CAPTCHA.

O CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) apresenta uma tarefa fácil para humanos mas difícil para software: texto distorcido, seleção de imagens, prompts de áudio ou análise comportamental invisível. O termo foi cunhado num artigo de 2003 por Luis von Ahn, Manuel Blum, Nicholas Hopper e John Langford, na Carnegie Mellon, enquadrando o desafio como um "problema difícil de IA" — qualquer programa que o resolva faz avançar a IA, pelo que o teste se mantém útil de qualquer forma. O reCAPTCHA, derivado da mesma equipa que recorreu a crowdsourcing através de desafios para digitalizar livros, foi adquirido pela Google em 2009.

flowchart TD
  U[Visitante envia o formulário] --> W{CAPTCHA / verificação de risco}
  W -->|sinais: rato, IP, navegador| SC[Pedido de score]
  SC -->|alta confiança de ser humano| P[Permitir]
  SC -->|score baixo| CH[Desafio interativo]
  CH -->|passa| P
  CH -->|falha / granja de solucionadores| B[Bloquear ou reforçar]

Serviços modernos como o Google reCAPTCHA v3, o hCaptcha e o Cloudflare Turnstile atribuem um score aos pedidos usando sinais do navegador, reputação de IP e padrões de interação, em vez de mostrarem sempre um puzzle. Os CAPTCHAs reduzem o credential stuffing, o scraping, a criação de contas falsas e o spam em comentários, mas não são autenticação: os desafios de imagem e texto são rotineiramente derrotados em escala por modelos modernos de visão computacional e por granjas pagas de solucionadores humanos (serviços como o 2Captcha cobram apenas alguns dólares por milhares de resoluções). Levantam também preocupações de acessibilidade e privacidade. Trate o CAPTCHA como mais uma camada entre rate limiting, MFA, gestão de bots e analítica comportamental, e não como uma barreira isolada.