceros, sin rastreo.

Cómo funciona el CAPTCHA integrado

1. Un visitante que coincide con una regla de desafío es enviado a la página de desafío en lugar de ser bloqueado directamente.
2. Su navegador resuelve automáticamente un pequeño rompecabezas tipo hashcash: no hay nada que leer ni pulsar.
3. La dificultad se adapta a la puntuación de riesgo: los visitantes de bajo riesgo pasan en mucho menos de un segundo; la automatización de alto riesgo paga un coste computacional real.
4. Si tiene éxito, el navegador recibe un token cifrado, protegido contra repetición y vinculado al visitante; la solicitud continúa con normalidad.

Usar CAPTCHA en las reglas

Elija Desafiar (Challenge) como acción de cualquier regla para presentar el CAPTCHA en lugar de un bloqueo duro. Dos configuraciones habituales:

• Reglas personalizadas — desafíe países, ASN, rutas o infractores de frecuencia concretos.
• Regla gestionada del feed de amenazas — un solo interruptor desafía a cada visitante cuya IP aparezca en el feed de inteligencia gestionado.

Incrustarlo en sus propios formularios

El mismo widget puede proteger sus propios formularios (inicios de sesión, registros, comentarios) con independencia de las reglas. El flujo:

1. Copie el fragmento de incrustación de su sitio desde los ajustes de CAPTCHA del panel; el script del widget se sirve desde nuestro CDN.
2. El visitante marca la casilla Soy humano —al estilo de hCaptcha/Turnstile— y el widget resuelve la prueba de trabajo en segundo plano, añadiendo un campo oculto vf_captcha_response a su formulario.
3. Su backend verifica el token en el servidor contra el punto de verificación site-verify antes de aceptar el envío.

Los tokens son de un solo uso y caducan rápido: un token capturado no puede reutilizarse.

Verificación desde su backend

Envíe el token por POST a /collector/form/siteverify con su clave secreta y lea el campo success:

• secret — la clave secreta de su sitio (nunca la exponga en el navegador).
• response — el valor del campo vf_captcha_response.
• remoteip (opcional, recomendado) — la dirección IP del visitante. Cuando se proporciona, debe coincidir con la IP en la que se resolvió el token, lo que frustra el reenvío de tokens a través de un servicio de resolución.

Vinculación de dominio

El widget solo emite desafíos a páginas servidas desde un dominio registrado en su sitio. Si copia su clave pública en un dominio no registrado, el widget muestra Dominio no registrado y se niega a verificar; así, una clave pública filtrada no puede reutilizarse en otro lugar. Añada en los ajustes de su sitio cada dominio y subdominio que incruste el widget.

Dificultad adaptativa a partir de nuestra inteligencia de amenazas

La prueba de trabajo no tiene un coste fijo. Las solicitudes procedentes de IP presentes en nuestro feed de inteligencia de amenazas, de redes de centros de datos, de navegadores headless o que reportan señales de automatización deben resolver un rompecabezas notablemente más difícil: invisible para las personas reales, costoso a escala de bots. Esto se basa en los mismos datos de amenazas que impulsan el resto de la plataforma, no en una puntuación de riesgo de terceros.

Proveedores externos

¿Prefiere un tercero? Cloudflare Turnstile y hCaptcha pueden configurarse por sitio y usarse en lugar del CAPTCHA integrado.

Privacidad

• No se realizan solicitudes a terceros durante un desafío.
• Sin rastreo de comportamiento ni identificadores publicitarios: el rompecabezas es puro cálculo.
• La misma postura RGPD que el resto de la plataforma.