¿Qué es CAPTCHA? ¿Por qué falla la verificación?

Estás rellenando un formulario de registro. Primero marcas «No soy un robot» y después pasas unos minutos intentando que tu contraseña cumpla las reglas del sitio. Al pulsar Enviar, la página responde con «CAPTCHA verification failed. Please try again.» y, cuando vuelves arriba, la marca ha desaparecido: la casilla ahora dice «Verification expired. Check the checkbox again.»

En este artículo explicamos qué significa CAPTCHA, qué ocurre detrás de esa casilla y en qué se diferencian reCAPTCHA v2 y v3. Después desciframos los mensajes de error más comunes y repasamos qué probar y en qué orden, para que sepas si el problema está en tu navegador, en tu red o en el sitio.

¿Qué significa CAPTCHA?#

CAPTCHA son las siglas en inglés de Completely Automated Public Turing test to tell Computers and Humans Apart: una prueba de Turing pública y totalmente automática para distinguir máquinas de personas. La prueba de Turing, que lleva el nombre del matemático Alan Turing, plantea si una máquina puede hacerse pasar por una persona. Un CAPTCHA le da la vuelta a la idea: es una máquina la que pone la prueba, y una persona debería superarla mientras que un programa falla.

Te lo encuentras en formularios de registro e inicio de sesión, en el restablecimiento de contraseñas, en cajas de comentarios y en páginas de pago, donde frena a los programas que abren cuentas falsas en masa, publican spam o prueban miles de contraseñas. Tiene cuatro formas habituales:

• Texto deformado que hay que copiar de una imagen distorsionada. Es lo que la gente llama «código CAPTCHA».
• Tareas con imágenes, como elegir todos los recuadros en los que aparece un autobús.
• Una casilla o un control deslizante: un clic en «No soy un robot» o un tirador que se arrastra hacia la derecha.
• Una puntuación invisible calculada en segundo plano.

En muchos sitios son etapas de un mismo control: cuanta más duda, más trabajo te piden. Cómo se toma esa decisión lo explicamos en tipos de CAPTCHA y cuándo se activan, y las señales que hay detrás, en ¿Por qué aparece un CAPTCHA?.

¿Cómo funciona un CAPTCHA por dentro?#

La casilla no suele formar parte del sitio: es una ventana pequeña que se carga desde los servidores de otra empresa. Con reCAPTCHA de Google, entre tu clic y el formulario aceptado ocurren estos pasos:

1. La página carga la casilla desde Google, desde www.google.com/recaptcha o desde la dirección alternativa www.recaptcha.net. Si una extensión o un filtro de red bloquea esa dirección, la casilla no llega a aparecer.
2. La casilla lee señales de tu navegador, como el movimiento del puntero, las cookies que tienes o la forma en que el navegador se describe a sí mismo. Cómo funciona la detección de bots explica cómo esas señales se convierten en una decisión.
3. Si hay dudas, te pone una tarea, normalmente una cuadrícula de imágenes con opción de audio.
4. Recibes un código de aprobación de un solo uso, llamado token. Funciona como el código que te envía tu banco por SMS: caduca enseguida y solo sirve una vez.
5. El sitio pregunta a Google por el código. Cuando pulsas Enviar, el servidor del sitio manda el token a Google. La documentación de Google sobre la verificación de respuestas indica que cada token es válido durante dos minutos y solo se puede verificar una vez.
6. El sitio acepta el formulario o muestra su propio error.

En el paso 5 fallan muchos formularios. La comprobación no pasa si transcurren más de dos minutos entre la marca y el envío, o si el mismo código llega dos veces por un doble clic o por el botón Atrás.

¿Qué es reCAPTCHA y en qué se diferencian v2 y v3?#

reCAPTCHA es el servicio de CAPTCHA de Google, y los sitios eligen entre dos versiones principales.

reCAPTCHA v2: la casilla#

La versión 2 es la casilla «No soy un robot». Muchos visitantes pasan con un solo clic; cuando la casilla no está segura, te pide que selecciones todas las imágenes con autobuses o bicicletas. Una variante invisible no muestra ninguna casilla y solo abre la tarea de imágenes cuando tiene dudas.

reCAPTCHA v3: la puntuación invisible#

La versión 3 nunca muestra una tarea. Da a cada acción una puntuación de 0,0 a 1,0: la documentación de v3 de Google (consultada en septiembre de 2026) dice que 1,0 es muy probablemente una persona, 0,0 muy probablemente un bot, y que los sitios pueden empezar con un umbral de 0,5. Por debajo de su umbral, un sitio puede rechazar el formulario o pedir un paso adicional, y así es como te sale «verification failed» sin haber visto ningún rompecabezas. Una pequeña insignia de reCAPTCHA en una esquina, o la frase «This site is protected by reCAPTCHA» (o su traducción), indica una versión invisible.

En abril de 2026, Google integró reCAPTCHA en un producto más amplio, Google Cloud Fraud Defense. Google afirma que las claves de sitio y las integraciones existentes se mantienen como están, así que la casilla que ves no cambia.

¿Qué es recaptcha.net?#

www.recaptcha.net sirve el mismo reCAPTCHA desde una segunda dirección que, según las preguntas frecuentes de reCAPTCHA de Google, los sitios pueden usar cuando www.google.com no es accesible para sus usuarios. No es un programa espía; si aparece en el informe de privacidad de tu iPhone, es que un sitio que abriste cargó su CAPTCHA desde allí.

¿Qué es Yandex SmartCaptcha?#

SmartCaptcha es el servicio de CAPTCHA de Yandex. Según su descripción de los tipos de desafío, el desafío principal es una casilla «I am not a robot» («No soy un robot») o un control deslizante. Si el intento parece sospechoso, llega una segunda tarea: escribir texto deformado, marcar iconos en orden o recomponer una imagen con un control deslizante. La mayoría de los pasos que verás más abajo también sirven para él.

La pantalla «Verifying you are human» de Cloudflare y su casilla Turnstile son un sistema aparte, que tratamos en Cloudflare «Verifying you are human».

¿Qué significan los mensajes de error de CAPTCHA?#

Los mensajes dentro de la casilla, como «Verification expired. Check the checkbox again.», vienen de Google y suelen aparecer en el idioma de tu navegador. Los mensajes alrededor del formulario, como «Invalid Captcha» o «Captcha Required», los escribe cada sitio, así que un mismo problema aparece con muchas formulaciones distintas.

«CAPTCHA verification failed»#

El sitio preguntó a Google por tu código y no recibió un sí claro. Con la casilla, lo más probable es que el código caducara o se reutilizara. Con la puntuación de v3, tu visita quedó por debajo del umbral, y lo primero que hay que revisar es tu red.

«Captcha Required» y «This field is required»#

El formulario llegó sin código de aprobación: pulsaste Enviar antes de marcar la casilla o la casilla nunca llegó a cargarse. Si en la página no hay ninguna casilla, sospecha de un bloqueador de anuncios o de una extensión de privacidad.

«Invalid Captcha» e «Incorrect Captcha»#

En los formularios de texto, lo que escribiste no coincide con la imagen. En los formularios con casilla, el código llegó dañado o vacío.

«Verification expired» y «timeout-or-duplicate»#

Cuando la aprobación caduca, la casilla borra tu marca y muestra la línea de caducidad. «timeout-or-duplicate» es la respuesta de Google cuando el sitio le envía un código demasiado antiguo o ya usado, y algunos sitios la muestran tal cual.

«Cannot contact reCAPTCHA» o una casilla que nunca carga#

La línea completa es «Cannot contact reCAPTCHA. Check your connection and try again.» Tu navegador no consigue llegar a los servidores de Google, normalmente por una extensión, por JavaScript desactivado o por un filtro de red del trabajo o del centro de estudios.

«ERROR for site owner»#

Una línea en la casilla como «ERROR for site owner: Invalid domain for site key» significa que el sitio configuró mal reCAPTCHA. Nada de lo que hagas en tu navegador lo arregla; envía al sitio una captura de pantalla.

¿Por qué falla la verificación CAPTCHA?#

Las causas se reparten en tres grupos: tu navegador, tu red y el sitio.

Tu navegador. Los bloqueadores de anuncios y las extensiones de privacidad bloquean scripts que vienen de servidores de otras empresas, incluida la casilla de CAPTCHA. Puede que JavaScript esté desactivado o que una configuración estricta bloquee todas las cookies. Además, la ayuda de reCAPTCHA de Google solo indica compatibilidad con las dos versiones principales más recientes de Chrome, Firefox, Safari y Edge en escritorio.

Tu red. En residencias de estudiantes, oficinas y muchas conexiones móviles, un grupo grande de personas comparte una sola dirección IP, y si algunas usan herramientas automáticas, todos los que están detrás pueden recibir una puntuación más baja (¿Qué es CGNAT?). Las direcciones de salida de las VPN se comparten igual y atraen más controles (VPN o proxy detectado). Muchos intentos en poco tiempo bajan aún más la puntuación.

El sitio. Una clave incorrecta, un dominio que falta en la configuración de reCAPTCHA del sitio o un formulario que se envía dos veces por sí solo fallan para todos los visitantes. Una casilla que vuelve en cada búsqueda de Google es otra página distinta, que tratamos en Tráfico inusual en Google.

¿Qué probar, y en qué orden, cuando falla la verificación CAPTCHA?#

1. Recarga y marca la casilla al final. Rellena todos los campos, marca «No soy un robot» en último lugar y pulsa Enviar una sola vez, dentro de los dos minutos.
2. Pausa el bloqueador de anuncios en este sitio. La mayoría de los bloqueadores tienen un interruptor por sitio bajo su icono en la barra de herramientas. Para comprobarlo, abre una ventana privada, donde las extensiones suelen estar desactivadas (Chrome: menú de tres puntos > Nueva ventana de incógnito).
3. Permite JavaScript. En Chrome, ve a Configuración > Privacidad y seguridad > Configuración de sitios > JavaScript y permítelo, al menos para este sitio.
4. Actualiza el navegador desde la página «Información» o «Acerca de» de su menú.
5. Desactiva tu VPN, sea una app o una extensión, y recarga el formulario.
6. Prueba otra red. Usa los datos móviles en lugar del wifi. Si el formulario se envía, lo más probable es que el problema estuviera en la dirección de la primera red; Cómo cambiar la dirección IP repasa tus opciones.
7. Prueba otra página con reCAPTCHA. Si la casilla funciona en otros sitios y solo falla aquí, el problema está en el sitio: envía a su equipo de soporte una captura de pantalla, la hora y el nombre de tu navegador.

¿Qué hacer si no puedes ver las imágenes ni oír el audio?#

En una tarea de imágenes de reCAPTCHA, pulsa el botón del desafío de audio que hay bajo las imágenes, pulsa reproducir (PLAY) y escribe los números que oigas. Las páginas de ayuda de Google dicen que reCAPTCHA funciona con los lectores de pantalla ChromeVox, JAWS, NVDA y VoiceOver.

El audio no es una solución completa. La nota del W3C Inaccessibility of CAPTCHA (diciembre de 2021) explica que las pruebas visuales dejan fuera a las personas ciegas o con baja visión y a las personas con dislexia, mientras que las pruebas de audio dejan fuera a las personas sordas, con pérdida auditiva o sordociegas. Si ninguna de las dos te sirve, pide al sitio otra forma de verificación, como una llamada o un enlace por correo electrónico, en lugar de instalar una extensión que «resuelva» el CAPTCHA.

¿Dónde te encontrarás CAPTCHA y controles parecidos?#

• Búsqueda de Google: una página de «tráfico inusual», explicada en Tráfico inusual en Google.
• Cloudflare: una pantalla «Verifying you are human», explicada en Cloudflare «Verifying you are human».
• YouTube: una petición para iniciar sesión y confirmar que no eres un bot, explicada en Error de YouTube «no eres un bot».
• Un bloqueo sin casilla: un rechazo directo de la entrada, explicado en Sorry, you have been blocked.
• «Access Denied»: una página de rechazo con un número de referencia, explicada en Error Access Denied en sitios web.
• Avisos de VPN: sitios que rechazan una dirección de VPN en lugar de ponerle una prueba, explicados en VPN o proxy detectado.
• Empresas que recopilan datos con software: aquí un CAPTCHA es una señal de stop. El camino legítimo es un ritmo de peticiones más lento, la API oficial y el permiso del dueño del sitio; nuestra página de extracción de datos muestra cómo se organiza ese trabajo. Ningún proxy ni ninguna herramienta elimina el CAPTCHA, y no debe usarse ninguno para intentarlo.

Errores comunes#

• Instalar una extensión que «resuelve» CAPTCHA. Estas extensiones suelen pedir permiso para leer y cambiar tus datos en todos los sitios web, incluidos tu banco y tu correo.
• Pulsar Enviar varias veces. El código sirve una sola vez, así que la segunda pulsación envía uno ya usado.
• Marcar la casilla antes de rellenar el formulario. Si escribes despacio, los dos minutos se agotan.
• Reenviar con el botón Atrás. El navegador puede volver a enviar el código ya comprobado.
• Activar una VPN para arreglarlo. Una dirección de VPN compartida suele traer más controles; Proxy o VPN explica qué cambia una VPN.
• Seguir una verificación que te pide pegar un comando. Un CAPTCHA real nunca te pide pulsar Windows+R ni pegar texto en una terminal; las páginas de verificación falsas usan ese paso para instalar malware.

Guía de decisión#

Para cualquier otro caso, sigue en orden los pasos numerados de más arriba.

Preguntas frecuentes#

¿Para qué sirve CAPTCHA?#

Frena a los programas en el propio formulario: bots que abren cuentas falsas, publican spam o prueban contraseñas robadas. Protege al sitio y a sus usuarios en lugar de juzgarte a ti, y por eso también lo ven los visitantes reales.

¿Qué es un código CAPTCHA?#

Es la cadena deformada de letras y números dentro de una imagen que algunos formularios te piden escribir. Si las mayúsculas cuentan o no depende del sitio; si no puedes leerla, pulsa el botón de recargar que hay junto a la imagen.

¿Qué es recaptcha.net y por qué aparece en mi iPhone?#

Google la usa como dirección alternativa para servir reCAPTCHA. El Informe de privacidad de apps de Apple, en Ajustes > Privacidad y seguridad en iOS 15.2 o posterior, muestra los dominios con los que contactaron, en los últimos siete días, los sitios web que visitaste dentro de las apps.

¿Qué significa «timeout-or-duplicate»?#

Google envía esta respuesta al sitio cuando el código de aprobación tiene más de dos minutos o ya se comprobó antes. No es un bloqueo. Recarga el formulario, marca la casilla al final y pulsa Enviar una sola vez.

El CAPTCHA no carga y la casilla nunca aparece. ¿Qué hago?#

Pausa tu bloqueador de anuncios en el sitio, permite JavaScript y prueba una ventana privada y, después, otra red. Si la casilla funciona en otros sitios pero no en este, lo más probable es que la causa esté en la configuración del sitio.

¿Por qué basta un clic en «No soy un robot»?#

El clic no es toda la prueba. Antes y durante el clic, la casilla lee señales de tu navegador y de tu conexión. Cuando nada parece raro, te deja pasar; cuando algo lo parece, abre una tarea de imágenes o de audio.

En resumen#

CAPTCHA es una prueba breve que separa a las personas de los programas en los formularios de un sitio. Las causas habituales de fallo son un código de aprobación que caducó o se envió dos veces, una extensión que bloqueó la casilla o una dirección compartida que bajó la puntuación. Recarga, marca la casilla al final, envía una vez y pausa tu bloqueador; si la casilla dice «ERROR for site owner», avisa al sitio. Si tu empresa trabaja con direcciones IP, nuestra página de servicios de proxy explica los tipos de dirección.