Comprobaciones JS del lado del cliente
La documentación describe SCaptcha 2.3.0. Las funciones dependientes de la configuración están indicadas por separado.
Optional browser checks
Behavior checks are off by default. The code contains pointer, movement, and scrolling checks, plus optional canvas, WebGL, and audio routines. Evaluation happens in the browser; results can affect local scoring and SCaptcha logs. This documentation therefore makes no blanket no-fingerprinting claim.
Flujo de decisión
Mientras la página está abierta, SCaptcha rastrea telemetría de interacción: recuentos y amplitud de movimientos de ratón/tacto, cuadro delimitador, entropía de dirección, variación de velocidad e intervalo, presencia y uniformidad de desplazamiento, recuento de clics, tiempo de permanencia al pasar el cursor, inactividad del teclado tras 15 s, cambios de visibilidad y tiempo de primera interacción (<500 ms).
Al hacer clic, el cliente evalúa marcadores de automatización de alta señal como navigator.webdriver, HeadlessChrome en el UA, globals de automatización (__webdriver_evaluate, _phantom, etc.), indicadores de marca en el UA para Playwright/Puppeteer y una lista de bloqueo de subcadenas para patrones de IA/crawlers.
Las comprobaciones de entorno solo se ejecutan al activarlas. Las API ausentes o limitadas por privacidad son neutrales; los renderizadores genéricos Chromium/ANGLE, Mesa o llvmpipe no indican automatización por sí solos.
Las señales de huella y temporización (tiempo de canvas toDataURL por debajo de 5 ms, hash de huella WebGL y recuento de extensiones, hash de OfflineAudioContext, uniformidad de requestAnimationFrame) se muestrean por sesión para reducir la estabilidad y luego se integran en la puntuación.
Umbrales y resultados
Si la confianza >= botThreshold, la acción de escalación configurada (desafío o bloqueo) se ejecuta de inmediato. Si la confianza >= challengeThreshold, se muestra el desafío de respaldo salvo que la escalación esté en none.
El bloqueo establece un estado de error y registra el motivo; el desafío abre el overlay de respaldo vinculado al payload PoW.
El modo Under‑Attack eleva los umbrales y relaja los requisitos de gestos para que los usuarios legítimos puedan pasar rápido durante picos de tráfico.
Controles de comportamiento y UX
El movimiento del puntero solo se aplica al ratón y el desplazamiento solo a páginas desplazables; teclado y tacto legítimos no necesitan simular el ratón.
La telemetría incluye recuentos y amplitud de movimientos, entropía de dirección, tiempo de permanencia al pasar el cursor, recuento de clics, tiempo de primera interacción (<500 ms) e inactividad del teclado tras 15 s.
Escalación y registros
La escalación escribe una lista de motivos y la puntuación de confianza en el payload de analíticas para que pueda revisar exactamente por qué una sesión fue desafiada o bloqueada.
La escalación a desafío solicita el respaldo por imagen/audio basado en código. El servidor almacena el desafío y los tokens de prueba en la sesión durante 5 minutos, y el PoW se acepta solo cuando el token de prueba coincide.
La escalación a bloqueo detiene la verificación y registra el resultado en los logs de solicitud. Los eventos del cliente como escalación, desafío y verificado se almacenan en el payload JS para permitir análisis en detalle.
Notas de accesibilidad
Si su audiencia usa solo teclado o vistas incrustadas, relaje los requisitos de desplazamiento o puntero y confíe más en señales de tiempo o de entorno.
Desactive las comprobaciones de audio o WebGL para navegadores bloqueados o extensiones de privacidad estrictas para evitar falsos positivos.
Prefiera la escalación a desafío antes que el bloqueo cuando la accesibilidad o la diversidad de dispositivos sea alta.
El modo flotante puede mejorar la UX del formulario, pero pruébelo con lectores de pantalla y zoom porque la colocación del ancla puede afectar el orden del foco.
Analítica y conservación
La analítica de solicitudes está activada por defecto y puede guardar datos operativos vinculables, incluidos IP, agente de usuario, solicitud, red, ubicación, motivos y telemetría enviada. La retención predeterminada es de 90 días y puede ajustarse entre 1 y 3650. Desactivarla no borra registros ni exportaciones existentes.