hCaptcha

O widget clássico pede que o visitante resolva uma tarefa pequena antes do envio do formulário. O modo passivo é a opção discreta: pontua a sessão em segundo plano e só interrompe quando o risco justifica, algo que o hCaptcha coloca em 99,9% do tráfego sem quebra-cabeça no plano Pro. Em um formulário de suporte ou em uma newsletter, essa diferença decide se alguém termina de preencher.

Cada sessão recebe uma pontuação montada com sinais de dispositivo, rede, comportamento e intenção. As assinaturas de ameaça agrupam atacantes espalhados por milhares de IPs e dispositivos, e isso importa porque quase toda botnet moderna troca de endereço mais rápido do que uma lista de bloqueio consegue acompanhar. Em vez de manter uma lista de IPs, você define um limite e deixa a pontuação decidir.

As jornadas de usuário costuram uma sessão ao longo de páginas e ações, então um evento isolado ganha contexto. Um login que falhou parece inofensivo sozinho. Um login que falhou depois de dez visitas a páginas de produto, um pedido de nova senha e uma tentativa de pagamento se lê de outro jeito. O investigador vê essa linha do tempo em uma tela e economiza a adivinhação.

O Agent Controls cuida do tráfego que não é claramente bot nem pessoa: assistentes de IA, rastreadores e navegadores agênticos que agem por conta de alguém. O hCaptcha lê sinais próprios mesmo quando o agente esconde a identidade e aceita Web Bot Auth para plataformas que assinam as requisições. Você define a política por sitekey, então um assistente pode navegar pelo catálogo, precisa de um token válido antes de reservar estoque e é barrado nos fluxos em que automação não é permitida. Chamadas de ferramentas WebMCP são registradas por nome para revisão, sem argumentos nem resultados.

O Account Defense observa cadastro, login e sessões autenticadas em busca de roubo de conta e multicontas. O Fraud Protection cobre pagamentos: teste de cartão, chargeback, abuso de incentivos e fraude por SMS. Os dois alimentam o mesmo modelo de risco, então um cadastro suspeito sobe a pontuação do pagamento que chega dez minutos depois.

O hCaptcha não exige informação pessoal identificável para pontuar tráfego, e o cliente pode mascarar campos de conta e transação antes do envio. A lista de conformidade inclui GDPR, CCPA, LGPD e PIPL. Para uma empresa cujo jurídico já disse não a mais um armazém de dados, isso reduz o escopo da revisão.

Os planos Enterprise somam API de relatórios, painel multiusuário com SAML SSO e SLAs corporativos. O Managed Defense vai além e coloca um SOC 24 horas na conta, de modo que os alertas passam por gente que vê os mesmos padrões de ataque em muitos clientes. Times sem turno da noite ganham uma cobertura que não conseguiriam montar sozinhos.