El captcha a través de un proxy no es un castigo por usar el proxy en sí, sino el resultado de un sistema de protección que pregunta «¿eres una persona?». Con un proxy aparece más a menudo por tres motivos: la dirección es compartida con otras personas y programas, ya tiene un historial previo, y el resto de señales del navegador suelen contradecirla. Eliminar el captcha por completo es imposible —para eso se inventó—, pero sí se puede lograr que aparezca con mucha menos frecuencia. Veamos qué dicen al respecto Google, Yandex y Cloudflare, por qué los proxies aumentan la probabilidad de verificación y qué medidas realmente funcionan y cuáles solo empeoran la situación.
Lo que dicen los propios servicios
Google: «tráfico inusual desde tu red»
Google muestra esta página cuando desde una red llegan solicitudes automáticas al buscador. En su ayuda enumera las causas: programas maliciosos en el ordenador, una red compartida en una escuela u oficina donde alguien envía solicitudes automáticas, una VPN cuyos otros usuarios hacen lo mismo, túneles IPv6 y un proveedor cuyos abonados comparten direcciones. Las recomendaciones también están ahí: resolver el reCAPTCHA, revisar el ordenador en busca de programas maliciosos, contactar con el administrador de la red, eliminar o cambiar la VPN —según Google, algunas VPN no permiten distinguir el tráfico legítimo de los abusos— y ponerse en contacto con el proveedor.
Los proxies no se mencionan explícitamente en la ayuda, pero el mecanismo es el mismo: compartes la dirección con otros y Google no te ve a ti, sino todo el tráfico que sale desde esa dirección.
Yandex: «muchas solicitudes del mismo tipo»
En la ayuda de Yandex la causa del captcha es una sola: el servicio recibe muchas solicitudes del mismo tipo y quiere asegurarse de que las envía una persona y no un robot. En el caso de un proxy, esto significa que importa no solo tu ritmo, sino también el ritmo de todos los que usan esa misma dirección.
reCAPTCHA v3: una puntuación en lugar de imágenes
La tercera versión de reCAPTCHA no muestra ningún desafío: según la documentación de Google, nunca interrumpe al usuario, sino que asigna una puntuación de 0,0 a 1,0, donde 1,0 significa probablemente una interacción legítima y 0,0 probablemente un bot. Por defecto, Google sugiere a los sitios un umbral de 0,5. Qué hacer con una puntuación baja —mostrar una verificación, pedir que se confirme el inicio de sesión o bloquear— lo decide ya el propio sitio.
Cloudflare: puntuación y tres tipos de verificación
Cloudflare evalúa cada solicitud en una escala de 1 a 99: 1 significa solicitud automática, 99 significa persona. En la puntuación intervienen heurísticas (comparación con una base de huellas conocidas), aprendizaje automático, que asigna la mayoría de las puntuaciones, y comprobaciones JavaScript, que detectan navegadores headless y otras herramientas de automatización. El visitante recibe una verificación cuando se activa una regla del firewall, del módulo de protección contra bots o de limitación de frecuencia. Hay tres tipos de verificación:
- no interactiva — el navegador ejecuta JavaScript, normalmente menos de cinco segundos, y no se requiere nada por parte de la persona;
- gestionada — Cloudflare elige el tipo de verificación; la mayoría de las personas la superan automáticamente y ven «Éxito»;
- interactiva — requiere una acción; el propio Cloudflare recomienda a los sitios usar la gestionada en su lugar.
Tras superar la verificación, el navegador recibe la cookie cf_clearance y durante un tiempo no se le vuelve a verificar. Esto es importante para los proxies, y a continuación quedará claro por qué.
Por qué con un proxy aparece más el captcha
- La dirección es compartida y tiene historial. El mismo mecanismo que con la VPN en la ayuda de Google: si antes que tú se enviaron solicitudes automáticas desde esa dirección, la sospecha recae sobre todos los que la usan. Los proxies compartidos baratos son los que más sufren esto.
- El tipo de dirección. Los sistemas de protección saben qué direcciones pertenecen a proveedores de hosting. Una IP de servidor para un buscador o una red social ya es motivo para mirar con más atención: la gente no suele navegar desde centros de datos. Cómo funcionan los tipos de direcciones se explica en el artículo proxies residenciales, de datacenter y móviles.
- La frecuencia. «Muchas solicitudes del mismo tipo» es la formulación directa de Yandex. Un programa que abre páginas más rápido que una persona recibirá captcha desde cualquier dirección.
- Contradicciones entre señales. IP de Alemania, pero zona horaria e idioma del navegador de Moscú; dirección móvil, pero huella de navegador de escritorio. Cada contradicción de este tipo reduce la puntuación. Sobre qué señales delatan a los sistemas de protección se habla en los artículos cómo funcionan los sistemas anti-bot y qué es la huella TLS.
- Sin historial ni cookies. Un navegador que cada vez llega «desde cero» y con una dirección nueva parece un visitante nuevo en cada visita. Pierde tanto la
cf_clearancecomo la confianza acumulada. - La automatización. Los navegadores headless y los navegadores controlados por programas se delatan a través de JavaScript: Cloudflare lo menciona directamente como un mecanismo de detección aparte.
Qué ayuda de verdad
- Elegir el tipo de dirección adecuado. Para sitios con protección estricta, usa proxies residenciales, móviles o residenciales estáticos (ISP) en lugar de proxies de servidor. Las direcciones móviles de operadores las comparten miles de abonados, y a los sitios no les conviene bloquearlas.
- No usar proxies compartidos. Una dirección dedicada responde solo por tu comportamiento, no por el de otros.
- Mantener la dirección en lugar de cambiarla en cada solicitud. Una sesión sticky conserva tanto la dirección como las cookies tras superar la verificación. La rotación en cada solicitud para sitios con Cloudflare significa una nueva verificación en cada solicitud (rotación de IP y sesiones sticky).
- Reducir el ritmo. Las pausas entre solicitudes y una concurrencia razonable eliminan la causa principal según Yandex. Las reglas generales están en el artículo robots.txt, límites y scraping educado.
- Coordinar las señales. La zona horaria, el idioma y la geolocalización del navegador deben corresponder al país de la IP, y WebRTC no debe revelar tu dirección real. Los navegadores antidetect lo hacen automáticamente (qué es un navegador antidetect).
- Conservar las cookies entre sesiones. Un perfil de navegador con historial supera las verificaciones más fácilmente que uno nuevo cada vez.
- Comprobar la dirección antes de trabajar. Listas negras, tipo de IP en las bases de datos, filtraciones: el orden de comprobación se describe en el artículo cómo comprobar un proxy.
Qué no ayuda
- Cambiar de dirección tras cada captcha. Una dirección nueva del mismo pool suele tener la misma reputación, y el cambio constante por sí mismo resulta sospechoso.
- Comprar los proxies más baratos «por si acaso». Mil direcciones de servidor compartidas darán mil captchas.
- Resolver el captcha automáticamente eludiendo la protección. Estos servicios existen, pero suponen una elusión directa de la protección del sitio y a menudo una violación de sus normas: Google, por ejemplo, considera las solicitudes automáticas al buscador como prohibidas sin autorización. Si el sitio se esfuerza tanto en distinguir a las personas de los programas, para tareas automáticas conviene buscar una API oficial.
Si el captcha aparece sin proxy
La ayuda de Google indica dónde buscar: un programa malicioso en el ordenador, una red compartida en el trabajo o los estudios, una VPN o un proveedor que saca a muchos abonados por una misma dirección. El internet móvil también saca a miles de personas por direcciones compartidas, así que a veces el captcha te toca por la actividad de otros. Revisa el ordenador, desactiva la VPN y las extensiones que envían solicitudes en tu nombre, y prueba otra red.
En resumen: síntoma, causa y qué hacer
| Síntoma | Causa probable | Qué hacer |
|---|---|---|
| Google muestra enseguida «tráfico inusual» | Dirección compartida con mal historial | Dirección dedicada; otro tipo de proxy |
| Yandex muestra captcha tras varias solicitudes | Muchas solicitudes del mismo tipo | Reducir el ritmo; distribuir las solicitudes |
| Cloudflare verifica en cada visita | La dirección cambia o las cookies no se conservan | Sesión sticky; conservar las cookies |
| La verificación no se supera automáticamente | Contradicciones en las señales o indicios de automatización | Coordinar zona horaria e idioma con la IP; navegador normal |
| Captcha en todas las direcciones del pool a la vez | El pool está marcado por completo (por ejemplo, una sola subred) | Otro proveedor o direcciones de subredes distintas |
Sobre el caso especial de las subredes IPv6, que los sitios limitan por completo, se habla en el artículo proxies IPv6.
Preguntas frecuentes
¿Por qué Google muestra captcha si solo hago un par de solicitudes?
Porque Google evalúa todo el tráfico que sale desde tu dirección, no solo el tuyo. Si la dirección es compartida —VPN, proxy, red de oficina, proveedor—, las solicitudes automáticas de otras personas también recaen sobre ti. La ayuda de Google lo dice claramente.
¿Ayuda cambiar de IP para librarse del captcha?
De forma puntual a veces sí, pero si la nueva dirección es del mismo pool, normalmente tiene la misma reputación. Además, el cambio constante de dirección en sitios con Cloudflare reinicia la verificación ya superada.
¿Qué proxies reciben menos captchas?
Las direcciones residenciales dedicadas, móviles y residenciales estáticas con sesión persistente. Los proxies de servidor y compartidos son los que más captchas reciben.
¿Por qué Cloudflare me verifica una y otra vez?
Tras la verificación, Cloudflare entrega la cookie cf_clearance. Si la dirección cambia en cada solicitud o el navegador no conserva las cookies, esa marca se pierde y la verificación se repite.
¿Qué significa la puntuación de reCAPTCHA v3?
Es un número de 0,0 a 1,0: cuanto más cerca de 1,0, más parece una persona. Por defecto, Google recomienda a los sitios un umbral de 0,5, y qué hacer con una puntuación baja lo decide el propio sitio.