Añadido
- Un captcha moderno, activo desde la instalación: ALTCHA. Lo aloja el propio sitio — sin cuenta, sin clave, sin cookie, sin servicio de terceros. El visitante ve una casilla que se marca sola mientras rellena el formulario: su navegador hace un pequeño cálculo, que el servidor comprueba. Protege el formulario de contacto, el registro y el reclutamiento. Al actualizar, un sitio sin claves de reCAPTCHA pasa a ALTCHA; un sitio que las tenía conserva reCAPTCHA. ALTCHA encarece el envío masivo para un robot; frente a un atacante decidido, los proveedores siguientes, que añaden sus propias comprobaciones, son más sólidos.
- Como alternativa, Cloudflare Turnstile, hCaptcha o Google reCAPTCHA v2, en Ajustes → Seguridad antibots, con el enlace a la consola de cada uno. La clave secreta se cifra y nunca vuelve a mostrarse. Sin sus dos claves, un proveedor se sustituye por ALTCHA en lugar de dejar el formulario abierto.
- El captcha y sus mensajes existen en los seis idiomas.
Corregido
- reCAPTCHA: la clave secreta se enviaba en la URL de verificación; ahora se envía en el cuerpo de la petición, como exige Google. El enlace obsoleto a su consola se sustituye, y la dirección del visitante que se transmite sigue la regla que usa el resto del sitio, que tiene en cuenta un proxy declarado de confianza.
- Cuando no se ha completado la comprobación antibots, el mensaje se escribe completo bajo el captcha, en lugar de un icono solitario cuya burbuja no aparece en una pantalla táctil.
Seguridad
- Superar el captcha una vez ya no dispensa de volver a superarlo. Desde el NeoFrag original, un captcha superado dispensaba de volver a superarlo en todos los envíos siguientes del mismo formulario, hasta el final de la sesión: un robot que resolvía un solo desafío podía luego enviar sin límite. La dispensa solo vale ya para un único reenvío, tras otro error en el formulario.
- Una solución de ALTCHA solo se puede usar una vez: presentarla de nuevo se rechaza.
- La política de seguridad de las páginas ya no permite Google por defecto: solo las direcciones del proveedor de captcha elegido, y ninguna con ALTCHA.