Cloudflare “Verifying you are human”: como resolver

Você quer entrar em um site e, no lugar da página, aparece uma tela simples com o texto “Verifying you are human” no meio. Embaixo há uma caixinha de seleção ou um círculo girando e, ao lado, a frase “This may take a few seconds”. Na maioria das vezes leva mesmo alguns segundos e o site abre. Às vezes o círculo não para nunca: a página recarrega, a mesma tela volta e você marca a mesma caixinha pela quinta vez. Isso pode acontecer em um site de anúncios, em uma rede social, em uma página de chat com inteligência artificial ou no site do seu banco.

Neste artigo explicamos o que é essa tela, qual processo roda por trás dela e em que situações a verificação não se completa. Depois mostramos, um a um, os passos a dar no computador, no celular e nos navegadores que ficam dentro dos aplicativos. Também vemos como saber se o problema está no seu lado ou no site. Não há código aqui e nenhum passo exige conhecimento técnico.

O que significa “Verifying you are human”?#

Quem mostra essa tela não é a empresa que hospeda o site, e sim o Cloudflare, que fica na frente dele. O Cloudflare faz o tráfego de um grande número de sites passar pela própria rede. Em vez de deixar todas as solicitações entrarem direto, o dono do site pode escolher passar uma parte delas por uma checagem antes. A tela que você vê é essa checagem.

O que aparece aqui não é um quebra-cabeça clássico. O Cloudflare não pede para digitar letras tortas nem manda “selecionar os quadrados com semáforos”. Em vez disso, ele examina o próprio navegador e deixa a maioria dos visitantes passar sem pedir nada. No máximo você precisa marcar uma caixinha.

O idioma da tela também não depende do site. A página de verificação olha a configuração de idioma do navegador e mostra o texto de acordo com ela. O mesmo site diz “Verifying you are human” em um navegador em inglês e mostra a frase equivalente em um navegador configurado em outro idioma.

Não confunda essa tela com três parentes próximos. A página de título vermelho “Sorry, you have been blocked” não é uma verificação, e sim uma recusa direta, e contamos os motivos dela em Sorry, you have been blocked. O Error 1015, que diz “You are being rate limited”, aparece quando solicitações demais são enviadas em pouco tempo, e tratamos disso em O que é Error 1015?. Já o aviso de “tráfego incomum” do Google não tem relação com o Cloudflare: é a checagem do próprio Google e é o assunto de Tráfego incomum no Google.

O que acontece por trás da tela de verificação?#

A tela não fica parada. Enquanto você espera, estes passos acontecem:

1. A sua solicitação fica retida. Antes de repassar a solicitação ao site, o Cloudflare entra no meio e devolve uma tela de verificação em página inteira. Nenhum conteúdo do site chega ao navegador nessa etapa.
2. Um script pequeno roda. A tela de verificação roda um pedaço de JavaScript no seu navegador. Esse script recolhe sinais sobre o ambiente do navegador: como ele se identifica, se as propriedades de tela e de gráficos são coerentes e coisas assim.
3. O resultado vai para o endereço de verificação. O resultado recolhido é enviado para challenges.cloudflare.com. O fato de a verificação correr por um endereço separado é a origem de muitos problemas que você verá adiante neste artigo.
4. Uma decisão é tomada. Se os sinais estiverem limpos, a tela passa para “Success”. Se houver dúvida, é pedido que você marque uma caixinha. Esse clique serve menos para a verificação em si e mais para ver como o navegador se comporta naquele momento.
5. Um cookie de liberação é gravado. Ao passar pela verificação, fica no navegador um cookie chamado cf_clearance e a solicitação original segue para o site. A página finalmente abre.

Cada elo dessa corrente depende do anterior. Se o script não roda, não há resultado; se o resultado não pode ser enviado, não há decisão; se o cookie não pode ser gravado, na página seguinte tudo recomeça do zero.

Quantos tipos de verificação existem?#

O dono do site escolhe qual checagem vai rodar. O tipo de tela que você vê depende dessa escolha.

Turnstile é o nome da caixinha colocada dentro da página. Ela usa a mesma infraestrutura da tela de verificação em página inteira, por isso as duas travam pelos mesmos motivos. Se a camada mais nova do Cloudflare, aquela que observa o comportamento ao longo da sessão, desperta a sua curiosidade, O que é o Cloudflare Precursor? trata desse lado.

Passei na verificação, por que ela pergunta de novo?#

O cookie cf_clearance gravado quando você passa é a prova de que a checagem foi vencida. Enquanto você navega pelo site, o Cloudflare olha primeiro para esse cookie; se ele estiver válido, nenhuma verificação nova aparece.

A duração do cookie é definida pelo dono do site. Segundo a documentação do Cloudflare sobre a duração da liberação, o padrão é de 30 minutos e a faixa recomendada vai de 15 a 45 minutos. Ou seja, ver a verificação de novo meia hora depois no mesmo site é normal, não é defeito.

O mesmo documento traz um detalhe interessante: ao avaliar o cookie, o Cloudflare deixa alguns minutos de folga para compensar o desvio do relógio. Essa folga é para desvios pequenos. Se o relógio do seu aparelho estiver horas ou dias fora, o cookie pode ser considerado vencido desde o começo e a verificação pode ser pedida em cada página. Daí dá para entender por que o ajuste do relógio é um passo separado neste artigo.

Também importa que o cookie esteja preso ao aparelho em que foi gravado. O mesmo cookie não pode ser levado para outra máquina e usado lá. Por isso as receitas de “copiar e colar o cookie” que circulam pela internet não funcionam.

Por que a tela entra em loop?#

Na própria página sobre problemas para resolver a verificação, o Cloudflare lista as principais causas do loop: conexão de rede instável, configurações ou extensões do navegador que bloqueiam o script, navegador sem suporte, JavaScript desligado e erros de detecção. A mesma página recomenda, antes de tentar qualquer solução, conferir a compatibilidade do navegador, desativar as extensões, ligar o JavaScript, testar uma janela anônima, trocar de navegador ou de aparelho, desligar VPNs e proxies por um tempo e conectar-se a outra rede.

A tabela abaixo mostra onde olhar de acordo com o sintoma.

Tente primeiro estas três coisas#

Antes da lista longa, três checagens rápidas funcionam para a maioria das pessoas:

1. Recarregue a página uma vez e espere. Não recarregue sem parar. Cada recarga é uma solicitação nova e não conserta a situação.
2. Abra em uma janela anônima. Na janela anônima do navegador as extensões costumam ficar desativadas. Se o site abrir ali, o problema vem de uma extensão.
3. Desligue a VPN se ela estiver ligada. Se houver um aplicativo de VPN ou uma extensão no navegador, desligue e abra a página de novo.

Se essas três não resolverem, siga os passos abaixo na ordem.

Solução passo a passo no computador#

1. Acerte o relógio e o fuso horário do aparelho#

Um relógio errado é o inimigo mais silencioso da verificação. Conexões criptografadas e cookies de liberação se apoiam em marcas de tempo; se o relógio está fora, tudo parece velho no instante em que é gravado.

No Windows, vá em Iniciar > Configurações > Hora e idioma > Data e hora e confirme que Definir hora automaticamente e Definir fuso horário automaticamente estão ativados. Os detalhes estão na página da Microsoft sobre configurações de hora, data e fuso horário no Windows. No celular basta procurar “data e hora” no aplicativo de ajustes e ligar o ajuste automático.

O relógio também sai do lugar sozinho: um computador de mesa com a bateria acabada, um notebook que ficou muito tempo desligado ou um celular cujo fuso ficou no manual depois de uma viagem dão o mesmo sintoma.

2. Permita os cookies#

Se o cookie de liberação não puder ser gravado, a verificação é pedida em cada página. Configurações de privacidade rígidas e opções que apagam os cookies a cada fechamento levam exatamente a isso.

No Chrome, abra o menu de três pontos no canto superior direito e vá em Configurações > Privacidade e segurança > Cookies de terceiros. Se estiver marcada uma opção que bloqueia os cookies por completo, mude-a ou adicione o site problemático à lista de exceções. Para criar uma exceção para o domínio inteiro, coloque [*.] antes do endereço. Os passos ilustrados estão na página do Google sobre gerenciar cookies no Chrome.

No iPhone, vá em Ajustes > Apps > Safari > Avançado e desative Bloquear Todos os Cookies. A página da Apple ative os cookies no iPhone mostra o mesmo caminho. Se você usa o Firefox e deixou a proteção contra rastreamento no nível “Rígido”, crie uma exceção para o site problemático.

Se o seu navegador apaga os cookies automaticamente ao fechar, pense em desligar essa opção. Um navegador limpo parece organizado, mas obriga você a ser verificado do zero a cada visita.

3. Confirme que o JavaScript está ligado#

A verificação funciona inteiramente com JavaScript. Se ele estiver desligado, a tela ou não aparece ou nunca avança.

No Chrome, abra Configurações > Privacidade e segurança > Configurações do site, procure a linha do JavaScript e confira se ele está permitido. Se quiser mudar a configuração para um site específico, use o ícone à esquerda da barra de endereço e entre nas configurações daquele site. Os dois caminhos estão descritos na página do Google sobre permissões e configurações do site. Em computadores corporativos o administrador às vezes trava essa configuração; nesse caso será preciso falar com a equipe de TI.

4. Desative as extensões uma a uma#

Bloqueadores de anúncios, bloqueadores de script e proteções contra impressão digital podem bloquear as peças de que a verificação precisa. O Cloudflare diz com todas as letras que extensões que alteram o valor do user agent do navegador ou APIs web como Canvas e WebGL estragam a checagem.

• Desative todas as extensões por um tempo e recarregue a página.
• Se o site abrir, ligue as extensões de novo uma a uma até achar a culpada.
• Não é preciso apagar a extensão problemática; quase todas podem ser desativadas para um único site.

As extensões que mudam a identidade do navegador lideram essa lista. Se o motivo desperta a sua curiosidade, O que é User-Agent? e O que é fingerprint do navegador? explicam o assunto.

5. Atualize o navegador#

O Cloudflare informa que navegadores e sistemas operacionais com mais de cinco anos, ou que estão há mais de dois sem atualização de segurança, podem dar problema na verificação, e que o Internet Explorer não tem suporte nenhum. Entre na seção “Sobre” do menu do navegador e rode a atualização. Motores de navegador muito modificados ou embutidos caem no mesmo limite.

6. Verifique o antivírus e o filtro de DNS#

O resultado da verificação precisa chegar a challenges.cloudflare.com. Se esse endereço estiver bloqueado, a tela não consegue terminar. Três causas são comuns: o filtro de conteúdo das redes corporativas, os pacotes de controle dos pais e o módulo de proteção web do antivírus instalado no computador.

• Desligue o módulo de proteção web do antivírus por alguns minutos e teste.
• Se houver um servidor DNS próprio configurado no roteador ou no aparelho, volte ao padrão por um tempo.
• Se você está na rede do trabalho e a mesma tela aparece para todo mundo, informe esse endereço à equipe de TI.

Algumas pessoas veem o aviso “Please unblock challenges.cloudflare.com to proceed” direto na tela. Quando essa frase aparece, a causa está dita: o endereço de verificação não é alcançado.

7. Teste outra rede#

Esse é o jeito mais rápido de descobrir se o problema está no aparelho ou na rede. Ligue o roteamento do celular e conecte o computador nele, ou desligue o Wi-Fi do celular e teste pelos dados móveis. Se o site abrir na outra rede, a questão está no endereço pelo qual a primeira rede sai.

As redes compartilhadas levam desvantagem aqui. Em alojamentos, cafés e escritórios, centenas de pessoas saem por um único endereço. A sua operadora também pode estar juntando muitos assinantes atrás de um endereço; esse mecanismo contamos em O que é CGNAT. Se quiser tentar trocar de endereço, os caminhos estão em Como mudar o endereço IP.

Se você usa VPN, desligue e teste. Os endereços tirados de listas gratuitas de VPN e proxy são os que mais disparam a verificação; o motivo tratamos em Proxies gratuitos são seguros? e VPN ou proxy detectado. Se a diferença entre os dois não estiver clara, Diferença entre proxy e VPN é um bom começo.

No celular e no navegador dentro dos aplicativos#

A verificação trava com mais frequência nas janelinhas de navegador que ficam dentro dos aplicativos. Quando você toca em um link no Instagram, no X ou em um aplicativo de e-mail, a página não abre no navegador completo, e sim na janela do próprio aplicativo. Nessas janelas os recursos de JavaScript podem estar limitados, o suporte a cookies e armazenamento pode faltar e o acesso ao endereço de verificação pode estar bloqueado.

A saída é simples: use Abrir no navegador no menu do canto superior direito da página ou copie o link e cole no Chrome ou no Safari. Ali a verificação costuma passar na primeira tentativa.

No celular, confira também o seguinte:

1. Atualize o aplicativo do navegador pela loja.
2. Limpe os dados de sites do navegador e abra a página de novo.
3. Confirme que o relógio do aparelho está no ajuste automático.
4. Alterne entre Wi-Fi e dados móveis.
5. Se houver um aplicativo de VPN no celular ou um proxy configurado nos ajustes de Wi-Fi, desligue.

O problema é meu ou do site?#

Às vezes você não fez nada de errado. Quando há uma queda do lado do Cloudflare, a verificação trava em muitos sites ao mesmo tempo e as redes sociais se enchem de mensagens dizendo que “a internet caiu”.

Para distinguir, bastam três checagens:

1. Abra outro site que use Cloudflare. Se todos travarem, o problema provavelmente não é seu.
2. Olhe a página de status. O Cloudflare publica o estado dos próprios serviços em cloudflarestatus.com. Se houver um incidente em andamento, a única coisa a fazer é esperar.
3. Teste em outro aparelho. Se um segundo aparelho na mesma rede abrir o site, a questão está no navegador do primeiro.

Se o problema continuar em um único site e esse site for importante para você, escreva pela página de contato dele. Se incluir na mensagem o Ray ID que fica no canto inferior da tela, quem administra o site consegue achar o registro no painel. O que é um Ray ID contamos em Sorry, you have been blocked.

Erros comuns#

• Recarregar a tela sem parar. Cada recarga é uma solicitação nova e não diminui a desconfiança.
• Instalar extensões que dizem passar pela verificação. Como essas extensões mudam a identidade do navegador, o normal é que estraguem a checagem em vez de vencê-la.
• Procurar um serviço que resolva CAPTCHA. A tela que você vê nem é um quebra-cabeça. Esses serviços não resolvem o seu problema e acrescentam uma camada que pede acesso ao seu navegador e aos seus dados.
• Restaurar o computador ou reinstalar o sistema operacional. O problema quase nunca está aí.
• Testar endereços de listas de proxy gratuitas. Esses endereços já são considerados suspeitos na maioria dos sites e fazem a tela aparecer com mais frequência.
• Pular o ajuste do relógio. É a checagem mais rápida da lista e a mais esquecida.
• Insistir no navegador de dentro do aplicativo. Abrir o link no navegador de verdade encerra a maioria dos casos em um passo.

Guia de decisão#

Para donos de sites e empresas#

Essa tela tem um segundo leitor: quem tem um site cujos visitantes ficam travados. Aqui o custo do falso positivo sai direto do carrinho, porque o cliente que trava na verificação não volta.

Há três lugares para olhar no painel. O primeiro é a regra em si: revise a qual tráfego você mostra a verificação, porque uma regra ampla pode abranger os assinantes de uma operadora inteira. O segundo é o tipo de verificação: o Cloudflare recomenda usar a verificação gerenciada enquanto não houver problema de compatibilidade, em vez de mudar para o tipo interativo. O terceiro é a duração da liberação: se 30 minutos parecerem pouco, dá para ajustar dentro da faixa recomendada de 15 a 45 minutos. Se a verificação for rodar dentro do navegador do seu aplicativo móvel, é preciso habilitar JavaScript, cookies e armazenamento e não bloquear o acesso ao endereço de verificação.

Para equipes que rodam automação legítima o limite é claro: o Cloudflare não dá suporte a ferramentas de automação de navegador para resolver verificações em produção e oferece chaves de teste separadas para os seus próprios testes. O caminho certo não é contornar a camada de proteção, e sim declarar o seu tráfego de monitoramento no seu próprio painel. A lógica geral desse limite desenhamos em Como funciona a detecção de bots.

No nível do mecanismo há mais um ponto. De qual rede vem uma solicitação influencia como ela é tratada: endereços registrados em blocos de data center e endereços que um provedor de internet entrega aos assinantes são avaliados de forma diferente. Por isso equipes que conferem o próprio site a partir de vários países, verificam como os anúncios aparecem ou fazem testes de localização prestam atenção ao tipo de endereço de saída. O Proxies ISP entrega endereços registrados em um provedor e que ficam fixos por muito tempo, enquanto o Proxies residenciais sai por endereços de conexões domésticas reais. Dá para comparar as opções na página de serviços de proxy. Nada disso é um jeito de burlar a verificação; a questão é reduzir interrupção desnecessária em trabalhos permitidos. Como a sua conexão aparece dá para checar com Seu proxy está funcionando?, e se o navegador vaza o seu endereço real, com Vazamentos de WebRTC e DNS.

Perguntas frequentes#

Essa tela é sinal de vírus ou de invasão?#

Não. A tela de verificação é um passo de checagem colocado na frente do site e não indica que há algo errado no seu aparelho. Vê-la com frequência significa que a sua conexão ou as configurações do navegador dificultam a checagem, não que o computador esteja infectado.

Por que a verificação às vezes não aparece e às vezes aparece em cada página?#

Ao passar pela verificação, um cookie de liberação é gravado no navegador e, enquanto ele for válido, nenhuma verificação nova aparece. A duração padrão é de 30 minutos. Se o cookie não puder ser gravado, ou parecer inválido porque o relógio do aparelho está errado, a verificação é pedida de novo em cada página.

Marquei a caixinha, mas a tela voltou. O que faço?#

Esse é o sintoma mais típico de cookie de liberação que não fica. Confira primeiro as configurações de cookies, depois desative as extensões de privacidade e de bloqueio de anúncios e recarregue a página. Se nada mudar, teste uma janela anônima; se abrir ali, a causa é uma extensão.

Por que aparece com mais frequência com a VPN ligada?#

Os endereços de saída das VPNs são usados por muitas pessoas ao mesmo tempo e parte delas gera tráfego automático. Como o endereço não permite distinguir cada pessoa, todo mundo que vem dali é verificado com mais frequência. Usar VPN não é proibido; o endereço compartilhado apenas torna a checagem mais frequente.

Existe alguma extensão ou programa para pular a tela?#

Não recomendamos. As extensões que mudam a identidade do navegador estão entre as primeiras coisas que estragam a verificação, e os serviços que resolvem checagens colocam mais uma parte no meio sem resolver o problema. Os passos deste artigo já miram os pontos em que usuários reais travam.

Como escrevo para quem administra o site?#

Na parte de baixo da tela de verificação há um Ray ID. Ao escrever pela página de contato, informe esse número, a data e a hora, o navegador que você usa e como se conecta à internet. Com essas informações, quem administra o site acha o registro no painel e pode revisar a regra.

Em resumo#

A tela “Verifying you are human” não é castigo nem defeito: é o passo de checagem que fica na frente do site. Por trás dela há um pequeno script rodando no seu navegador, uma solicitação que carrega o resultado desse script e um cookie de liberação gravado quando você passa. Se a tela entra em loop, uma dessas três coisas não se completa. Permita os cookies, desative as extensões de privacidade e de bloqueio de anúncios, deixe o relógio do aparelho no automático, atualize o navegador, confirme que o antivírus não bloqueia o endereço de verificação e teste outra rede. Se travar no navegador de dentro de um aplicativo, abra o link no seu navegador de verdade. Se começou em vários sites ao mesmo tempo, chegou a hora de esperar. Se você lida com telas parecidas, Sorry, you have been blocked e Erro do YouTube “não é um bot” explicam a mesma lógica em outras plataformas.