volver al inicio 
Más artículos En algún momento del último año, internet empezó a pedirte que demuestres que eres humano varias veces al día. Semáforos, pasos de peatones, una casilla que gira antes de que una tienda te enseñe un precio. Google interrumpe una búsqueda para informarte de “tráfico inusual procedente de tu red de ordenadores”. Tú no cambiaste nada y, de repente, estás en el lado equivocado de todas las puertas.
Esto es lo que pasó en realidad: antes de que cargara cada una de esas páginas, un motor de riesgo puntuó tu visita, y tu puntuación salió baja. El CAPTCHA no es que el sitio sea precavido. Es que el sitio duda de ti en concreto.
Un CAPTCHA es un veredicto sobre el término medio
Los sistemas anti-bot modernos deciden antes de preguntar. reCAPTCHA v3 de Google asigna a cada petición una puntuación entre 0.0 y 1.0 y nunca muestra un puzle, ni siquiera la casilla de “No soy un robot” por la que es famoso su hermano mayor, v2; el sitio elige un umbral y actúa sobre él en silencio. La propia documentación de Google lo dice sin rodeos: la puntuación se basa en cómo interactúas con el sitio, no en resolver nada. La casilla de “verifica que eres humano” de Cloudflare (impulsada por la misma tecnología que su widget Turnstile) funciona con la misma lógica: comprobar el navegador, comprobar la conexión y dejar pasar a la mayoría de los visitantes sin nada que resolver. hCaptcha, el tercer proveedor con el que te vas a cruzar, puntúa el riesgo de la misma manera.
El puzle es el aspecto que tiene la incertidumbre: el tráfico claramente humano nunca lo ve, el tráfico claramente bot recibe una página de bloqueo, y a todos los que el motor no sabe ubicar les toca marcar bicicletas. “¿Por qué me salen CAPTCHAs todo el tiempo?” significa en realidad “¿por qué todos los motores de riesgo me archivan bajo no estoy seguro?”, y eso tiene un conjunto pequeño de causas que sí puedes comprobar.
El sospechoso habitual: la reputación de tu IP
Los motores de riesgo llevan la contabilidad del espacio de direcciones de internet. Una petición desde un rango de Comcast o Vodafone con años de aburrido historial residencial arranca cerca de la cima. Una petición desde un rango de datacenter arranca cerca del fondo, porque ahí es donde viven los scrapers, y el motor ya se ha topado con miles de ellos en tu IP exacta.
Por eso los CAPTCHAs te persiguen de sitio en sitio. La puntuación no está ligada a tu cuenta ni a tu navegador; está ligada a la dirección desde la que todos esos sitios te ven llegar.
El caso clásico es una VPN: tu tráfico sale por un rango de hosting compartido con cientos de desconocidos, y basta con que unos pocos ejecuten bots para arruinarles la dirección a todos. Algunas salidas están limpias, otras son radiactivas, y por eso cambiar de servidor a veces lo arregla todo.
El widget de esta página muestra a nombre de quién responde tu conexión ahora mismo. Si ese nombre es una empresa de hosting o una marca de VPN en lugar de un ISP al que le pagas una factura mensual, probablemente hayas encontrado la causa.
Por qué te pasa en el móvil y en el iPhone
Las operadoras móviles colocan a una cantidad enorme de clientes detrás de una sola dirección pública (carrier-grade NAT), así que un solo abusador puede envenenar la dirección para el equivalente a un pueblo entero de gente. Esa es la respuesta honesta a “¿por qué me salen CAPTCHAs en el móvil?”: no es nada de tu teléfono, es todo cuestión de con quién compartes su dirección.
Los iPhone añaden una segunda capa. Safari con iCloud Private Relay navega desde direcciones de salida compartidas operadas por los socios proveedores de contenido de Apple (Cloudflare, Akamai y Fastly), y algunos sitios las tratan como cualquier otro rango de proxy. Desactivar Private Relay para un sitio problemático es una forma rápida de comprobar si es la causa.
El mensaje de Google de “tráfico inusual procedente de tu red de ordenadores”
La versión de Google de este muro se basa en el volumen: se dispara con los patrones de búsqueda de toda tu dirección IP, lo que en direcciones compartidas suele significar las búsquedas de otra persona. La página de soporte de Google también menciona la posibilidad que la gente suele olvidar: el malware. Un solo dispositivo infectado en tu red, enviando búsquedas automatizadas en silencio, estropea la dirección para todos los navegadores que hay detrás. Si el mensaje vuelve una y otra vez en una conexión doméstica, escanea tus dispositivos y luego apaga y enciende el router: muchos ISP te asignarán una IP dinámica nueva, lo que restablece de golpe la reputación de la dirección.
Tu navegador es quien responde por ti
La segunda mitad de la puntuación es el navegador en sí, y aquí entra en juego la ironía dolorosa: cuanto más te esfuerzas en proteger tu privacidad, más pinta de anónimo tienes.
Un navegador que conserva sus cookies tiene historia: sitios que visitó, desafíos que ya superó. Bórralas en cada cierre, o vive en modo incógnito, y te presentas como un desconocido en cada puerta, todos los días. A los desconocidos les piden identificación. reCAPTCHA en particular se apoya en reconocer navegadores que vuelven, y por eso la racha de puzles empieza tantas veces justo después de pasarse al modo incógnito.
Las extensiones de privacidad pueden empeorarlo de otra manera. Las herramientas que falsifican la lectura de tu canvas o aleatorizan tu fingerprint lo hacen reescribiendo las funciones integradas del navegador, y las funciones integradas reescritas son detectables, la misma pista que delata a los plugins de sigilo de automatización. Para un motor de riesgo, una API que miente es peor que una API que dice algo impopular. Y si tu User-Agent afirma ser un navegador mientras el motor que hay debajo es claramente otro, has fabricado exactamente la contradicción que cubrimos en Tu User-Agent miente.
Ninguna de estas señales te condena por sí sola; se van sumando:
Activa y desactiva las señales que un motor de riesgo podría ver en tu visita:
Una sola señal marcada suele dejarte en territorio de puzles. Una segunda tiende a hacerte caer más allá, hasta las páginas de bloqueo y los bucles infinitos. La solución rara vez es “hacer más”; es descubrir qué banderas estás izando y arriarlas.
El bucle infinito de “verifica que eres humano”
La versión más desagradable de todo esto es el desafío que nunca termina: haces clic en la casilla, la página se recarga y la casilla está de vuelta. Resolver un desafío de Cloudflare te otorga una cookie de autorización (cf_clearance), que es como el sitio recuerda que pasaste. Si tu navegador no puede conservar esa cookie —cookies bloqueadas para el sitio, una extensión que las tritura, un ajuste que las borra al momento—, tu aprobado se olvida antes de que la página termine de cargar, y llegas a la siguiente petición como un sospechoso completamente nuevo:
El bucle es amnesia, no castigo: sin esa cookie, el sitio te conoce por primera vez en cada petición. Si estás atrapado en uno, la cookie es lo primero que hay que revisar, y el widget de arriba la revisa.
Por qué de repente todo el mundo ve más CAPTCHAs
El tráfico automatizado superó al humano en 2024: el Bad Bot Report de Imperva midió el tráfico automatizado en el 51 % de todo el tráfico web, con los scrapers y bots de IA impulsando buena parte del crecimiento. Los sitios respondieron subiendo sus umbrales de riesgo. Un umbral más estricto ensancha el término medio incierto, y en el término medio incierto es donde viven los puzles. Los bots que provocaron la mano dura en su mayoría no ven los CAPTCHAs; los humanos con configuraciones ligeramente raras, sí.
Cómo dejar de recibir CAPTCHAs: encuentra la señal que te delata y corrígela
- Lee el widget de esta página. Te dice el nombre de tu operador de red y comprueba las señales del lado del navegador: el almacenamiento de cookies, el flag de automatización, las API manipuladas. Un nombre de datacenter arriba es un problema de IP; cualquier otra cosa que marque es un problema de navegador.
- Aísla la variable de la IP. Si usas una VPN, carga el mismo sitio sin ella (o desde el móvil con datos móviles) y compara. Si los CAPTCHAs desaparecen, la dirección de salida era la causa: cambia de servidor o de proveedor en lugar de abandonar la VPN. En una conexión doméstica sin VPN, apagar y encender el router suele conseguir una IP nueva de tu ISP.
- Obsérvate como lo haría un detector. El monitor de comportamiento en vivo de nuestra página principal puntúa la física de tu cursor y la procedencia de tus clics en tiempo real, y el análisis completo del navegador ejecuta junto a él las comprobaciones de fingerprint y de fugas.
- Deja de parecer disfrazado. Permite que los sitios en los que confías conserven sus cookies, mantén el navegador actualizado y prefiere un fingerprint honesto antes que un mosaico de extensiones de falsificación que dejan, cada una, sus propias huellas. Hasta un bloqueador de anuncios es detectable, y la manera concreta en que bloquea el tuyo pasa a formar parte de tu perfil.
- ¿Gestionas varias cuentas? Entonces tu problema es la consistencia a escala: cada perfil necesita su propia IP creíble y un fingerprint que se mantenga coherente consigo mismo, o cada uno hereda la reputación de los demás. Ese es el trabajo específico para el que está construido Incogniton: perfiles de navegador reales y separados que los motores de riesgo pueden puntuar de forma individual en lugar de colectiva.
La próxima vez que una casilla te exija una prueba de humanidad, sabrás qué está sopesando en realidad: si tu IP, tus cookies y tu navegador concuerdan entre sí. Haz que concuerden, y los puzles volverán a ser algo que le pasa a otra gente.
