Cambios de SCaptcha 2.3.0
Publicado el 8 de septiembre de 2026. Estas son las novedades de SCaptcha 2.3.0.
Desafíos nuevos y reutilización limitada
- Cada desafío Proof-of-Work usa una sal independiente y criptográficamente aleatoria de 32 bytes. Sal, hash, algoritmo, solución y HMAC se validan en la sesión WoltLab emisora; caduca a los 60 segundos y no funciona en otra sesión.
- Los desafíos de 2.2.x emitidos justo antes de actualizar solo sobreviven hasta su caducidad normal. El marcador previo al envío, de un solo uso y ligado a la ruta, y las pruebas de texto/audio duran 300 segundos.
- La reutilización del formulario, la cookie Under-Attack y la cookie de denegación de Sentinel siguen separadas. Under-Attack dura 300–1.800 segundos (600 por defecto) y Sentinel 600 segundos.
Datos de proxy, caché y registros del proveedor
- La normalización de proxycheck.io v3 conserva riesgo, confianza, times_seen, fechas de observación, detección/deslistado, tipo de red y estado del proveedor. Los metadatos ausentes o inválidos no se interpretan como resultado limpio.
- Sentinel solo usa el resultado con recuento positivo, al menos 50 % de confianza y observaciones recientes utilizables. Se ignoran resultados deslistados, antiguos, nulos, sin observaciones o con poca confianza.
- Los aciertos se almacenan 3.600 segundos y los resultados volátiles o deslistados 900. Los errores se cachean entre 120 y 900 segundos; hay dos reintentos limitados y la limpieza elimina filas de más de 24 horas.
- SCaptcha envía tag=0 por defecto. El administrador puede activar los registros de detecciones positivas; la IP se transmite para la consulta en ambos casos y un fallo del proveedor no equivale a un resultado limpio.
Analítica y conservación
- La analítica local sigue activada por defecto y puede guardar datos operativos vinculables: fecha, resultado, URI, IP, agente de usuario, navegador/dispositivo, red, ubicación, motivos, datos de Sentinel y telemetría enviada.
- La conservación predeterminada es de 90 días y se configura entre 1 y 3.650. Solo se borran filas anteriores al corte. Desactivar la analítica detiene nuevas entradas, pero no elimina registros ni exportaciones.
Navegadores y accesibilidad
- La puntuación de comportamiento y Sentinel siguen desactivados por defecto; las rutinas de audio, WebGL, animation frame y canvas solo se ejecutan con sus opciones activas. Las señales no disponibles son neutrales.
- Los renderizadores genéricos Chromium/ANGLE, Mesa y llvmpipe no bastan para marcar automatización. El puntero se exige solo con ratón y el desplazamiento solo si la página puede desplazarse; teclado y tacto no simulan el ratón.
Contexto externo fechado
- A 8 de septiembre de 2026, las Directrices 02/2026 del EDPB sobre anonimización seguían abiertas a comentarios hasta el 30 de octubre de 2026. No se presentan como ley ni guía definitiva.
- Chrome 153 se publicó el 8 de septiembre de 2026 e inició el ciclo estable de dos semanas anunciado. La compatibilidad debe comprobarse en cada versión.