Honeypot vs CAPTCHA: ¿cuál es mejor para la prevención de spam de formularios?

La prevención de spam de formularios se reduce a distinguir a los humanos de los bots. Existen dos técnicas principales: campos de honeypot y desafíos CAPTCHA. Cada uno tiene diferentes compensaciones entre efectividad y experiencia de usuario.

Esta guía los compara en detalle y explica cuándo usar cada uno.

¿Qué es un campo honeypot?

Un honeypot es un input de formulario oculto que los usuarios legítimos nunca ven ni usan. Los bots automatizados que rastrean la web y rellenan todos los campos que encuentran también rellenarán el honeypot y se delatarán.

1
<input
2
  type="text"
3
  name="botcheck"
4
  style="position: absolute; left: -9999px; opacity: 0;"
5
  tabindex="-1"
6
  autocomplete="off"
7
/>

Cuando se envía el formulario, el servidor comprueba si el campo honeypot tiene un valor. Si es así, el envío proviene de un bot y se rechaza.

Cómo los bots encuentran honeypots

Los bots sofisticados pueden detectar honeypots mediante:

• Checking for CSS properties that hide elements (opacity: 0, left: -9999px)
• Comprobando si el elemento es visible en la ventana gráfica
• Checking tabindex="-1" which removes the field from tab order
• Checking for common honeypot field names (botcheck, honeypot, website_url)

Haciendo que los honeypots sean más difíciles de detectar

Utilice múltiples técnicas de ocultación y nombres de campos no obvios:

1
<input
2
  type="text"
3
  name="company_website"
4
  style="position: absolute; left: -9999px; opacity: 0; height: 0; width: 0; overflow: hidden;"
5
  tabindex="-1"
6
  autocomplete="off"
7
  aria-hidden="true"
8
/>

The field name company_website looks like a legitimate field that bots would fill in.

¿Qué es un CAPTCHA?

Un CAPTCHA (prueba pública de Turing completamente automatizada para diferenciar las computadoras de los humanos) presenta un desafío que los humanos pueden resolver pero los bots no.

Tipos de CAPTCHA

Cloudflare Turnstile

Turnstile es el CAPTCHA recomendado para formularios modernos:

1
<div class="cf-turnstile" data-sitekey="YOUR_SITE_KEY"></div>
2
<script src="https://challenges.cloudflare.com/turnstile/v0/api.js" async defer></script>

• Respetuoso con la privacidad (sin seguimiento entre sitios)
• A menudo se resuelve sin mostrar ningún desafío
• No se requiere cuenta de Google
• Gratis para todos los sitios

Google reCAPTCHA v3

reCAPTCHA v3 asigna una puntuación a cada visitante según el comportamiento:

1
<script src="https://www.google.com/recaptcha/api.js?render=YOUR_SITE_KEY"></script>
2
<script>
3
  grecaptcha.ready(function () {
4
    grecaptcha.execute("YOUR_SITE_KEY", { action: "submit" }).then(function (token) {
5
      document.getElementById("recaptchaToken").value = token;
6
    });
7
  });
8
</script>
9
<input type="hidden" id="recaptchaToken" name="g-recaptcha-response" />

• Invisible (sin interacción del usuario)
• Basado en puntajes (0.0 = bot, 1.0 = humano)
• Requiere seguimiento de Google
• Requiere verificación de token del lado del servidor

Google reCAPTCHA v2

La conocida casilla de verificación "No soy un robot" con rompecabezas de imágenes:

1
<div class="g-recaptcha" data-sitekey="YOUR_SITE_KEY"></div>
2
<script src="https://www.google.com/recaptcha/api.js" async defer></script>

• Alta fricción (los rompecabezas de imágenes frustran a los usuarios)
• Muy eficaz contra bots
• Requiere seguimiento de Google

Comparación directa

Cuándo usar un honeypot

Utilice un honeypot en cada formulario, siempre. No cuesta nada en experiencia de usuario y capta la mayoría de los envíos básicos de bots.

Mejor para:

• Formularios de poco tráfico (contacto, suscripción al boletín)
• Formularios donde la fricción del usuario debe ser absolutamente cero
• Primera línea de defensa en cualquier formulario

Cuándo usar un CAPTCHA

Agregue un CAPTCHA cuando:

• Su formulario recibe más de 100 envíos por día
• Observas que el spam pasa por el honeypot
• El formulario está en una página de alta visibilidad (página de inicio, página de precios)
• Necesita bloquear a los spammers humanos (no solo bots)

Mejor elección de CAPTCHA por escenario:

Combinando ambos para una máxima protección

La configuración óptima utiliza ambas técnicas juntas:

1
<form action="https://api.formsfort.com/submit" method="POST">
2
  <input type="hidden" name="access_key" value="YOUR_ACCESS_KEY" />
3

4
  <!-- Honeypot: catches basic bots -->
5
  <input
6
    type="text"
7
    name="company_website"
8
    style="position: absolute; left: -9999px; opacity: 0;"
9
    tabindex="-1"
10
    autocomplete="off"
11
  />
12

13
  <!-- Form fields -->
14
  <label for="name">Name</label>
15
  <input type="text" id="name" name="name" required />
16

17
  <label for="email">Email</label>
18
  <input type="email" id="email" name="email" required />
19

20
  <label for="message">Message</label>
21
  <textarea id="message" name="message" required></textarea>
22

23
  <!-- CAPTCHA: catches sophisticated bots and humans -->
24
  <div class="cf-turnstile" data-sitekey="YOUR_TURNSTILE_KEY"></div>
25
  <script src="https://challenges.cloudflare.com/turnstile/v0/api.js" async defer></script>
26

27
  <button type="submit">Send message</button>
28
</form>

Este enfoque en capas captura:

• Bots básicos (honeypot)
• Bots sofisticados (CAPTCHA)
• Spammers humanos (CAPTCHA)

Agregue restricción de dominio y limitación de velocidad en el lado del servidor para una defensa completa.

Consideraciones de accesibilidad

Accesibilidad del Honeypot

Un honeypot implementado correctamente no afecta la accesibilidad:

• tabindex="-1" removes it from keyboard navigation
• aria-hidden="true" hides it from screen readers
• Posicionamiento fuera de pantalla significa que no se anuncia

Accesibilidad de CAPTCHA

Los CAPTCHA pueden ser problemáticos para usuarios con discapacidades:

• Los rompecabezas de imágenes son difíciles para los usuarios con discapacidad visual
• Existen alternativas de audio, pero a menudo son de mala calidad
• Los límites de tiempo pueden ser un desafío para los usuarios con discapacidades motoras

Se prefieren Turnstile y reCAPTCHA v3 porque a menudo se resuelven sin interacción del usuario. Cuando se muestre un desafío, proporcione métodos de contacto alternativos (correo electrónico, teléfono) para los usuarios que no puedan completarlo.

Resumen

Los honeypots y CAPTCHA cumplen diferentes funciones en la prevención de spam. Los honeypots son una primera línea de defensa sin fricción que atrapa bots básicos. Los CAPTCHA brindan una protección más sólida contra bots sofisticados y spammers humanos, pero agregan cierta fricción al usuario. Utilice un honeypot en cada formulario. Agregue Cloudflare Turnstile para formularios de tráfico medio y alto. Combínelo con restricción de dominio y limitación de velocidad para una protección integral.