Un CAPTCHA es una idea simple: poner delante de un visitante una tarea que las personas pueden resolver y las máquinas no, y dejar pasar a quien la supere. Durante años fue una compensación razonable. Las personas perdían unos segundos y la automatización peor quedaba frenada.
Tres cosas cambiaron. Las máquinas mejoraron resolviendo las tareas. La gente se cansó de resolverlas. Y llegó un nuevo tipo de visitante: agentes de IA que actúan para clientes reales y personas que trabajan con asistentes de IA. Una prueba que pregunta "¿eres humano?" no tiene una buena respuesta para ninguno de ellos.
Proof of Actor adopta un enfoque distinto. En lugar de probar a cada visitante, le dice a tu aplicación quién o qué está actuando, con la evidencia detrás de la conclusión, y deja que tu código decida si hace falta un desafío o no.
La versión corta
| CAPTCHA | Proof of Actor | |
|---|---|---|
| Pregunta principal | ¿Puede este visitante superar una prueba humana? | ¿Quién o qué está actuando, y cuál es la evidencia? |
| Quién asume el costo | Todo visitante que ve el desafío | Nadie; la clasificación ocurre en segundo plano |
| Respuestas posibles | Aprobar o fallar | Human, Human + AI, Agent o Unknown, más una base |
| Agentes de IA legítimos | Detenidos, o forzados a rodear la prueba | Reconocidos y enviados a la experiencia correcta |
| Personas que usan asistentes de IA | Tratadas como cualquier otro visitante | Una clase distinta, Human + AI |
| Tráfico dudoso | Debe superar la misma prueba | Unknown, con un plan alternativo que eliges por ruta |
| Dónde se aplica | Las páginas donde lo colocas | Cada ruta que cubre tu integración |
| Comportamiento por defecto al instalarlo | Desafío visible | Observación; nada cambia hasta que añades una política |
Una prueba frente a la evidencia
Un CAPTCHA produce un solo bit de información: el visitante aprobó o falló. No te dice quién era el visitante, si estaba trabajando con un asistente o cuánta confianza deberías tener en el resultado. Y produce ese bit pidiéndole al visitante que haga trabajo.
Proof of Actor produce una clasificación y su base de evidencia. Un resultado Verified significa que se validó una afirmación comprobable, como una firma de solicitud verificada contra una clave publicada. Un resultado Declared significa que un cliente o tu propia aplicación lo declaró. Un resultado Inferred se etiqueta como inferencia. Unknown significa que la evidencia no permite una determinación. Tu equipo puede leer cada resultado y ver en qué se apoya, y el visitante no tiene que hacer nada.
El costo de desafiar a todos
Cada desafío es fricción colocada sobre tus mejores usuarios para frenar a los peores. En una página de registro, cuesta conversiones. En un pago, cuesta ingresos. En accesibilidad, puede dejar a personas fuera por completo. Los equipos aceptan ese costo solo porque no tienen una señal mejor sobre quién está al otro lado.
Con contexto de actor, cambia la compensación. Puedes mantener la experiencia normal para sesiones dirigidas por humanos, omitir el desafío cuando la evidencia es fuerte y reservarlo para el conjunto reducido de casos en que todavía aporta valor: por ejemplo, un resultado Unknown en un cambio de contraseña o en una acción de alto valor. La mayoría de los visitantes deja de ver un desafío.
Los agentes legítimos necesitan un camino, no un rompecabezas
Un CAPTCHA está diseñado para detener software. Eso tenía sentido cuando casi todo el software que visitaba tus páginas era no deseado. Ya no lo tiene.
Hoy un asistente puede comparar tus planes para un cliente, un agente puede reservar una reunión desde tu app y un cliente de IA puede llamar a tu MCP server para completar una tarea. Detenerlos detiene a tus clientes. Forzarlos a pasar por páginas y rompecabezas pensados para personas crea automatizaciones frágiles que se rompen con cada rediseño.
Proof of Actor reconoce a los agentes y, con solicitudes firmadas, puede verificar qué clave y qué operador están detrás de ellos. Entonces tu aplicación puede hacer algo mejor que un desafío: servir una API estructurada, ofrecer un flujo adaptado a agentes o aplicar un límite de tasa ajustado para automatización. La guía sobre servir contenido estructurado a agentes de IA muestra cómo.
Una identidad verificada no es lo mismo que permiso. Una firma válida te dice qué clave firmó la solicitud; si ese agente puede realizar una acción es tu decisión de autorización. Proof of Actor mantiene separadas esas dos preguntas.
Las personas que trabajan con IA siguen siendo tus usuarios
Una persona que redacta un mensaje de soporte con ayuda de un asistente, o completa un formulario con ayuda de IA, es un cliente. Una prueba humana no tiene nada útil que decir sobre esa persona: o aprueba, o queda bloqueada porque su comportamiento parece inusual.
Proof of Actor les da su propia clase, Human + AI, informada cuando la asistencia se declara o se observa mediante una integración compatible. Eso te permite etiquetar las solicitudes redactadas con IA para el equipo adecuado, estudiar cómo se mueven los usuarios asistidos por tu producto y mantener su experiencia fluida. Lee más en la entrada de glosario interacción asistida por IA.
Manejar los casos inciertos de forma deliberada
Parte del tráfico siempre será poco claro. Un CAPTCHA lo maneja igual en todas partes: todo el mundo hace la prueba.
Proof of Actor devuelve Unknown como un resultado de primera clase, nunca tratado como humano por defecto y nunca tratado como malicioso por defecto. Tú eliges el comportamiento alternativo por ruta, según el riesgo:
- Páginas públicas y documentación: allow, y conserva la experiencia estándar.
- Registros y formularios de contacto: allow, con tus controles de abuso habituales.
- Cambios de cuenta: conserva tu flujo existente de reautenticación.
- Acciones de alto impacto: route a revisión, o aplica un challenge aquí si todavía quieres uno.
Aquí es donde un desafío todavía puede ganarse su lugar: como un resultado de política deliberado en una ruta sensible, no como un peaje para cada visitante.
Dónde vive la decisión
Un widget de CAPTCHA decide en el momento en que se muestra, en la página donde lo colocaste, y solo una vez.
Con Proof of Actor, tu aplicación decide, en cada ruta que cubre tu integración: middleware del servidor, Next.js, el edge, una integración aprobada en el navegador, una API HTTP genérica o tu MCP server. Las políticas usan la clase de actor y la base en conjunto: allow, adapt, challenge, review o rate-limit. Viven en tu código, junto al resto de tu lógica de negocio, y puedes cambiarlas sin rediseñar una página.
Cómo desplegarlo
Proof of Actor empieza en modo de observación. Instalarlo no cambia nada de lo que ven tus usuarios. Un camino sensato para dejar atrás los desafíos generales es este:
- Observar. Mantén tus desafíos actuales y añade Proof of Actor. Observa la mezcla de actores y la tasa de Unknown en cada ruta.
- Comparar. Para cada ruta desafiada, mira cuántos desafíos afectan a sesiones humanas, usuarios asistidos por IA y agentes verificados.
- Previsualizar. Escribe una política que omita el desafío cuando la evidencia sea fuerte y lo mantenga para Unknown en acciones sensibles. Previsualiza su efecto contra tráfico real.
- Aplicar. Activa la política una ruta a la vez, con un comportamiento alternativo documentado y un interruptor de reversión.
La guía sobre desplegar políticas conscientes del actor de forma segura cubre cada paso en detalle.
Cuándo todavía tiene sentido un CAPTCHA
Los desafíos siguen siendo una herramienta útil en algunos lugares: un pico de tráfico poco claro contra una acción sensible, un formulario sometido a abuso activo o una ruta donde todavía no tienes ninguna otra señal. Proof of Actor no te pide que descartes esa herramienta. Te da el contexto para usarla solo donde ayuda.
Empieza
Proof of Actor está en beta privada. Los equipos seleccionados del programa Founding Developer pueden recibir hasta 12 meses de acceso gratuito dentro de los límites de uso acordados, con soporte directo del equipo que lo construye. Solicita acceso anticipado y cuéntanos qué rutas desafías hoy.