Puntuación de reCAPTCHA v3 explicada: cómo los sitios juzgan a los visitantes sin desafío
reCAPTCHA v3 no muestra ningún desafío. Se ejecuta en segundo plano en la página, observa al visitante y devuelve una puntuación de 0,0 a 1,0, donde un número más alto significa que es más probable que el visitante sea una persona. El backend del sitio decide qué hacer con la puntuación. Un formulario de registro podría dejar pasar a un visitante con 0,7 y bloquearlo con 0,3. El soporte de reCAPTCHA v3 en Scarnox llegará pronto. Esta guía explica cómo funciona la puntuación y las formas legítimas de evitar que el trabajo automatizado sea puntuado como un bot.
Cómo se produce la puntuación
La página carga el script de reCAPTCHA y lo llama para una acción, como login o signup. El script recoge señales en el navegador y las envía a Google, que devuelve un token. El backend del sitio envía entonces el token al endpoint de verificación de Google, junto con su clave secreta, y recibe de vuelta una puntuación y el nombre de la acción.
La puntuación es una estimación de riesgo construida a partir de varios tipos de señal:
- el entorno del navegador, incluido si parece un navegador de escritorio estándar;
- el comportamiento en la página, como el movimiento del ratón, el desplazamiento y los tiempos;
- el historial del visitante con ese sitio, como sesiones anteriores correctas;
- el patrón de peticiones, incluido con qué frecuencia y con qué rapidez llegan desde una dirección.
La ponderación exacta no se publica, y cambia. Lo que sí es público es el contrato: el sitio elige un umbral, y la puntuación decide el resultado.
Por qué la automatización puntúa bajo
El tráfico automatizado tiende a puntuar bajo por razones previsibles. Un navegador headless con la configuración por defecto tiene señales inusuales. Una sesión nueva no tiene historial. Un patrón de peticiones rápido y regular no se parece al de una persona navegando. Las direcciones de centros de datos se tratan con más desconfianza que las conexiones domésticas. Cada una es una señal, y varias juntas pueden hacer caer la puntuación por debajo del umbral.
Como no hay un desafío visible, una puntuación baja suele ser un fallo silencioso. La página carga, el formulario se rechaza y nada te dice por qué. Construye tus registros de forma que puedas ver el error desde el lado del servidor.
Formas legítimas de mantener sana tu puntuación
Estos enfoques son para tu propio trabajo y para la recopilación de datos legítima:
- Usa un perfil de navegador real. Un navegador normal con ajustes y extensiones habituales tiene menos probabilidades de ser puntuado como bot que una configuración headless básica. La guía de huella del navegador explica cómo se lee el entorno del navegador.
- Mantén las sesiones activas. Conserva las cookies entre peticiones, y no empieces cada página desde un estado en blanco.
- Dosifica las peticiones. Las personas no cargan cien páginas en un segundo. Añade pausas y aleatorízalas dentro de un rango razonable.
- Evita las pistas obvias. Los user agents por defecto, la falta de configuración de idioma y los tamaños de pantalla incoherentes son señales fáciles de corregir.
- Prueba contra tu propio umbral. Si tú gestionas el sitio, lee la puntuación en staging y comprueba qué señales la hacen bajar. Las claves de prueba de Google son útiles para probar la integración sin puntuación real.
Estos pasos reducen los falsos positivos en un trabajo real. No son una forma de falsear una puntuación humana para abusar, y ningún enfoque de aquí cambia el hecho de que el propietario del sitio decide el umbral.
Lo que la puntuación no hace
La puntuación no demuestra que un visitante sea humano, y no te dice por qué un visitante obtuvo una puntuación baja. Una puntuación baja puede venir de un navegador inusual pero legítimo, de una red compartida o de una VPN. Trata la puntuación como una entrada más. Si tu trabajo legítimo sigue puntuando bajo, la respuesta honesta suele ser pedir al propietario del sitio una lista de permitidos o una API.
Dónde está Scarnox
Scarnox no resuelve reCAPTCHA v3 en directo hoy. El único tipo de tarea activo es PopularCaptcha, sin proxy. reCAPTCHA v3 llegará pronto. Un solver basado en puntuación tiene que devolver un token que el sitio acepte, lo que es un problema distinto de resolver un puzle visible, así que los detalles de la integración se documentarán en la referencia de la API cuando se publique el soporte.
Crea una cuenta para empezar con crédito de prueba gratis, sin tarjeta, y estarás listo cuando el tipo esté activo.
Leer la puntuación en tus propios registros
Como no hay un desafío visible, la única forma de entender un fallo basado en puntuación es registrarlo. En tu propio sitio, guarda la puntuación, el nombre de la acción y la marca de éxito que recibe tu backend de la llamada de verificación, junto con la marca de tiempo de la petición y la ruta de la que procede. Tras una semana de tráfico, el patrón suele mostrar qué páginas o flujos puntúan bajo. Un flujo que siempre puntúa bajo puede ser un problema real para usuarios legítimos, como un paso de registro que ocurre demasiado rápido después de cargar la página, más que un problema de bots.
Compara también las puntuaciones de una misma acción en distintos navegadores y redes. Si un visitante normal en una conexión doméstica puntúa bien y ese mismo visitante en una VPN corporativa puntúa mal, la puntuación responde a la red, no al navegador, y la solución es una conversación sobre el acceso y no ningún cambio en la automatización.
Mantén los registros libres de datos personales. Una puntuación y un nombre de acción bastan para diagnosticar la mayoría de los problemas, y guardar más de lo necesario crea una obligación de privacidad que no quieres tener.
Scrapea de forma responsable
Revisa el robots.txt y los términos del sitio antes de un trabajo de scraping. Mantén el ritmo bajo, evita recopilar datos personales que no necesites, y recuerda que una comprobación basada en puntuación es la forma elegida por el sitio para protegerse. Eludirla a gran escala es señal de que el trabajo debe reconsiderarse o acordarse con el propietario. La guía sobre si el web scraping es legal cubre el panorama general.