La verificación humana pide a los visitantes de un formulario público que demuestren que no son un robot: una casilla, o un control invisible puntuado por el proveedor. Se suma a las protecciones que ya tiene Portail ZAPP (campo oculto, tiempo de relleno, límites de frecuencia, bloqueo de cuentas), que siguen activas en todos los casos.
La pantalla Verificación humana (menú Administración › Usuarios y accesos › Autenticación › Verificación humana) está reservada a los Administradores.
Elegir un proveedor
| Proveedor | Particularidades |
|---|---|
| Ninguno | Sin desafío ni llamadas al exterior. Es el ajuste de las instancias sin acceso a Internet. |
| Cloudflare Turnstile | Gratuito, discreto, sin cuenta de Google. |
| hCaptcha | Desafío visual, orientado a la privacidad. |
| Google reCAPTCHA v2 | Casilla «No soy un robot». |
| Google reCAPTCHA v3 | Invisible: cada envío recibe una puntuación entre 0 y 1 y se rechaza por debajo de la puntuación mínima que fijes (0,5 por defecto). |
Crea primero un sitio en el proveedor elegido: te entrega una clave del sitio (pública) y una clave secreta. Escribe las dos aquí. La clave secreta nunca se vuelve a mostrar: la pantalla solo indica que está establecida; deja el campo vacío para conservarla, marca Borrar para eliminarla.
Elegir los formularios protegidos
Cada familia de formularios se activa por separado:
- Registro: registro libre y reenvío del mensaje de verificación;
- Contraseña olvidada;
- Inicio de sesión: el desafío solo aparece tras varios fallos, desde la misma dirección IP o en la misma cuenta. Fija el número de fallos (3 por defecto) y la ventana de recuento (15 minutos);
- Formularios de invitados: comentario de un invitado en un ticket o solicitud, pedidos del catálogo sin cuenta;
- Encuestas de satisfacción: respuesta a una encuesta recibida por correo.
El registro y la contraseña olvidada quedan protegidos en cuanto se elige un proveedor; las demás familias las activas tú.
Si el proveedor no responde
Para cada familia, decide qué ocurre cuando el proveedor es inalcanzable (caída, tiempo agotado) o rechaza tus claves:
- Rechazar (por defecto para el registro, la contraseña olvidada, los formularios de invitados y las encuestas): el envío se rechaza mientras el proveedor no responda;
- Dejar pasar (por defecto para el inicio de sesión): el envío continúa; solo el bloqueo de cuentas y los límites de frecuencia protegen entonces el formulario. No bloquees nunca el inicio de sesión por una caída externa: nadie podría identificarse, tú tampoco.
Conviene saber
- Privacidad: el proveedor recibe la dirección IP y datos de navegación de cada visitante del formulario. Menciónalo en tu política de privacidad. Para reCAPTCHA suele exigirse consentimiento previo en Europa; Turnstile y hCaptcha son más fáciles de justificar.
- Instancia sin Internet: mantén Ninguno.
- API: las llamadas de API públicas (inicio de sesión, registro, contraseña olvidada) no tienen widget; conservan sus límites de frecuencia. Un cliente de API puede adjuntar un token obtenido del proveedor. Los inicios de sesión fallidos por API cuentan, no obstante, para el umbral de fallos del inicio de sesión: una cuenta atacada por la API ve aparecer el desafío en la página de inicio de sesión.
- Política de seguridad de contenido: si tu servidor web impone una política de seguridad de contenido (CSP), autoriza las direcciones del proveedor elegido (script, marco y conexión), indicadas en la documentación técnica del módulo.
- Los ajustes se aplican de inmediato, sin reiniciar.