CAPTCHA.

CAPTCHA (Prueba de Turing pública y completamente automática para distinguir computadoras de humanos) presenta una tarea fácil para las personas pero difícil para el software: texto distorsionado, selección de imágenes, indicaciones de audio o análisis de comportamiento invisible. El término se acuñó en un artículo de 2003 de Luis von Ahn, Manuel Blum, Nicholas Hopper y John Langford en Carnegie Mellon, que planteaba el desafío como un "problema difícil de IA": cualquier programa que lo resuelva hace avanzar la IA, de modo que la prueba sigue siendo útil en cualquier caso. reCAPTCHA, el proyecto derivado del mismo equipo que aprovechó los desafíos para crowdsourcing de la digitalización de libros, fue adquirido por Google en 2009.

flowchart TD
  U[El visitante envía el formulario] --> W{CAPTCHA / comprobación de riesgo}
  W -->|"señales: ratón, IP, navegador"| SC[Puntuación de la petición]
  SC -->|alta confianza de humano| P[Permitir]
  SC -->|puntuación baja| CH[Desafío interactivo]
  CH -->|lo supera| P
  CH -->|falla / granja de solucionadores| B[Bloquear o reforzar]

Servicios modernos como Google reCAPTCHA v3, hCaptcha y Cloudflare Turnstile puntúan las peticiones a partir de señales del navegador, reputación de IP y patrones de interacción, en lugar de mostrar siempre un puzle. Los CAPTCHA reducen el credential stuffing, el scraping, el alta de cuentas falsas y el spam en comentarios, pero no son autenticación: los desafíos de imagen y texto se derrotan de forma rutinaria a escala mediante modernos modelos de visión por computadora y mediante granjas de solucionadores humanos de pago (servicios como 2Captcha cobran miles de resoluciones por unos pocos dólares). También plantean problemas de accesibilidad y privacidad. Trata el CAPTCHA como una capa más entre el rate limiting, la MFA, la gestión de bots y la analítica de comportamiento, y no como una barrera autónoma.