hCaptcha

El widget clásico pide al visitante resolver una tarea pequeña antes de enviar el formulario. El modo pasivo es la opción discreta: puntúa la sesión en segundo plano y solo interrumpe cuando el riesgo lo justifica, algo que hCaptcha sitúa en el 99.9% del tráfico sin rompecabezas en el plan Pro. En un formulario de soporte o en un boletín, esa diferencia decide si alguien termina de rellenarlo.

Cada sesión recibe una puntuación construida con señales de dispositivo, red, comportamiento e intención. Las firmas de amenaza agrupan atacantes repartidos por miles de IP y dispositivos, y eso importa porque casi cualquier botnet moderna cambia de dirección más rápido de lo que una lista de bloqueo puede seguir. En lugar de mantener una lista de IP, fijas un umbral y dejas que la puntuación decida.

Los recorridos de usuario unen una sesión a lo largo de páginas y acciones, de modo que un evento aislado gana contexto. Un inicio de sesión fallido parece inofensivo solo. Un inicio fallido después de diez visitas a fichas de producto, un restablecimiento de contraseña y un intento de pago se lee distinto. El investigador ve esa línea de tiempo en una vista y se ahorra las conjeturas.

Agent Controls se ocupa del tráfico que no es claramente un bot ni una persona: asistentes de IA, rastreadores y navegadores agénticos que actúan por encargo de alguien. hCaptcha lee sus propias señales aunque el agente esconda su identidad, y admite Web Bot Auth para plataformas que firman sus solicitudes. Defines la política por sitekey, así un asistente puede navegar por un catálogo, necesita un token válido antes de reservar inventario y queda bloqueado en los flujos donde la automatización no está permitida. Las llamadas a herramientas de WebMCP se registran por nombre para revisarlas, sin argumentos ni resultados.

Account Defense vigila registro, inicio de sesión y sesiones autenticadas en busca de robos de cuenta y multicuenta. Fraud Protection cubre pagos: pruebas de tarjetas, contracargos, abuso de incentivos y fraude por SMS. Ambas alimentan el mismo modelo de riesgo, así un registro sospechoso sube la puntuación del pago que llega diez minutos después.

hCaptcha no necesita información personal identificable para puntuar el tráfico, y el cliente puede enmascarar los campos de cuenta y transacción antes de enviarlos. La lista de cumplimiento incluye GDPR, CCPA, LGPD y PIPL. Para una empresa cuyo equipo legal ya dijo no a otro almacén de datos, eso reduce el alcance de la revisión.

Los planes Enterprise añaden API de informes, un panel multiusuario con SAML SSO y SLA empresariales. Managed Defense va más lejos y pone un SOC 24/7 sobre la cuenta, de forma que las alertas las triaje gente que ve los mismos patrones de ataque en muchos clientes. Los equipos sin turno de noche ganan una cobertura que no podrían cubrir por su cuenta.