Por Que Você Vive Recebendo CAPTCHAs (e Como Fazer Isso Parar)

Em algum momento do último ano, a internet começou a pedir que você prove que é humano várias vezes por dia. Semáforos, faixas de pedestres, um checkbox que fica girando antes de uma loja te mostrar um preço. O Google interrompe uma busca para avisar sobre “tráfego incomum na sua rede de computadores”. Você não mudou nada e, de repente, está do lado errado de todas as portas.

Eis o que realmente aconteceu: antes de cada uma dessas páginas carregar, um engine de risco pontuou a sua visita, e a sua pontuação veio baixa. O CAPTCHA não é o site sendo cuidadoso. É o site em dúvida sobre você, especificamente.

Um CAPTCHA é um veredito sobre o meio-termo

Sistemas antibot modernos decidem antes de perguntar. O reCAPTCHA v3 do Google dá a cada requisição uma pontuação entre 0.0 e 1.0 e nunca mostra um quebra-cabeça, nem mesmo o checkbox “Não sou um robô” que fez a fama do seu irmão mais velho, o v2; o site escolhe um limiar e age sobre ele em silêncio. A própria documentação do Google é direta nesse ponto: a pontuação se baseia em como você interage com o site, não em resolver coisa alguma. A caixa “verifique se você é humano” da Cloudflare (baseada na mesma tecnologia do widget Turnstile) segue a mesma lógica: verificar o navegador, verificar a conexão e deixar a maioria dos visitantes passar sem resolver nada. O hCaptcha, o terceiro fornecedor que você vai encontrar por aí, pontua risco do mesmo jeito.

O quebra-cabeça é a cara da incerteza: tráfego claramente humano nunca o vê, tráfego claramente de bot recebe uma página de bloqueio, e todo mundo que o engine não consegue classificar ganha o direito de clicar em bicicletas. “Por que aparece captcha toda hora” na verdade significa “por que todo engine de risco me arquiva como incerto”, e isso tem um conjunto pequeno de causas que dá para verificar de verdade.

O suspeito de sempre: a reputação do seu IP

Engines de risco mantêm fichas sobre o espaço de endereços da internet. Uma requisição vinda de uma faixa residencial da Vivo ou da Claro, com anos de histórico pacato, começa perto do topo. Uma requisição vinda de uma faixa de datacenter começa perto do fundo, porque é lá que os scrapers moram, e o engine já conheceu milhares deles exatamente no seu IP.

É por isso que os CAPTCHAs seguem você de site em site. A pontuação não está presa à sua conta nem ao seu navegador; está presa ao endereço de onde cada um desses sites vê você chegar.

O caso clássico é a VPN: seu tráfego sai por uma faixa de hospedagem compartilhada com centenas de desconhecidos, e basta alguns deles rodarem bots para azedar o endereço para todo mundo. Algumas saídas são limpas, outras são radioativas, e é por isso que trocar de servidor às vezes resolve tudo.

O widget nesta página mostra em nome de quem a sua conexão responde agora. Se esse nome for de uma empresa de hospedagem ou de uma marca de VPN, e não de um provedor para o qual você paga uma mensalidade, você provavelmente encontrou a sua causa.

Por que isso acontece no seu celular e no iPhone

As operadoras de celular colocam um número enorme de clientes atrás de um único endereço público (o chamado carrier-grade NAT), então um único abusador consegue envenenar o endereço para o equivalente a uma cidade pequena inteira. Essa é a resposta honesta para “por que aparece captcha toda hora no celular”: não tem nada a ver com o seu aparelho, e tudo a ver com quem divide o endereço dele com você.

O iPhone acrescenta uma segunda camada. O Safari com o iCloud Private Relay navega a partir de endereços de saída compartilhados, operados pelos parceiros de conteúdo da Apple (Cloudflare, Akamai e Fastly), e alguns sites tratam essas faixas como qualquer outra faixa de proxy. Desligar o Private Relay para um site problemático é um jeito rápido de testar se ele é a causa.

A mensagem “tráfego incomum na sua rede de computadores” do Google

A versão do Google para esse muro é baseada em volume: ela dispara com os padrões de busca do seu endereço IP inteiro, o que, em endereços compartilhados, geralmente significa as buscas de outra pessoa. A página de suporte do Google também cita a possibilidade que todo mundo esquece: malware. Um único dispositivo infectado na sua rede, enviando buscas automatizadas em silêncio, azeda o endereço para todos os navegadores atrás dele. Se a mensagem insiste em voltar numa conexão doméstica, escaneie seus dispositivos e depois desligue e ligue o roteador — muitos provedores entregam um IP dinâmico novinho, o que zera a reputação do endereço de uma vez.

Seu navegador é a sua testemunha de defesa

A segunda metade da pontuação é o navegador em si, e é aqui que entra a ironia dolorosa: quanto mais você se esforça para ser privado, mais cara de anônimo você fica.

Um navegador que guarda seus cookies tem uma história: sites que visitou, desafios que já passou. Apague tudo a cada fechamento, ou viva no modo anônimo, e você se apresenta como um estranho em cada porta, todos os dias. E estranho tem que mostrar documento na entrada. O reCAPTCHA, em particular, se apoia em reconhecer navegadores que voltam, e é por isso que a maratona de quebra-cabeças tantas vezes começa logo depois da mudança para o modo anônimo.

Extensões de privacidade podem piorar as coisas de outro jeito. Ferramentas que falsificam sua leitura de canvas ou randomizam seu fingerprint fazem isso sobrescrevendo as funções nativas do navegador, e funções nativas sobrescritas são detectáveis — o mesmo indício que expõe plugins de stealth de automação. Para um engine de risco, uma API que mente é pior do que uma API que diz algo impopular. E se o seu User-Agent afirma ser um navegador enquanto o engine por baixo é claramente outro, você fabricou exatamente a contradição que cobrimos em Seu User-Agent Mente.

Nenhum desses sinais condena você sozinho; eles se somam:

Uma flag geralmente já basta para te deixar no território dos quebra-cabeças. Uma segunda tende a te jogar para além dele, para as páginas de bloqueio e os loops sem fim. A solução raramente é “fazer mais”; é descobrir quais flags você está levantando e abaixá-las.

O loop infinito do “verifique se você é humano”

A versão mais cruel disso tudo é o desafio que nunca termina: você clica no checkbox, a página recarrega e o checkbox está lá de novo. Resolver um desafio da Cloudflare rende um cookie de liberação (cf_clearance), que é como o site lembra que você passou. Se o seu navegador não consegue guardar esse cookie — cookies bloqueados para o site, uma extensão que os tritura, uma configuração que os apaga na hora — seu passe livre é esquecido antes de a página terminar de carregar, e você chega à requisição seguinte como um suspeito novo em folha:

O loop é amnésia, não castigo: sem esse cookie, o site conhece você pela primeira vez a cada requisição. Se você está preso em um, o cookie é a primeira coisa a verificar, e o widget acima faz exatamente essa verificação.

Por que todo mundo de repente está vendo mais CAPTCHAs

O tráfego automatizado ultrapassou o humano em 2024: o Bad Bot Report da Imperva mediu o tráfego automatizado em 51% de todo o tráfego da web, com scrapers de IA e bots empurrando boa parte desse crescimento. Os sites responderam apertando seus limiares de risco. Um limiar mais rígido alarga o meio-termo incerto, e é no meio-termo incerto que os quebra-cabeças vivem. Os bots que causaram o aperto quase não veem os CAPTCHAs; quem vê são os humanos com configurações levemente fora do padrão.

Como parar de receber CAPTCHAs: encontre o seu indício e corrija-o

1. Leia o widget nesta página. Ele nomeia a operadora da sua rede e verifica as flags do lado do navegador: armazenamento de cookies, a flag de automação, APIs adulteradas. Um nome de datacenter no topo é um problema de IP; qualquer outra coisa que ele marque é um problema de navegador.
2. Isole a variável IP. Se você usa VPN, carregue o mesmo site sem ela (ou pelo celular, usando os dados móveis) e compare. Se os CAPTCHAs sumirem, o endereço de saída era a causa — troque de servidor ou de fornecedor em vez de abandonar a VPN. Numa conexão doméstica sem VPN, desligar e ligar o roteador costuma puxar um IP novo do seu provedor.
3. Observe a si mesmo como um detector observaria. O monitor de comportamento ao vivo na nossa página inicial pontua a física do seu cursor e a procedência dos seus cliques em tempo real, e o scan completo do navegador roda as verificações de fingerprint e de vazamento junto com ele.
4. Pare de parecer disfarçado. Deixe os sites em que você confia guardarem seus cookies, mantenha o navegador atualizado e prefira um fingerprint honesto a uma colcha de retalhos de extensões de spoofing que deixam, cada uma, fingerprints próprios. Até um bloqueador de anúncios é detectável, e o jeito específico como o seu bloqueia entra no seu perfil.
5. Gerencia múltiplas contas? Então o seu problema é consistência em escala: cada perfil precisa do próprio IP crível e de um fingerprint que se mantenha autoconsistente, ou cada um herda a reputação dos outros. Esse é o trabalho específico para o qual o Incogniton foi feito: perfis de navegador reais e separados, que os engines de risco podem pontuar individualmente em vez de coletivamente.

Na próxima vez que um checkbox exigir prova de humanidade, você vai saber o que ele está pesando de verdade: se o seu IP, os seus cookies e o seu navegador concordam entre si. Faça-os concordar, e os quebra-cabeças voltam a ser algo que só acontece com os outros.