Reduza CAPTCHA antes de escolher um desafio
CAPTCHA pode excluir pessoas e pode não parar abuso sofisticado. Primeiro veja se dá para reduzir envios automatizados sem impor um teste: limite de taxa por IP/conta, regras contra abuso no servidor, confirmação de email quando apropriada, fila/moderação para comentários e proteção de borda/bot management. Campo-armadilha (“honeypot”) ou sinal comportamental podem ser camadas auxiliares, nunca a única defesa nem justificativa para rejeitar silenciosamente pessoas legítimas.
Para páginas web, o Google Cloud recomenda chaves reCAPTCHA baseadas em pontuação quando é necessário verificar interação sem pedir uma tarefa à pessoa. A pontuação não bloqueia por si só: seu servidor precisa decidir se permite, limita ou pede uma alternativa. Isso exige integração e monitoramento adequados.
Quando o CAPTCHA visual for necessário
O WCAG 1.1.1 requer identificar o propósito do CAPTCHA e oferecer formas alternativas em diferentes modalidades. A própria WAI observa que nenhum desafio funciona para todas as pessoas. Um áudio alternativo, isoladamente, não atende quem não ouve; imagem, leitura, memória e destreza também variam. Se o CAPTCHA integra autenticação, considere ainda o critério WCAG de autenticação acessível e disponibilize uma via sem desafio cognitivo conforme aplicável.
Antes de adotar:
- Escolha fornecedor que documente suporte a teclado, leitor de tela, zoom, idioma, alternativas e privacidade.
- Mostre instrução e propósito perto do controle; associe rótulo, mensagem de erro e estado de carregamento.
- Ofereça outra modalidade e um caminho de ajuda/solicitação de revisão quando o serviço bloquear uma pessoa legítima.
- Não exponha chaves secretas no navegador; valide tokens, ação, origem e prazo no servidor segundo a documentação do provedor.
- Configure limiar e resposta com telemetria e testes, não com bloqueio rígido baseado em uma pontuação isolada.
Roteiro de validação
Teste envio legítimo por teclado e tecnologia assistiva, challenge que falha, expiração, repetição, JavaScript bloqueado quando possível, rede lenta, celular e bloqueio incorreto. Teste também automação de abuso em ambiente controlado, limites e alertas. Confirme que mensagens não revelam dados sensíveis, que o servidor recusa token inválido e que há uma opção de recuperação sem abrir a porta a envio ilimitado.
CAPTCHA não é substituto de validação no servidor, proteção contra abuso, nem garantia de conformidade. Registre taxa de falso positivo, abandonos, chamados de suporte e incidentes para decidir se o desafio continua necessário.
Fontes
- W3C WAI: critério 1.1.1 e CAPTCHA.
- W3C WAI: evitar CAPTCHA quando possível.
- Google Cloud: escolher tipo de chave reCAPTCHA, consulta em 24/09/2026.