Qué es reCAPTCHA y cómo protege formularios contra bots

reCAPTCHA es una tecnología de Google diseñada para ayudar a detectar actividad automatizada, abuso y fraude en sitios web, aplicaciones y otros entornos digitales.

Puede utilizarse para proteger formularios de contacto, registros, inicios de sesión, procesos de compra y otras acciones donde un sitio necesita distinguir entre actividad legítima y comportamientos que podrían resultar sospechosos.

Algunas implementaciones muestran la conocida casilla “No soy un robot”, mientras otras funcionan mediante análisis de riesgo sin presentar un desafío visible en cada interacción.

reCAPTCHA no garantiza que todo usuario aceptado sea humano ni que todos los bots sean bloqueados. Funciona como una señal de seguridad que debe integrarse dentro de una estrategia más amplia de protección.

Qué es reCAPTCHA

reCAPTCHA es un servicio de protección contra abuso automatizado desarrollado por Google.

Analiza diferentes señales asociadas a una solicitud o interacción y permite que el sitio determine cómo actuar según el resultado obtenido.

Dependiendo del tipo de implementación, puede

• mostrar una casilla de verificación;
• presentar un desafío adicional;
• funcionar de manera invisible;
• generar una puntuación de riesgo;
• ayudar a decidir si una acción debe permitirse, verificarse o bloquearse.

La decisión final también puede depender de las reglas configuradas por el propietario de la aplicación.

Para qué sirve reCAPTCHA

El objetivo principal es ayudar a reducir actividades automatizadas no deseadas.

Puede aplicarse en acciones como

• envío de formularios;
• creación masiva de cuentas;
• intentos automatizados de acceso;
• comentarios spam;
• abuso de promociones;
• procesos sensibles dentro de una aplicación;
• determinados escenarios de fraude.

Por ejemplo, si un formulario comienza a recibir cientos de envíos automatizados, reCAPTCHA puede aportar señales que ayuden al sistema a tratar esas solicitudes de manera diferente.

Eso no significa que pueda eliminar por completo el spam.

Cómo funciona reCAPTCHA

El funcionamiento depende del tipo de clave y de la integración utilizada.

A nivel general, el proceso puede entenderse así

1. El usuario intenta realizar una acción.
2. reCAPTCHA analiza señales relacionadas con esa interacción.
3. Se genera un token o evaluación.
4. El servidor valida la información recibida.
5. La aplicación decide qué hacer con la solicitud.

En los sistemas basados en puntuación, reCAPTCHA devuelve información de riesgo que la aplicación puede interpretar para tomar una decisión.

La documentación actual de Google explica que las claves basadas en puntuación pueden devolver una evaluación asociada a las interacciones observadas, mientras otros tipos de clave pueden mostrar una casilla o activar desafíos.

Diferencia entre CAPTCHA y reCAPTCHA

CAPTCHA es un término general utilizado para diferentes mecanismos que intentan diferenciar actividad humana de automatización.

reCAPTCHA es una implementación concreta desarrollada por Google.

Por eso CAPTCHA y reCAPTCHA están relacionados, pero no significan exactamente lo mismo.

Qué es reCAPTCHA v2

reCAPTCHA v2 es la versión asociada habitualmente con la casilla “No soy un robot”.

El usuario puede marcar la casilla y, dependiendo del análisis realizado, continuar directamente o recibir un desafío adicional.

También existe una variante invisible de reCAPTCHA v2 que puede ejecutarse sin mostrar permanentemente la casilla.

Google continúa admitiendo claves v2 Checkbox y v2 Invisible dentro de sus procesos actuales de migración hacia Google Cloud.

Qué es reCAPTCHA v3

reCAPTCHA v3 utiliza un enfoque basado en puntuaciones y evita presentar un desafío visible en cada interacción.

En lugar de pedir al usuario que seleccione imágenes o marque constantemente una casilla, el sistema proporciona información que ayuda a evaluar el riesgo de la acción.

Después, la aplicación puede definir qué hacer.

Por ejemplo, podría permitir una acción considerada de bajo riesgo y solicitar una verificación adicional en una operación que presente señales más sospechosas.

La puntuación no debería interpretarse de manera aislada sin considerar el contexto del sitio y la acción que se está protegiendo.

reCAPTCHA v2 y v3 siguen existiendo

Sí.

Las claves existentes de reCAPTCHA v2 y v3 continúan funcionando. Sin embargo, Google está trasladando la gestión y las capacidades más recientes de reCAPTCHA hacia proyectos de Google Cloud.

La documentación actual explica que las claves administradas exclusivamente desde la antigua consola pertenecen a reCAPTCHA Classic y que las funciones más recientes están disponibles para claves administradas dentro de un proyecto de Google Cloud.

Las integraciones existentes pueden migrarse manteniendo sus claves y, en muchos casos, sin modificar el código actual de la página.

Qué significa protegido por reCAPTCHA

Cuando aparece un mensaje como “Protegido por reCAPTCHA” significa que el sitio está utilizando este servicio de Google para analizar determinadas interacciones relacionadas con seguridad y prevención de abuso.

Puede aparecer cerca de

• formularios;
• inicios de sesión;
• registros;
• procesos de recuperación de contraseña;
• otras acciones protegidas.

No significa que Google esté certificando que el sitio completo es seguro.

El mensaje se refiere únicamente a la utilización de reCAPTCHA dentro de esa experiencia.

Qué información puede procesar reCAPTCHA

reCAPTCHA necesita analizar señales para poder evaluar posibles comportamientos automatizados o fraudulentos.

Google documenta que el servicio puede procesar información relacionada con hardware, software, dispositivos, aplicaciones e interacción, dependiendo del producto y la plataforma utilizados.

La documentación de Google Cloud también explica que esta información se utiliza para proporcionar, mantener y mejorar el servicio y para fines generales de seguridad, y no para personalización publicitaria.

Las empresas que implementan reCAPTCHA deben revisar sus obligaciones de privacidad, información al usuario y tratamiento de datos según su jurisdicción y configuración.

Qué cambió en la privacidad de reCAPTCHA en 2026

Google introdujo cambios relacionados con la forma en que se presentan determinadas referencias de privacidad.

Desde el 2 de abril de 2026 se retiraron de la insignia de reCAPTCHA algunas referencias directas a la Política de Privacidad y las Condiciones de Uso de Google para reflejar el papel del cliente como responsable del tratamiento y el de Google como encargado del procesamiento de determinados datos.

Esto no significa que un sitio pueda ignorar sus obligaciones de privacidad.

Quien implementa el servicio sigue siendo responsable de revisar qué información debe proporcionar al usuario y qué requisitos legales son aplicables.

Cómo instalar reCAPTCHA en una página web

La implementación concreta depende del tipo de aplicación y de la versión utilizada.

En términos generales suele ser necesario

1. crear o seleccionar un proyecto;
2. generar una clave de reCAPTCHA;
3. configurar los dominios autorizados;
4. integrar el código del lado del cliente cuando corresponda;
5. enviar el token generado al servidor;
6. validar la evaluación;
7. definir qué hacer según el resultado.

La validación del lado del servidor es especialmente importante.

No debería considerarse suficiente comprobar únicamente algo en JavaScript dentro del navegador y después aceptar automáticamente el formulario.

reCAPTCHA en WordPress

En WordPress puede integrarse mediante plugins, funcionalidades incorporadas por determinados formularios o una implementación personalizada.

Puede aplicarse en áreas como

• formularios de contacto;
• inicio de sesión;
• registro;
• recuperación de contraseña;
• comentarios;
• formularios personalizados.

Antes de instalar un plugin únicamente para añadir reCAPTCHA conviene comprobar si el formulario o constructor utilizado ya dispone de integración propia.

También es importante verificar qué versión soporta y si la integración continúa mantenida.

reCAPTCHA en WooCommerce

En una tienda WooCommerce puede utilizarse para proteger determinados procesos expuestos a automatización.

Por ejemplo

• registro;
• inicio de sesión;
• recuperación de contraseña;
• formularios;
• determinados pasos sensibles del proceso de compra.

Sin embargo, añadir desafíos innecesarios dentro del checkout puede generar fricción.

La protección debe equilibrarse con la experiencia del usuario y con el nivel real de riesgo que existe en cada acción.

reCAPTCHA elimina completamente el spam

No.

reCAPTCHA puede ayudar a reducir abuso automatizado, pero no debería considerarse una barrera infalible.

El spam puede proceder de

• bots;
• automatizaciones avanzadas;
• personas reales;
• servicios especializados;
• formularios mal protegidos;
• integraciones vulnerables.

Por eso conviene combinar diferentes controles según el riesgo.

Un formulario podría utilizar validación backend, limitación de frecuencia, controles de sesión, análisis de comportamiento y reCAPTCHA, entre otras medidas.

reCAPTCHA mejora la calidad de los leads

No necesariamente.

reCAPTCHA puede ayudar a filtrar parte del tráfico automatizado, pero no puede determinar por sí solo si un contacto tiene intención real de compra.

Un formulario puede recibir una solicitud completamente humana y aun así tratarse de un lead poco relevante.

La calidad debe analizarse mediante criterios comerciales como

• información proporcionada;
• servicio solicitado;
• perfil del contacto;
• interacción posterior;
• resultado de la gestión comercial.

Por eso no conviene medir el éxito de reCAPTCHA mediante conversiones o ventas.

Problemas frecuentes con reCAPTCHA

El desafío aparece constantemente

Puede existir alguna señal que provoque comprobaciones adicionales, aunque el usuario sea legítimo.

El formulario no se envía

Puede deberse a claves incorrectas, dominio mal configurado, errores JavaScript o problemas durante la validación del token.

Funciona en pruebas pero no en producción

Conviene revisar los dominios autorizados y la configuración utilizada en cada entorno.

Usuarios legítimos quedan bloqueados

Los umbrales o reglas de una implementación basada en riesgo pueden necesitar ajustes.

El sitio recibe spam aunque tenga reCAPTCHA

La herramienta reduce determinados tipos de automatización, pero no sustituye el resto de medidas de seguridad.

Se puede quitar reCAPTCHA de una web

Si eres propietario o administrador del sitio, sí puedes sustituir o retirar una integración de reCAPTCHA cuando tengas control sobre el código o la plataforma.

Antes de hacerlo conviene comprobar qué proceso está protegiendo.

Eliminarlo de un formulario que recibe gran cantidad de abuso sin incorporar otra medida puede aumentar nuevamente el spam.

Si eres simplemente visitante de un sitio, reCAPTCHA forma parte de la configuración de seguridad definida por el propietario. El artículo no recomienda intentar evadir o manipular esos controles.

Alternativas a Google reCAPTCHA

Existen otras soluciones destinadas a reducir automatización y abuso.

Una de ellas es Cloudflare Turnstile, que Cloudflare describe actualmente como una alternativa a CAPTCHA que puede integrarse en cualquier sitio incluso sin utilizar su CDN. En muchos casos realiza comprobaciones sin mostrar desafíos tradicionales al visitante.

También existen otros proveedores y sistemas propios basados en reglas, honeypots, límites de solicitudes o análisis de comportamiento.

No existe una alternativa universalmente mejor.

La decisión debería tener en cuenta

• nivel de riesgo;
• privacidad;
• accesibilidad;
• experiencia de usuario;
• plataforma;
• costos;
• mantenimiento;
• capacidad técnica del proyecto.

Qué considerar antes de implementar reCAPTCHA

Antes de añadirlo a todos los formularios conviene identificar dónde existe realmente el problema.

Puede resultar útil revisar

• qué formularios reciben spam;
• qué procesos son sensibles;
• qué tipos de abuso se están produciendo;
• si la validación backend funciona correctamente;
• qué impacto tendrá sobre usuarios legítimos;
• qué obligaciones de privacidad existen;
• cómo se medirá la efectividad de la protección.

El objetivo no debería ser colocar reCAPTCHA simplemente porque es una práctica habitual.

Debe existir una razón de seguridad o prevención de abuso que justifique su implementación.

reCAPTCHA funciona mejor como parte de varias capas de seguridad

reCAPTCHA puede ser una herramienta útil para proteger acciones expuestas a automatización, pero no debería convertirse en la única medida de seguridad de un sitio.

La aplicación todavía necesita validar información en el servidor, controlar permisos, proteger sesiones, actualizar sus componentes y limitar comportamientos abusivos cuando corresponda.

Cuando se implementa de manera adecuada, reCAPTCHA aporta una señal adicional que ayuda a diferenciar solicitudes habituales de comportamientos potencialmente sospechosos sin asumir que cualquier puntuación representa una verdad absoluta.