Si gestiona un sitio web en la UE, su CAPTCHA merece una mirada atenta. A menudo se trata de Google reCAPTCHA. Sigue siendo la opción por defecto para la protección contra bots y carga scripts de Google en su página. Desde el 2 de abril de 2026, Google actúa como encargado del tratamiento según sus propias FAQ (docs.cloud.google.com/recaptcha/docs/faq); si puede usar reCAPTCHA y cómo sigue siendo una cuestión de evaluación jurídica, y en la práctica esa evaluación a menudo gira en torno al consentimiento.
En resumen: reCAPTCHA no debe entrar en su página sin haberlo evaluado. Eso afecta a todos aquellos cuyos formularios sostienen el negocio — empresas SaaS, tiendas de comercio electrónico, embudos de generación de leads y sitios del sector público.
Por qué el RGPD y CAPTCHA chocan
El RGPD se basa en un principio central: minimizar la recopilación de datos y proteger la privacidad del usuario. Muchos CAPTCHA tradicionales encajan mal con ello. Cargan scripts de terceros, analizan el comportamiento — movimientos del ratón, clics — y a menudo tratan el resultado en servidores fuera de la UE.
De ahí surgen varias preguntas que debe evaluar: si existe una base jurídica sólida sin consentimiento, si una transferencia fuera de la UE está protegida tras la sentencia Schrems II y si el tratamiento se describe de forma transparente. Lo que muchas empresas pasan por alto: una herramienta de protección contra bots forma parte del registro de actividades de tratamiento, como cualquier otro encargado.
Qué reglas se aplican realmente
Tres partes del reglamento deciden si su CAPTCHA supone un problema, y se aplican en este orden.
Artículo 6 — ¿existe una base jurídica? Cargar un script de terceros que perfila al visitante es un tratamiento. El interés legítimo puede sostener una defensa antispam sencilla, pero deja de sostenerla en cuanto la herramienta crea perfiles de comportamiento entre sitios. Entonces necesita consentimiento, y este debe existir antes de que el script se cargue — justo en lo que debe fijarse al integrarla.
Artículo 28 — ¿quién es el encargado del tratamiento? Su proveedor de CAPTCHA trata datos personales por cuenta de usted. Necesita por tanto un contrato de encargo con él, y la herramienta pertenece a su registro de actividades de tratamiento — como su proveedor de correo o su herramienta de analítica.
Artículos 44 y siguientes — ¿adónde van los datos? Toda transferencia fuera de la UE exige un mecanismo jurídico, y desde la sentencia Schrems II el mecanismo por sí solo no basta: además debe evaluar si las leyes de vigilancia del país de destino lo vacían de contenido. Buena parte de esa evaluación desaparece cuando el propio proveedor está establecido en la UE y conserva allí los datos.
¿Qué hace que un CAPTCHA sea compatible con el RGPD?
¿El CAPTCHA carga un script de terceros en su página?
- SíConsentimiento necesario antes de cargarse
- NoLa solicitud por sí sola no requiere consentimiento
¿Guarda o lee cookies o identificadores del dispositivo?
- SíConsentimiento necesario
- NoEl interés legítimo puede bastar
Antes de elegir una alternativa conviene saber qué significa realmente «conforme al RGPD». Cinco requisitos lo deciden:
- Tan pocos datos personales como sea posible, nada almacenado en texto plano
- Almacenamiento de datos en la UE
- Sin cookies de rastreo ni perfiles entre sitios
- Una base jurídica que puede documentar
- Tratamiento totalmente transparente
Otros dos separan lo meramente conforme de lo realmente bueno: una experiencia invisible que no pide nada al visitante y una accesibilidad acorde con las WCAG.
Revise su propia web en diez minutos
Para la primera pasada no necesita un abogado, sino la pestaña de red.
- Abra una página con formulario y grabe el tráfico de red. Cualquier petición a
google.com/recaptcha,hcaptcha.como un host similar significa que un tercero ve a sus visitantes. - Fíjese en cuándo se dispara. Si carga antes de que el visitante acepte nada, el consentimiento como base jurídica ya está perdido.
- Busque cookies y almacenamiento.
_GRECAPTCHAy compañía son la parte visible; las entradas enlocalStoragetambién cuentan. - Lea su propia política de privacidad. Si la herramienta no figura ahí, se está usando sin declararla.
- Mire su registro de actividades de tratamiento. La mayoría enumera analítica y correo — y olvida por completo la protección contra bots.
Todo lo que encuentre aquí tiene arreglo. Lo que no tiene arreglo es la parte que nadie buscó nunca.
Las alternativas — y lo que cuestan realmente
Los datos siguientes proceden de las páginas oficiales de los proveedores, consultadas el 4 de octubre de 2026. Cambian; las fuentes se indican en cada caso.
FriendlyCaptcha es un CAPTCHA alemán orientado a la privacidad que comprueba en segundo plano. El plan Starter cuesta 9 €/mes, Advanced 200 €/mes y Enterprise se ofrece bajo petición. Es gratuito para proyectos no comerciales (un dominio, 1.000 solicitudes al mes) y para proyectos de código abierto (50 dominios, 50.000 solicitudes al mes). No hemos podido verificar los límites de solicitudes de los planes de pago en la página oficial de precios — consúltelos con el proveedor. Fuente: friendlycaptcha.com/free-captcha/.
Cloudflare Turnstile es gratuito, con verificaciones ilimitadas — gratuito de verdad, no un periodo de prueba, y sin que su sitio tenga que pasar por Cloudflare. El plan gratuito limita funciones en vez de volumen: hasta 20 widgets, 10 nombres de host por widget, siete días de analítica. No carga ningún script de Google y reduce la interacción al mínimo: en el modo Managed muestra una casilla cuando detecta riesgo, sin imágenes ni textos que descifrar. El modo Invisible exige un aviso que remita al "Turnstile Privacy Addendum". Cloudflare sigue siendo una empresa estadounidense. Fuente: developers.cloudflare.com/turnstile/plans/.
Google reCAPTCHA (ahora parte de "Google Cloud Fraud Defense") le da 10.000 evaluaciones al mes gratis en el nivel Essentials; debe registrar un medio de pago. En el nivel Premium, de 10.001 a 100.000 evaluaciones cuestan 8 $ fijos, y a partir de ahí 1 $ por cada 1.000; por encima está Enterprise. Los retos visuales están disponibles en todos los niveles. Desde el 2 de abril de 2026, Google actúa como encargado del tratamiento según sus propias FAQ. Aquí el precio no es la cuestión — lo es el camino de los datos hacia Google. Fuente: docs.cloud.google.com/recaptcha/docs/compare-tiers y /faq.
hCaptcha tiene un nivel Basic gratuito. Pro cuesta 99 $/mes con pago anual o 139 $ mensual, y Enterprise se ofrece bajo petición. El modo pasivo sin tarea visible solo está disponible en Pro y Enterprise; en el nivel Basic se mantiene una comprobación visible. Fuente: hcaptcha.com/pricing.
SilentShield es protección contra bots respetuosa con la privacidad e invisible por defecto, con almacenamiento de datos en nuestros servidores de Alemania: sin interacción en el caso normal (solo una breve tarea aritmética cuando el resultado no es claro), sin cookies, sin rastreo entre sitios, sin perfiles y con un modo Zero-PII opcional que prescinde por completo de las características del navegador y del dispositivo. El plan gratuito cubre 500 solicitudes al mes en un dominio; Basic cuesta 9 €/mes por 5.000 solicitudes, Pro 29 €/mes por 25.000 solicitudes en cinco dominios, y Enterprise es individual.
Comparación rápida
| Herramienta | Precio de entrada | Incluido | Interacción | Transferencia de datos |
|---|---|---|---|---|
| reCAPTCHA | gratis | 10.000 evaluaciones | Tarea de imágenes posible | |
| hCaptcha | gratis / 99 $ al mes (anual) | no verificado | Reto; pasivo solo Pro/Enterprise | no verificado |
| Turnstile | gratis | verificaciones ilimitadas | casi nunca; casilla ante riesgo | Cloudflare (empresa estadounidense) |
| FriendlyCaptcha | 9 € al mes | no verificado | Comprobación en segundo plano | no verificado |
| SilentShield | gratis / 9 € al mes | 500 / 5.000 solicitudes | ninguna por defecto; tarea aritmética si el resultado no es claro | Servidores en Alemania; sin CDN con el endpoint de la UE |
Lea la primera columna con honestidad: solo por precio, gana Turnstile. Es gratuito, no tiene límite de volumen, y para una web pequeña sin exigencias de cumplimiento es difícil argumentar en contra.
Dónde SilentShield es la peor opción
Toda comparativa en la que el autor gana en cada línea merece desconfianza. Estas son las tres líneas en las que no ganamos.
Nuestro script es mayor que el de Turnstile. El módulo de comportamiento de SilentShield pesa 45,0 KB comprimidos, 48,9 KB con su cargador (medido de nuevo el 23 de septiembre de 2026). El 4 de septiembre de 2026 medimos en un navegador lo que cada proveedor entrega realmente: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile es el más ligero de los cuatro y nosotros quedamos segundos. Cargamos de forma asíncrona tras el renderizado, así que no bloqueamos nada que el visitante espere, pero si en su página se pelea por cada kilobyte, ese es un argumento real en nuestra contra.
No somos gratuitos en volumen. Turnstile no cuesta nada con cualquier volumen. Nuestro plan gratuito termina en 500 solicitudes al mes. Si el precio es su único criterio, no somos la elección.
Somos más jóvenes. reCAPTCHA lleva más de una década en marcha y ha visto patrones de ataque que nosotros no hemos visto. No es poca cosa, y ningún posicionamiento cambia eso.
Lo que obtiene por esos 9 € es un trato distinto: no se carga ningún script de Google, no se coloca ninguna cookie, el visitante no ve ninguna tarea por defecto — solo una breve tarea aritmética cuando el resultado no es claro — y, con el endpoint de la UE, la verificación se ejecuta directamente en nuestros servidores de Alemania, sin CDN. Si eso vale para usted más que gratis, somos la mejor opción. Si no, coja Turnstile — es una decisión defendible, y este artículo no va a fingir lo contrario.
¿Cumplimiento o conversión? Ya no tiene que elegir
La mayoría de las empresas lo consideran una decisión legal. No lo es: es una decisión de crecimiento. El CAPTCHA tradicional cuesta conversiones, añade fricción y perjudica la experiencia móvil, mientras que una solución invisible y respetuosa con la privacidad saca esa fricción del formulario — aunque no le ahorra la evaluación jurídica.
SilentShield apuesta por ambas cosas: sin cookies, sin rastreo entre sitios, sin perfiles; la dirección IP solo se usa para la comprobación y no se almacena en texto plano — y una comprobación que permanece invisible por defecto y solo muestra una breve tarea aritmética cuando el resultado no es claro. Pensado para el SaaS moderno y las empresas europeas.
Mejore su protección contra bots — respetuosa con la privacidad
No tiene que jugar con el cumplimiento del RGPD, ni tiene que sacrificar conversiones.
Descubra cómo funciona SilentShield — y reemplace su CAPTCHA