En las dos últimas entradas estuve hablando sobre los CAPTCHA, sistemas de seguridad que previenen el acceso de bots a ciertos sitios Web. Me referí también a la nueva generación de estas herramientas de control, el llamado "reCAPTCHA v3", que vale la pena aquí reseñar.
El reCAPTCHA v3 es la versión más elegante y sigilosa de todos los actuales mecanismos de seguridad Web. Si el CAPTCHA clásico es un portero que pone una prueba al usuario, el v3 es como un detective de incógnito que le sigue por la tienda y decide si es un cliente legítimo o un carterista, sin que se de cuenta de que le están vigilando.
¿Cómo funciona? Pues bien, en primer lugar, no hay "casilla" ni "prueba visual". Cuando se entra en una página con reCAPTCHA v3, no se ve ninguna imagen de semáforos ni hay que hacer clic en "No soy un robot". Simplemente el usuario navega con normalidad. El sistema se carga en segundo plano, como un script más de la página, y empieza a observar. Mientras uno se mueve por la Web, reCAPTCHA v3 analiza la interacción y otorga una nota en tiempo real, asignando una puntuación de riesgo (del 0 al 1). Es como un "test de humanidad" invisible: cerca de 1.0 → comportamiento muy humano (confiable); cerca de 0.0 → comportamiento sospechoso (probable bot).
Esa puntuación se la envía al dueño del sitio Web, y ahí se decide qué hacer con ella. Por ejemplo, si es un 0.9 → se le deja pasar sin problemas; si sale un 0.3 → puede que le pidan un segundo factor (como una contraseña adicional) o se muestre un CAPTCHA tradicional para verificar. Si saca un 0.1 → pueden bloquear la petición directamente.
¿Qué se "observa" exactamente para dar esas notas? Aquí está el quid. El script analiza decenas de señales mientras el usuario interactúa con la página. Algunas de ellas son:
Movimiento del ratón: ¿el cursor va directo al botón o hace una trayectoria suave y orgánica con pequeñas curvas? Los humanos somos imprecisos; los bots van en línea recta y a velocidad constante.
Ritmo de escritura: ¿se escribe a un ritmo constante (como un bot) o hay pausas, dudas y velocidades variables (como un humano)?
Tiempo de interacción: ¿hizo clic en el botón de "enviar" a los 0.2 segundos de cargar la página? Eso es poco humano. Un humano necesita al menos unos segundos para leer.
Historial de navegación: si el usuario tiene cookies de Google y ha hecho búsquedas previas, eso suma puntos a su favor.
Configuración del navegador: si el navegador está limpio, sin plugins raros y con una resolución de pantalla común, mejor puntuación.
Patrón de clics y toques (en teléfonos móviles): la forma en que uno desplaza la pantalla o pulsa los botones.
El reCAPTCHA v3 usa modelos de machine learning que se entrenan con millones de interacciones reales. No es una lista fija de reglas, sino que va actualizándose según cómo se comportan los humanos (y los bots) en el mundo real. Si los bots mejoran, el sistema ajusta sus pesos para detectar nuevas anomalías. Con el v3, la pregunta ya no es "¿eres una máquina?", sino "¿te comportas como una?". Y lo mejor es que ni siquiera uno se entera de que lo están evaluando, a menos que el sitio web decida mostrar un mensaje de "verificación adicional". Seguimos viendo la curiosa ironía de que una máquina es quien averigua si uno es o no humano, pero por lo visto, hace falta...























