¿Por qué algunas páginas creen que eres un robot?

Desde su lado de la pantalla no ha ocurrido nada extraño. Para el sistema que protege la página, en cambio, varias señales se parecen a las que dejaría un programa automatizado.

Estos controles no identifican con certeza quién está delante del ordenador. Calculan el riesgo de cada conexión utilizando la dirección IP, el ritmo de las solicitudes, las características del navegador y otras señales técnicas. Cuando la puntuación supera cierto umbral, aparece el CAPTCHA o se bloquea temporalmente el acceso.

La web analiza la conexión antes que a la persona

Los bots sirven para muchas tareas legítimas, como indexar páginas o comprobar si un servicio continúa disponible. Otros se utilizan para crear cuentas falsas, publicar spam, probar contraseñas robadas, reservar entradas en masa o extraer información de una web.

Un sistema de protección debe permitir el tráfico útil y frenar el abusivo. La gestión moderna de bots combina, entre otros elementos, reputación de direcciones IP, análisis de comportamiento, límites de frecuencia y pruebas ejecutadas mediante JavaScript. El CAPTCHA suele aparecer cuando esas señales no permiten tomar una decisión clara.

La velocidad es una pista bastante evidente. Una persona abre una página, lee y pulsa algún enlace. Un programa puede solicitar cientos de recursos siguiendo un patrón regular. El problema es que una conducta humana también puede parecer automatizada: abrir muchas pestañas, actualizar constantemente una página de entradas o utilizar una extensión que consulta precios en segundo plano.

Incluso copiar varias búsquedas rápidamente puede activar una limitación temporal. La web no sabe que el usuario está preparando una lista para sus compañeros. Solo recibe una sucesión de peticiones procedentes de la misma conexión.

Una dirección IP puede representar a muchas personas

La dirección IP pública tampoco equivale necesariamente a un usuario. En una oficina, una academia o una vivienda, numerosos dispositivos pueden salir a internet mediante el mismo router. Los operadores móviles y algunos proveedores de fibra agrupan todavía más conexiones para administrar la escasez de direcciones IPv4.

Las mediciones del proyecto NATmeter explican cómo la traducción de direcciones permite que varias personas naveguen utilizando una misma IP pública. Para una página web, parte de ese tráfico llega aparentemente desde un único origen.

Esto se nota durante jornadas con mucha actividad. En la oficina de una asociación local, por ejemplo, una persona actualiza la web, otra programa publicaciones y una tercera consulta repetidamente el posicionamiento de varios contenidos. Si alguna herramienta realiza solicitudes automáticas, el buscador podría empezar a presentar CAPTCHAs en todos los ordenadores conectados a esa red.

Ninguno de los demás usuarios ha hecho nada indebido. Comparten la señal técnica que ha despertado la sospecha.

Algo parecido sucede en hoteles, campus, estaciones y redes empresariales. También ocurre con ciertos servicios VPN: cientos de clientes pueden utilizar simultáneamente una de sus direcciones de salida. Si una parte de ellos genera tráfico abusivo, los demás heredan temporalmente la mala reputación de esa IP.

El navegador también deja señales

La conexión no es el único factor. Los sistemas modernos observan si el navegador ejecuta JavaScript correctamente, admite cookies, carga los recursos habituales y se comporta de forma coherente durante la sesión.

Las cookies técnicas pueden identificar una sesión, conservar un carrito o intervenir en el control del fraude. La explicación oficial sobre cookies de ObservaCIBER recoge precisamente funciones como gestionar el tráfico, reconocer sesiones y utilizar elementos de seguridad durante la navegación.

Bloquear todas las cookies, cambiar constantemente de agente de usuario o utilizar extensiones muy agresivas puede eliminar parte de ese contexto. Cada visita empieza entonces a parecer nueva. Un modo privado tampoco garantiza que desaparezca el problema, porque la dirección IP continúa siendo visible y algunas señales del navegador siguen presentes.

Conviene revisar especialmente las extensiones que actualizan páginas, comparan precios, recopilan resultados de búsqueda o automatizan formularios. No tienen que ser maliciosas para producir un patrón que una web interprete como actividad automática.

Una prueba que separa el navegador de la red

Cambiar opciones al azar suele empeorar el diagnóstico. Si se borran las cookies, se reinicia el router, se cambia de navegador y se activa una VPN al mismo tiempo, será imposible saber qué modificación resolvió el problema.

Un comercio que empieza a recibir CAPTCHAs en su ordenador puede realizar una comprobación más ordenada. Supongamos que la web funciona desde el teléfono con datos móviles, pero presenta la prueba constantemente desde el portátil conectado a la fibra del local. Esta diferencia ya apunta hacia la red, aunque todavía no demuestra la causa.

La prueba puede hacerse así:

1. Detener las solicitudes durante unos minutos. Hay que cerrar pestañas duplicadas y desactivar cualquier actualización automática. Repetir el CAPTCHA veinte veces seguidas solo añade más tráfico.

2. Abrir una única ventana normal. Se conserva inicialmente la sesión existente para evitar cambiar demasiadas variables.

3. Revisar JavaScript y las extensiones. Si JavaScript está desactivado, se habilita únicamente para esa página. Después se prueba sin extensiones de automatización, bloqueo agresivo o comparación de precios.

4. Usar la misma página desde los datos móviles. El portátil puede conectarse temporalmente al punto de acceso del teléfono. Deben mantenerse el mismo navegador, la misma dirección web y la misma cuenta.

5. Volver a la red original y cambiar solo la IP de salida. Para que la prueba sea consistente, conviene escoger una VPN bien probada, conectarse a un servidor cercano en España y cargar la página una sola vez. Durante esta comprobación no hace falta completar una compra ni introducir datos bancarios.

6. Anotar el resultado. Interesan la hora, la red utilizada y si el CAPTCHA apareció, desapareció o se volvió más insistente.

Si la página funciona tanto con datos móviles como mediante el servidor VPN, pero falla con la conexión normal del establecimiento, la reputación de la IP original se convierte en la explicación más probable. El responsable de la red podrá comprobar si algún dispositivo está enviando solicitudes automatizadas.

Un resultado distinto cuenta otra historia. Si funciona con datos móviles, pero el CAPTCHA aumenta al activar la VPN, esa dirección de salida también podría estar compartida o marcada. Se prueba un segundo servidor cercano; cambiar de país cinco veces en pocos minutos produciría un patrón todavía menos habitual.

Cuando el fallo continúa en todas las conexiones, pero solo afecta a un navegador, toca revisar sus extensiones, configuración y perfil. Si aparece en varios dispositivos únicamente después de iniciar sesión con la misma cuenta, la limitación podría estar asociada al servicio o al propio usuario, no a la IP.

El aviso también puede señalar un problema real

La mayoría de los CAPTCHAs repetidos se explican por redes compartidas, configuraciones del navegador o sistemas demasiado sensibles. Aun así, no conviene descartar que un dispositivo esté generando tráfico sin que su propietario lo sepa.

La ayuda oficial de Google menciona varias causas de su aviso de tráfico inusual: malware, programas automatizados, herramientas que consultan posiciones en el buscador y actividad procedente de otros usuarios de la misma red o VPN. También recomienda verificar que el navegador sea compatible con reCAPTCHA y tenga JavaScript habilitado.

Si el problema afecta a todos los equipos de una oficina, el administrador debería revisar primero las herramientas instaladas recientemente, los registros del router y los dispositivos conectados. Un ordenador olvidado en un almacén, una extensión antigua o un programa de seguimiento comercial pueden continuar enviando peticiones durante horas.

En una red doméstica, merece la pena comprobar teléfonos, televisores, cámaras y otros dispositivos conectados. Reiniciar el router podría proporcionar otra IP en determinadas conexiones, pero no elimina el programa que originó el tráfico. Si el aviso regresa, habrá que investigar el dispositivo en lugar de seguir cambiando de dirección.

Un CAPTCHA aislado apenas requiere más que resolverlo. Cuando aparece continuamente, hay información útil en el patrón: en qué red sucede, qué navegador lo provoca y qué cambia al utilizar otra salida. Esos datos permiten explicar el problema al proveedor de internet, al administrador de la red o al soporte de la página sin limitarse a decir que “internet cree que soy un robot”.