Tres capas de defensa, cuatro superficies, ningún bot gana
La verificación es el núcleo de Caputchin. Las puertas trabajan juntas; las superficies son cómo las enchufas a tu stack. El camino por defecto es el widget más una llamada de verify desde tu backend. Las otras superficies están ahí cuando el camino por defecto no encaja.
Cómo fluye una verificación.
El visitante abre tu página. El widget ejecuta las puertas. Un token firmado cruza hacia tu backend. Tu backend nos pide que lo confirmemos.
- VisitanteAbre tu página
- Widget de CaputchinCarga en tu página
- Anti-trampas de videojuegoCorre en un iframe aislado
- Tu backendRecibe el token envuelto
- /siteverifyCaputchin confirma el token
Cada capa encarece un ataque distinto.
Ninguna capa por sí sola pretende vencer todos los ataques. El punto es la composición: para cuando una petición llega al juego, ya ha pagado el impuesto de cada puerta que tenía delante. Mapa honesto abajo.
| Patrón de ataque | Proof of work | Instrumentación del navegador | Anti-trampas de videojuego |
|---|---|---|---|
Scripts de curl y fetchScripts HTTP pelados que golpean tu endpoint directamente. | Responde a este ataque | ||
Navegadores headlessPuppeteer, Playwright o Selenium corriendo en segundo plano. | Responde a este ataque | ||
Granjas de bots con navegadores realesInstancias reales de Chrome en servidores alquilados, a veces con humanos conduciéndolas. | Responde a este ataque | Responde a este ataque | |
Solver como servicioGranjas de resolución de pago que toman un reto y devuelven la respuesta, a menudo con mano de obra humana barata. | Responde a este ataque | Responde a este ataque | |
Modelos de IA de fronteraModelos de visión y de agente que leen rejillas de imágenes, resuelven puzzles de OCR y superan los CAPTCHA antiguos en milisegundos. | Responde a este ataque |
- Scripts de curl y fetchScripts HTTP pelados que golpean tu endpoint directamente.Capas que lo responden
- Instrumentación del navegador
- Navegadores headlessPuppeteer, Playwright o Selenium corriendo en segundo plano.Capas que lo responden
- Instrumentación del navegador
- Granjas de bots con navegadores realesInstancias reales de Chrome en servidores alquilados, a veces con humanos conduciéndolas.Capas que lo responden
- Proof of work
- Anti-trampas de videojuego
- Solver como servicioGranjas de resolución de pago que toman un reto y devuelven la respuesta, a menudo con mano de obra humana barata.Capas que lo responden
- Proof of work
- Anti-trampas de videojuego
- Modelos de IA de fronteraModelos de visión y de agente que leen rejillas de imágenes, resuelven puzzles de OCR y superan los CAPTCHA antiguos en milisegundos.Capas que lo responden
- Anti-trampas de videojuego
Más que un juego. Un motor de verificación.
Un juego diminuto y variado que los humanos juegan en segundos y disfrutan. Por debajo, corre el mismo manual anti-trampas que usan los juegos multijugador competitivos para pillar tramposos: nuestros servidores preparan cada ronda antes de que juegues (autoridad del servidor) y la vuelven a simular después (repetición determinista), así que el juego no se puede falsear, solo jugar. Es la capa que ningún otro CAPTCHA tiene, y la razón por la que Caputchin existe.
Configuración autoritativa en el servidor
- Un ticket firmado de un solo uso (ventana de 30 minutos) acuña la ronda. Gástalo una vez y ya no se puede repetir.
- El juego y su semilla aleatoria se eligen en nuestros servidores, nunca en el navegador, así que nada del lado del cliente puede escoger un blanco más fácil.
- Un juego distinto del pool cada vez. Un solver nunca sabe cuál le tocará, así que no puede preentrenarse.
El mismo modelo que un servidor de juego competitivo: el cliente envía solo entradas, nunca el veredicto.
Repetición determinista
- Tus entradas exactas se repiten en nuestros servidores con la misma semilla, dentro de un aislado sellado sin red y con un presupuesto de tiempo estricto.
- El pasa o no pasa lo recalcula esa repetición, nunca se toma del navegador.
- El código de cada juego se comprueba por hash antes de correr, así que el artefacto no se puede cambiar por debajo de ti.
Construida sobre el mismo determinismo del que depende el multijugador en lockstep: la ronda se vuelve a simular desde la semilla para confirmar que de verdad se jugó.
Aislado en tu página
Un iframe aislado sin red y sin alcance a tus cookies, tu almacenamiento o tu DOM.
Variedad de juegos
Sitios distintos reciben juegos distintos, y el catálogo no para de crecer.
Repetición sellada
La repetición corre sin red y con un presupuesto de CPU estricto. Nada entra ni sale.
Código a prueba de manipulación
Cada artefacto de juego se verifica por hash antes de que corra un solo fotograma.
Sin perfilado
No vigilamos tu ratón ni tu timing. En su lugar, volvemos a correr la ronda.
Dos puertas más, apiladas al lado
El anti-trampas de videojuego nunca trabaja solo. Una puerta de proof of work y la instrumentación del navegador corren con él, cada una encareciendo un patrón de ataque distinto. Compuestas en serie, cada capa que el atacante alcanza ya ha pagado un impuesto.
Superficies de integración
Cuatro formas de poner la verificación delante de un visitante. Elige la que encaje con la forma de tu código, tu stack o tu equipo.
Lanza la verificación en una sola clave de sitio. Gratis.
Regístrate, acuña una clave de sitio, suelta el widget en un formulario. Mejora más tarde cuando necesites una función de un nivel superior.
Empezar gratis