Protección contra bots que se queda en Alemania.
CaptchaCore es un proyecto alemán que parte de una pregunta sencilla: ¿se puede proteger eficazmente contra bots sin que los datos de los visitantes salgan de la UE?
Por qué
Por qué existe este proyecto
Toda web necesita protección contra bots. Las herramientas habituales cargan en parte sus scripts desde servidores fuera de la UE o instalan cookies; qué significa eso para la propia política de privacidad lo debe valorar cada operador. Queríamos una vía en la que esa pregunta ni siquiera se plantee.
Además, los acertijos de imágenes son una barrera. Para personas con discapacidad visual a menudo son casi imposibles, y cada abandono es un formulario perdido. Un mecanismo de protección que deja fuera a los propios clientes no cumple su objetivo.
CaptchaCore es el intento de resolver ambas cosas a la vez: protección eficaz mediante prueba de trabajo, análisis de comportamiento y un motor de riesgo adaptativo, y aun así una comprobación que nadie percibe y que no notifica a nadie ante terceros.
En qué se diferencia esto en la práctica de reCAPTCHA y hCaptcha se explica en la página de comparación.
Quién
Quién está detrás
Detrás de CaptchaCore está SpeedIT Solutions UG (haftungsbeschränkt), de Isernhagen, cerca de Hannover. No somos una start-up con un mandato de crecimiento, sino una empresa de alojamiento que gestiona sus propios servidores desde hace años y que ha aprendido cómo es realmente el tráfico de bots.
La aplicación, la base de datos y el procesamiento de sus verificaciones funcionan en hardware propio en un centro de datos de Fráncfort, sin proveedor de nube intermedio. Por eso podemos decir con seguridad dónde están sus datos y que permanecen allí.
Datos completos en el aviso legal.
La cadena de suministro
De dónde viene cada byte
La protección de datos no termina en la propia aplicación. Termina en el proveedor que uno mismo utiliza. Por eso mostramos la cadena completa, entera, no solo las partes cómodas.
| Componente | Proveedor | Domicilio social | Observación |
|---|---|---|---|
| Aplicación, API y base de datos | SpeedIT Solutions UG |  Alemania |
Hardware propio, sin hiperescalador |
| Centro de datos | NTT Global Data Centers | Fráncfort del Meno |
Solo alojamiento físico, sin acceso a los contenidos |
| Entrega del widget (CDN) | BunnyWay d.o.o. (Bunny.net) |  Eslovenia |
Empresa europea, endpoint de la UE por defecto |
| Pagos: tarjeta, SEPA, Sofort | Mollie B.V. |  Ámsterdam |
Proveedor de pagos neerlandés |
| Pagos: PayPal | PayPal (Europe) S.à r.l. |  Luxemburgo |
Sociedad europea, opcional |
| Pagos: transferencia bancaria | Su banco |  Zona SEPA |
Sin ningún proveedor de pagos |
| Facturación | Haufe-Lexware GmbH & Co. KG | Friburgo |
Factura electrónica en formato ZUGFeRD |
| Tipografías | Autoalojadas | Alemania |
Outfit y JetBrains Mono, sin Google Fonts |
| Medición de audiencia | Instancia propia | Alemania |
Sin Google Analytics, sin píxel publicitario |
Existen dos endpoints para el archivo del widget. El endpoint de la UE entrega exclusivamente a través de ubicaciones en Estados miembros de la UE. Quien integre en su lugar el endpoint global hace que el mismo archivo se entregue en todo el mundo: entonces el operador del CDN ve la dirección IP y la identificación del navegador del visitante también fuera de la UE, con la cobertura de las cláusulas contractuales tipo.
Esto solo afecta a la carga del archivo de script. La verificación en sí, es decir, el desafío, el motor de riesgo y la base de datos, se ejecuta exclusivamente en nuestros servidores en Alemania y nunca a través del CDN. Quien quiera limitar también la carga a la UE integra el endpoint de la UE.
Todos los subencargados que utilizamos figuran por su nombre en el contrato de encargo de tratamiento, que como cliente puede firmar electrónicamente en su cuenta y archivar en PDF. Qué datos se tratan y con qué finalidad se explica en el centro de privacidad.
Cómo
Los cuatro principios por los que queremos que se nos juzgue
La minimización de datos es la arquitectura, no un ajuste
Los datos de comportamiento nunca salen del navegador como datos brutos, sino solo como métricas condensadas y un hash. Las direcciones IP se almacenan truncadas y usted fija el periodo de conservación. Lo que no se recoge tampoco puede filtrarse, venderse ni incautarse.
La persona no nota nada, el bot paga
Normalmente no hay acertijo, ni semáforos, ni espera. El cálculo en segundo plano es imperceptible para un visitante y caro para una granja de bots con millones de solicitudes. Si se necesita una interacción, se maneja con el teclado y está etiquetada para lectores de pantalla.
Honestidad en vez de humo de marketing
Nombramos a cada proveedor, incluidos los que no tienen sede en Alemania. El estado del sistema es público, incidencias incluidas. Los precios son netos y sin asteriscos, y cancelar no requiere una llamada.
Portable, no cautivo
Complementos listos para WordPress, WoltLab y Symfony, un paquete Composer para Laravel y una API REST ligera para todo lo demás. Quien quiera mantener el control total puede ejecutar CaptchaCore en su propia infraestructura bajo petición.
La contraprueba
Lo que deliberadamente no hacemos
Una promesa solo lo es cuando además excluye algo.
Hacia dónde
En qué estamos trabajando
Muchos operadores buscan soluciones europeas para sus formularios porque clientes y delegados de protección de datos plantean preguntas concretas. Para ellos construimos un componente lo bastante pequeño como para encajar en cualquier parte.
Conectar más sistemas directamente
Tras WordPress (incluido WooCommerce), WoltLab, Symfony y Laravel llegan Shopware, Joomla y phpBB. Toda plataforma con un formulario debe poder usar CaptchaCore sin programación propia.
Afinar la detección sin recopilar más
El motor de riesgo aprende de los patrones de ataque entre sitios. Lo relevante es el patrón, no la persona, y por eso funciona con direcciones IP truncadas y hashes.
Pruebas en lugar de afirmaciones
Un estado del sistema público, códigos de motivo trazables y un contrato de encargo de tratamiento que se firma en la cuenta y se archiva en PDF. El siguiente paso son los informes de auditoría externos.
¿Le falta una integración o tiene un requisito que no aparece aquí? Escríbanos. Los caminos cortos son la ventaja de un equipo pequeño.
¿Quiere probarlo usted mismo?
La demo en vivo muestra la comprobación desde el lado del usuario y la página de precios las condiciones para uso comercial. Para sitios web privados CaptchaCore sigue siendo gratis de forma permanente.