Una alternativa a reCAPTCHA que nunca muestra un desafío
Lo que reCAPTCHA te cuesta de verdad en conversión y exposición de datos, dónde se quedan cortas sus puntuaciones y en qué se diferencia en la práctica la puntuación por reputación.
Por qué los equipos empiezan a buscar
Casi nadie sustituye reCAPTCHA porque no detenga bots. Se sustituye por tres razones que nada tienen que ver con la calidad de detección.
Conversión. Cada desafío interactivo es un paso de tu embudo en el que se marcha una parte de los clientes reales. En un pago o un registro, esa pérdida es medible y permanente: quien abandonó no vuelve a intentar el puzle.
Accesibilidad. Las cuadrículas de imágenes y los desafíos de audio son una barrera para personas con discapacidad visual o motora, y «selecciona todos los autobuses» falla con quien nunca ha visto un autobús escolar estadounidense. Es una cuestión de cumplimiento en cada vez más jurisdicciones.
Flujo de datos. reCAPTCHA envía señales de visitantes a Google y las correlaciona con el propio grafo de identidad publicitaria de Google. Para un operador europeo eso es una transferencia que evaluar, un encargado del tratamiento que nombrar y un contrato que firmar, y cada vez más una pregunta que un cliente hace antes de firmar.
Dónde se agota el modelo de puntuación
reCAPTCHA v3 devuelve una puntuación entre 0,0 y 1,0 y te deja a ti la decisión. Suena flexible y en la práctica crea dos problemas.
La puntuación es opaca. No puedes ver qué señales la produjeron, así que cuando una clienta real saca 0,1 no tienes nada que investigar ni nada que ajustar. Soporte recibe un ticket que no puedes responder.
El umbral lo tienes que adivinar tú. Ponlo estricto y bloqueas clientes; ponlo laxo y dejas pasar bots. La mayoría de los equipos se queda con un número y no vuelve a revisarlo, porque no hay ningún bucle de retorno que les diga cuánto costó ese número.
Y una puntuación baja solo tiene un remedio incorporado: mostrar un desafío. Vuelves al paso del embudo que intentabas quitar.
Qué hace Karma de otra manera
Karma puntúa la dirección, no solo la sesión, y nunca recurre a un desafío.
Las señales vienen de dos capas. Comportamiento: cómo interactúa realmente la sesión con la página. Transporte: huellas TLS JA3/JA3N y ajustes HTTP/2, que identifican la pila del cliente y son bastante más difíciles de falsificar que una cadena user-agent.
El veredicto va a tu pasarela, que deja pasar a las personas y detiene a los bots por sí misma. Sin intersticial, sin puzle y sin iframe de terceros en tu página.
Y la decisión es explicable: el panel muestra las señales detrás de cada veredicto, así que un bloqueo discutido es algo que puedes mirar en lugar de algo que tienes que aceptar.
Uno al lado del otro
La comparación honesta, incluyendo dónde reCAPTCHA va realmente por delante:
| reCAPTCHA v3 | Karma | |
|---|---|---|
| Desafío visible | Con puntuaciones bajas | Nunca |
| Señales usadas | De comportamiento, opacas | Comportamiento + huellas TLS/HTTP2 |
| Decisión explicada | Solo puntuación | Señales mostradas por veredicto |
| Aplicación | La construyes tú desde la puntuación | En tu pasarela, desde el veredicto |
| Reputación entre sitios | Interna de Google | Tu propia base + lista compartida (opcional) |
| Los datos van a | Solo al recolector de Karma | |
| Precio | Gratis bajo cuota, luego por evaluación | Gratis bajo 25 000 veredictos, luego por plan |
| Madurez | Base desplegada muy grande | Más pequeña, más reciente |
Migrar sin un día señalado
No tienes que elegir el primer día, y no deberías.
Añade el snippet de Karma junto a reCAPTCHA y deja la aplicación desactivada. Ese es el plan Detect, y no cuesta nada. Durante una o dos semanas, ambos sistemas ven el mismo tráfico y comparas los veredictos con las puntuaciones de reCAPTCHA sobre sesiones que puedes identificar de verdad: pedidos completados, clientes conocidos, el scraper del que ya sabes.
Cuando los veredictos te parezcan correctos, activa la aplicación en tu pasarela y quita la llamada a reCAPTCHA. Tus listas de permitidos y denegados siempre están por encima de la plataforma, así que un socio o un rastreador del que dependas puede fijarse antes de que cambies nada.