Captcha ao usar proxy não é uma punição pelo proxy em si, mas uma questão do sistema de proteção «você é humano?». Ao usar proxy, ela surge com mais frequência por três motivos: o endereço é compartilhado com outras pessoas e programas, já tem um histórico, e os demais sinais do navegador frequentemente o contradizem. É impossível se livrar completamente da captcha — ela foi criada justamente para isso —, mas dá para fazer com que apareça bem menos. Vamos analisar o que os próprios Google, Yandex e Cloudflare dizem sobre isso, por que os proxies aumentam a chance de verificação e quais medidas realmente ajudam, e quais só pioram a situação.
O que os próprios serviços dizem
Google: «tráfego incomum da sua rede»
O Google mostra essa página quando chegam requisições automatizadas de busca a partir da rede. Na central de ajuda, ele lista os motivos: programas maliciosos no computador, rede compartilhada em escola ou escritório onde alguém envia requisições automatizadas, VPN cujos outros usuários fazem o mesmo, túneis IPv6 e provedor cujos assinantes compartilham endereços. As recomendações também estão lá: resolver o reCAPTCHA, verificar o computador em busca de programas maliciosos, contatar o administrador da rede, remover ou trocar a VPN — segundo o Google, algumas VPNs não permitem distinguir tráfego legítimo de abusos — e entrar em contato com o provedor.
Os proxies não são mencionados diretamente na central de ajuda, mas o mecanismo é o mesmo: você compartilha o endereço com outros, e o Google não vê você, mas todo o tráfego desse endereço.
Yandex: «muitas requisições do mesmo tipo»
Na central de ajuda do Yandex, o motivo da captcha é um só: o serviço recebe muitas requisições do mesmo tipo e quer confirmar que são enviadas por uma pessoa, não por um robô. No caso de proxy, isso significa que importa não só o seu ritmo, mas o ritmo de todos que usam o mesmo endereço.
reCAPTCHA v3: avaliação em vez de imagens
A terceira versão do reCAPTCHA não mostra desafios: segundo a documentação do Google, ela nunca interrompe o usuário, mas atribui uma pontuação de 0,0 a 1,0, onde 1,0 significa provavelmente uma interação legítima e 0,0 provavelmente um bot. Por padrão, o Google sugere aos sites um limiar de 0,5. O que fazer com uma pontuação baixa — mostrar a verificação, pedir confirmação de login ou bloquear — é decisão do próprio site.
Cloudflare: pontuação e três tipos de verificação
A Cloudflare avalia cada requisição numa escala de 1 a 99: 1 significa requisição automatizada, 99 significa humana. Na avaliação entram heurísticas (comparação com a base de fingerprints conhecidos), aprendizado de máquina, que atribui a maioria das pontuações, e verificações em JavaScript, que detectam navegadores headless e outras ferramentas de automação. O visitante recebe a verificação quando uma regra de firewall, do módulo de proteção contra bots ou de limitação de taxa é acionada. São três tipos de verificação:
- não interativa — o navegador executa JavaScript, geralmente menos de cinco segundos, sem exigir nada do usuário;
- gerenciada — a Cloudflare escolhe o tipo de verificação; a maioria das pessoas passa automaticamente e vê «Sucesso»;
- interativa — exige uma ação; a própria Cloudflare recomenda aos sites usar a gerenciada em vez dela.
Após a verificação bem-sucedida, o navegador recebe o cookie cf_clearance e, por um tempo, não é verificado novamente. Isso é importante para proxies, e a seguir ficará claro o porquê.
Por que a captcha aparece com mais frequência ao usar proxy
- O endereço é compartilhado e tem histórico. O mesmo mecanismo da VPN na central de ajuda do Google: se antes de você alguém enviou requisições automatizadas desse endereço, a suspeita recai sobre todos que o usam. Proxies compartilhados baratos sofrem mais com isso.
- Tipo de endereço. Os sistemas de proteção sabem quais endereços pertencem a hospedagens. Um IP de servidor para um buscador ou rede social já é motivo para olhar com mais atenção: pessoas de data centers não ficam navegando. Como funcionam os tipos de endereço é explicado no artigo proxies residenciais, de datacenter e móveis.
- Frequência. «Muitas requisições do mesmo tipo» é a formulação direta do Yandex. Um programa que abre páginas mais rápido que uma pessoa receberá captcha de qualquer endereço.
- Contradições entre sinais. IP da Alemanha, mas fuso horário e idioma do navegador de Moscou; endereço móvel, mas fingerprint de navegador desktop. Cada contradição dessas reduz a pontuação. Sobre quais sinais os sistemas de proteção cruzam, veja os artigos como funcionam os sistemas anti-bot e o que é fingerprint TLS.
- Sem histórico e sem cookies. Um navegador que chega sempre «do zero» e de um novo endereço parece um novo visitante a cada visita. Ele perde tanto o
cf_clearancequanto a confiança acumulada. - Automação. Navegadores headless e navegadores controlados por programa se denunciam via JavaScript — a Cloudflare chama isso explicitamente de mecanismo de detecção separado.
O que realmente ajuda
- Escolher o tipo de endereço adequado. Para sites com proteção rigorosa — proxies residenciais, móveis ou residenciais estáticos (ISP) em vez de servidores. Endereços móveis de operadoras são compartilhados por milhares de assinantes, e bloquear esses endereços não é vantajoso para os sites.
- Não usar proxies compartilhados. Um endereço dedicado responde apenas pelo seu comportamento, não pelo dos outros.
- Manter o endereço, em vez de trocá-lo a cada requisição. A sessão sticky preserva tanto o endereço quanto os cookies após a verificação. Rotação a cada requisição para sites com Cloudflare significa nova verificação a cada requisição (rotação de IP e sessões sticky).
- Reduzir o ritmo. Pausas entre requisições e paralelismo razoável eliminam o principal motivo segundo o Yandex. As regras gerais estão no artigo robots.txt, limites e coleta de dados educada.
- Alinhar os sinais. Fuso horário, idioma e geolocalização do navegador devem corresponder ao país do IP, e o WebRTC não deve revelar seu endereço real. Navegadores antidetect fazem isso automaticamente (o que é um navegador antidetect).
- Salvar cookies entre sessões. Um perfil de navegador com histórico passa pelas verificações mais facilmente do que um novo a cada vez.
- Verificar o endereço antes de trabalhar. Listas negras, tipo de IP nas bases, vazamentos — a ordem de verificação está descrita no artigo como testar um proxy.
O que não ajuda
- Trocar o endereço após cada captcha. Um novo endereço do mesmo pool geralmente tem a mesma reputação, e a troca constante por si só parece suspeita.
- Comprar os proxies mais baratos «em quantidade». Mil endereços de servidor compartilhados darão mil captchas.
- Resolver captcha automaticamente contornando a proteção. Esses serviços existem, mas é um contorno direto da proteção do site e muitas vezes violação de suas regras: o Google, por exemplo, considera requisições automatizadas de busca proibidas sem autorização. Se o site insiste tanto em distinguir pessoas de programas, para tarefas automatizadas vale procurar a API oficial.
Se a captcha aparece sem proxy
A central de ajuda do Google indica onde procurar: programa malicioso no computador, rede compartilhada no trabalho ou nos estudos, VPN ou provedor que encaminha muitos assinantes por um único endereço. A internet móvel também encaminha milhares de pessoas por endereços compartilhados, então às vezes a captcha vem pela atividade alheia. Verifique o computador, desative a VPN e extensões que enviam requisições em seu nome, e tente outra rede.
Resumindo: sintoma, causa, o que fazer
| Sintoma | Causa provável | O que fazer |
|---|---|---|
| O Google mostra «tráfego incomum» imediatamente | Endereço compartilhado com histórico ruim | Endereço dedicado; outro tipo de proxy |
| O Yandex mostra captcha após algumas requisições | Muitas requisições do mesmo tipo | Reduzir o ritmo; distribuir as requisições |
| A Cloudflare verifica a cada acesso | O endereço muda ou os cookies não são salvos | Sessão sticky; salvar cookies |
| A verificação não passa automaticamente | Contradições nos sinais ou indícios de automação | Alinhar fuso horário e idioma com o IP; navegador comum |
| Captcha em todos os endereços do pool de uma vez | O pool inteiro está marcado (por exemplo, uma sub-rede) | Outro provedor ou endereços de sub-redes diferentes |
Sobre o caso especial das sub-redes IPv6, que os sites restringem por completo, veja o artigo proxies IPv6.
Perguntas frequentes
Por que o Google mostra captcha se eu faço apenas algumas requisições?
Porque o Google avalia todo o tráfego do seu endereço, não apenas o seu. Se o endereço é compartilhado — VPN, proxy, rede do escritório, provedor —, as requisições automatizadas de outras pessoas também recaem sobre você. É o que a central de ajuda do Google diz explicitamente.
Trocar de IP ajuda a se livrar da captcha?
Pontualmente, às vezes sim, mas se o novo endereço é do mesmo pool, geralmente tem a mesma reputação. A troca constante de endereço em sites com Cloudflare ainda descarta a verificação já concluída.
Quais proxies recebem captcha com menos frequência?
Endereços residenciais dedicados, móveis e residenciais estáticos com sessão persistente. Proxies de servidor e compartilhados recebem captcha com mais frequência.
Por que a Cloudflare me verifica repetidamente?
Após a verificação, a Cloudflare emite o cookie cf_clearance. Se o endereço muda a cada requisição ou o navegador não salva cookies, essa marca se perde e a verificação se repete.
O que significa a pontuação do reCAPTCHA v3?
É um número de 0,0 a 1,0: quanto mais próximo de 1,0, mais parece humano. Por padrão, o Google recomenda aos sites um limiar de 0,5, e o que fazer com uma pontuação baixa é decisão do próprio site.