O que é o hCaptcha?
O hCaptcha é um serviço comercial de CAPTCHA e mitigação de bots operado pela Intuition Machines, Inc. (IMI). Lançado publicamente em 2017, foi projetado como substituto direto do reCAPTCHA, abordando duas preocupações distintas: a privacidade do usuário, ao não depender do ecossistema de rastreamento do Google, e a sustentabilidade comercial, ao remunerar os operadores de sites com uma fatia da receita gerada quando os dados rotulados por humanos são vendidos a clientes que treinam modelos de IA.
Mecanismo técnico
O hCaptcha opera em duas camadas. A camada passiva é executada silenciosamente em segundo plano e coleta sinais de interação — movimento do ponteiro, comportamento de rolagem, padrões de tempo, atributos de fingerprint do dispositivo e características de rede — para montar uma pontuação de risco antes que qualquer desafio apareça. Para sessões que falham no limiar passivo, a camada de desafio ativo apresenta uma de várias tarefas de classificação de imagens: selecionar todas as imagens que contêm uma determinada classe de objeto, identificar caixas delimitadoras (bounding boxes) ou resolver desafios de transcrição.
O widget é incorporado por meio de um include JavaScript a partir de js.hcaptcha.com/1/api.js. Após a conclusão bem-sucedida, um token de resposta é gerado no lado do cliente e deve ser validado no servidor enviando-o, junto com a chave secreta do site, para https://api.hcaptcha.com/siteverify. A resposta de verificação inclui um booleano de sucesso e uma pontuação opcional no plano Enterprise.
O hCaptcha Enterprise adiciona um modo totalmente invisível, análogo ao reCAPTCHA v3, retornando pontuações de risco contínuas sem exibir um desafio para usuários de baixo risco.
Quando o hCaptcha é usado?
Plataformas de concursos e operadores de sweepstakes costumam adotar o hCaptcha como alternativa de conformidade em privacidade ao reCAPTCHA do Google, especialmente quando seu público está em jurisdições com requisitos rigorosos de residência de dados. O hCaptcha é notadamente usado pela Cloudflare (como provedor padrão da página de desafio), Discord, Epic Games e diversas plataformas de e-commerce. Ele aparece em formulários de envio de votos, páginas de criação de contas e endpoints de login.
Como os votos interagem com o hCaptcha
Quando um usuário envia um voto em uma plataforma protegida por hCaptcha, o widget realiza uma avaliação de risco em tempo real e, se necessário, apresenta um desafio. O token resultante é enviado junto com os dados do voto. O servidor do concurso chama a API de verificação do hCaptcha para confirmar a validade e a recência do token antes de registrar o voto. Os tokens são de uso único e expiram rapidamente, impedindo ataques de replay nos quais um token válido capturado em uma sessão é reutilizado para enviar múltiplos votos.
Ferramentas automatizadas de envio de votos que tentam burlar o hCaptcha precisam resolver os desafios de imagem programaticamente — o que a rotação de desafios e o aumento adversarial de imagens do hCaptcha foram especificamente projetados para derrotar — ou obter tokens por meio de serviços terceirizados de mão de obra solucionadora de CAPTCHA, somando latência e custo por voto.
Especificidades do fornecedor Intuition Machines
A Intuition Machines diferencia o hCaptcha dos concorrentes ao enfatizar sua postura de conformidade com GDPR, CCPA e LGPD. O hCaptcha não constrói perfis publicitários de usuários e armazena o mínimo de informações pessoalmente identificáveis. O serviço oferece uma opção de Acessibilidade que permite aos usuários incapazes de concluir desafios visuais receberem um link mágico por e-mail. Os proprietários de sites gerenciam sua integração pelo painel do hCaptcha em dashboard.hcaptcha.com, onde configuram a dificuldade dos desafios, selecionam o modo passivo ou ativo e analisam dados de tráfego de bots.
Usos legítimos
Além da prevenção de abusos em concursos, o hCaptcha é usado em portais de governo eletrônico que exigem conformidade com GDPR, páginas de login de serviços financeiros, endpoints de API expostos à internet pública e qualquer aplicação em que depender da infraestrutura do Google seja indesejável. Suas tarefas de rotulagem de imagens geram simultaneamente dados de treinamento para modelos de visão computacional, criando uma utilidade de propósito duplo.
Aspecto de prevenção de fraudes
A rotação de desafios do hCaptcha — extraindo de um grande conjunto de tarefas de classificação de imagens em vez de um conjunto fixo — dificulta que serviços automatizados de resolução pré-armazenem respostas em cache. Combinado com a biometria comportamental coletada durante a fase passiva, isso cria uma defesa em camadas. Para operadores de concursos, o painel de análise do hCaptcha fornece visibilidade sobre o volume de tentativas de bot bloqueadas por endpoint, permitindo que os operadores quantifiquem em tempo quase real a escala da fraude automatizada de votos que está sendo evitada.
