Saltar al contenido principal

Comparación de proveedores CAPTCHA para páginas de inicio de sesión: reCAPTCHA, hCaptcha, Turnstile, GeeTest y Alibaba Cloud en Casdoor

· 9 min de lectura
Yang Luo
Yang Luo
Casdoor Maintainer

Para la mayoría de las páginas de inicio de sesión y registro en Internet a nivel global, Cloudflare Turnstile es la opción más sencilla: el plan gratuito no tiene límite de desafíos, y su modo predeterminado muestra una casilla de verificación solo a los visitantes de riesgo. Si muchos de sus usuarios están en China continental, utilice en su lugar Alibaba Cloud Captcha o GeeTest, ya que Cloudflare indica que Turnstile no está soportado allí. Si necesita que el captcha funcione sin ningún servicio externo, utilice el captcha de imagen integrado de Casdoor. Casdoor admite todos estos, además de Google reCAPTCHA (v2 y v3) y hCaptcha, como proveedores de captcha, y usted elige cuándo aparece el captcha por aplicación.

La comparación​

Los precios y la disponibilidad indicados a continuación se verificaron contra el sitio web de cada proveedor el 2026-11-02. Donde un proveedor no publica una cifra, la tabla lo indica en lugar de estimarla.

ProveedorLo que ve el usuarioModo invisibleDatos y privacidadNivel gratuito y preciosChina continentalTipo de Casdoor
Predeterminado de CasdoorEscribe cinco dígitos desde una imagenNoGenerado y verificado por su servidor Casdoor; sin tercerosGratuito, parte de CasdoorFunciona, sin llamadas externasDefault
Google reCAPTCHA v2Casilla de verificación; algunos usuarios obtienen un desafío de imagenv2 también tiene una variante invisible que desafía solo al tráfico sospechosoGoogle; establece la cookie _GRECAPTCHA para análisis de riesgoEl nivel Essentials es gratuito hasta 10,000 evaluaciones por mes por organización; Premium cuesta $8 fijos hasta 100,000, luego $1 por cada 1,000Google recomienda usar www.recaptcha.net donde www.google.com no sea accesiblereCAPTCHA, reCAPTCHA v2 (casilla de verificación)
Google reCAPTCHA v3Nothing; returns a score (Casdoor rejects scores below 0.5)YesSame as v2Same as v2Same as v2reCAPTCHA v3
hCaptchaCasilla de verificación con desafíos de imagen en el plan gratuitoModo pasivo en Pro ("99.9% pasivo") y un modo sin CAPTCHA en EnterpriseIndica que el plan gratuito cumple con GDPR, CCPA, LGPD y PIPL; certificado conforme al Marco de Privacidad de Datos UE-EE. UU.Basic es gratuito; Pro cuesta $139 al mes (o $99 al mes facturados anualmente) con 100,000 evaluaciones, luego $0.99 por cada 1,000; Enterprise a través de ventasNo documentado por hCaptchahCaptcha
Cloudflare TurnstileEl modo Managed muestra una casilla de verificación solo cuando es necesarioModos de widget Non-interactive e InvisibleCloudflare indica que procesa solo los datos estrictamente necesarios y no lee las entradas del formulario; no se requiere proxy de CloudflarePlan gratuito: desafíos ilimitados, hasta 20 widgets; Enterprise a través de ventasCloudflare: "no compatible en China continental"Cloudflare Turnstile
GeeTest CAPTCHA v4Un clic, rompecabezas deslizante, clic en texto, tres en líneaNo listado en la página de producto v4Proveedor chino; política de privacidad específica del productoSin lista de precios pública; prueba gratuita de 30 días, luego ventasProveedor chinoGEETEST
Alibaba Cloud Captcha 2.0Un clic, deslizador, rompecabezas, restauración de imagenModo sin huellas (Traceless) en las ediciones Standard y EnterpriseSe ejecuta en Alibaba CloudPago por uso: 0.005 CNY por llamada en China continental, 0.007 CNY fuera; también disponibles ediciones de suscripción y paquetes de recursosSí; Casdoor verifica contra el endpoint de la región de ShangháiAliyun Captcha

Dos notas sobre las filas de reCAPTCHA. Google ha trasladado reCAPTCHA a Google Cloud Fraud Defense con niveles Essentials, Premium y Enterprise, y la asignación gratuita de 10,000 evaluaciones se comparte entre toda la organización de Google Cloud. Casdoor se comunica con reCAPTCHA mediante una clave de sitio y una clave secreta a través del endpoint estándar siteverify, y carga el script desde recaptcha.net en lugar de google.com, tanto para el script del navegador como para la verificación del lado del servidor.

Cuál elegir​

SaaS global​

Comience con Cloudflare Turnstile. El plan gratuito no mide los desafíos, el modo Managed evita que la mayoría de los usuarios hagan clic en nada, y no necesita enrutar su sitio a través de Cloudflare. Si ya opera en Google Cloud y desea las señales de riesgo de reCAPTCHA, reCAPTCHA está bien, pero vigile las 10,000 evaluaciones gratuitas: una página de inicio de sesión muy concurrida o un ataque de envío masivo de SMS pueden agotarlas en un día. hCaptcha es otra elección común; su plan gratuito siempre muestra un desafío, y los modos pasivos son de pago.

Una aplicación con usuarios en China continental​

Turnstile queda descartado, según la propia documentación de Cloudflare. Para reCAPTCHA, Google documenta www.recaptcha.net como el dominio a utilizar cuando www.google.com no es alcanzable, y Casdoor ya lo utiliza, pero aún debe probarlo desde las redes de sus usuarios antes de depender de ello. hCaptcha no publica ninguna declaración sobre China, por lo que se aplica el mismo consejo.

Las dos opciones seguras son Alibaba Cloud Captcha y GeeTest. Alibaba Cloud publica precios por llamada y le permite comenzar con pago por uso; su modo sin huellas (en Casdoor, use el subtipo Popup para esto) se acerca a la experiencia invisible de Turnstile. GeeTest vende a través de su equipo de ventas después de una prueba de 30 días. Si atiende tanto a China como al resto del mundo desde un solo Casdoor, recuerde que una aplicación tiene un solo proveedor de captcha, así que divida las audiencias en dos aplicaciones si necesitan diferentes captchas.

Usuarios sensibles a la privacidad en la UE​

Todos los captcha alojados envían algunos datos sobre el navegador del visitante al proveedor. Si su equipo legal no desea ningún tercero en la ruta de inicio de sesión, el captcha predeterminado de Casdoor es la única opción de la tabla que mantiene todo en su propio servidor. Entre los alojados, Turnstile y hCaptcha describen la privacidad como parte del producto (datos limitados a lo necesario para la verificación, RGPD y el Marco de Privacidad de Datos UE-EE. UU., respectivamente). reCAPTCHA establece una cookie _GRECAPTCHA; Google indica que servir desde www.recaptcha.net evita otras cookies que www.google.com podría establecer. Independientemente de cuál elija, inclúyalo en su aviso de privacidad.

Autohospedado, intranet o sin conexión​

Use el captcha predeterminado. No requiere claves ni acceso a la red externa, por lo que funciona en instalaciones aisladas (air-gapped). Combínelo con la regla Internet-Only (más abajo) para que las personas en la red de la oficina nunca lo vean, mientras que las solicitudes desde internet público sí lo hagan.

El captcha predeterminado es el más débil del grupo frente a solucionadores automatizados, ya que es una imagen simple de dígitos distorsionados. Para una página de inicio de sesión pública con mucho tráfico, combínela con autenticación multifactor o mueva a los usuarios a inicio de sesión sin contraseña, lo que elimina la adivinanza de contraseñas que los captchas existen para ralentizar.

Cómo funciona CAPTCHA en Casdoor​

Agregue un proveedor con Category establecido en Captcha y uno de estos tipos: Default, reCAPTCHA, reCAPTCHA v2, reCAPTCHA v3, hCaptcha, Cloudflare Turnstile, GEETEST o Aliyun Captcha. Luego agréguelo a una aplicación en la pestaña Providers. Una aplicación solo puede contener un proveedor de captcha; Casdoor se niega a guardar un segundo. Los pasos de configuración para cada proveedor están en la documentación del proveedor de captcha.

Dónde solicita Casdoor​

El mismo proveedor protege varias acciones, y Casdoor verifica el token en el servidor, no solo en el navegador:

  • Inicio de sesión con contraseña.
  • Envío del formulario de registro.
  • Envío de un código de verificación por correo electrónico o SMS, lo que cubre el paso de código del registro, la página de recuperación de contraseña y el inicio de sesión basado en códigos. Esta es la protección contra bots que agotan su presupuesto de SMS.

Cuándo solicita Casdoor​

La Rule del proveedor de captcha en la aplicación decide cuándo aparece:

RuleBehavior
NoneNunca; el captcha está desactivado
DynamicSolo después de que los inicios de sesión fallidos del usuario alcancen el Failed signin limit de la aplicación
AlwaysCada vez
Internet-OnlyPara solicitudes desde direcciones IP públicas; no para direcciones privadas, de bucle invertido u otras no públicas

Dynamic es la configuración más suave para el inicio de sesión: los usuarios honestos nunca ven un desafío, y alguien que adivina contraseñas encuentra uno después de unos pocos intentos fallidos. Sin embargo, solo se aplica a cuentas que ya existen. Un registro, o un código enviado a una dirección que aún no tiene cuenta, no lo activa. Si el abuso de SMS o correo electrónico en el registro es su preocupación, use Always o Internet-Only.

Dónde aparece en la página​

En los elementos de inicio de sesión de la aplicación, el elemento Captcha tiene su propia regla: Pop up muestra el captcha en un cuadro de diálogo cuando es necesario, e Inline lo coloca directamente en la página. Consulte Cambiar el captcha. Alibaba Cloud Captcha tiene un Sub type adicional: Embed lo muestra dentro del cuadro de diálogo de Casdoor, y Popup entrega el control a la ventana emergente propia de Alibaba Cloud, que es lo que necesitan las escenas sin huellas (traceless).

Use el botón Preview en la página del proveedor para verificar las claves antes de activar la regla.

Referencias​