mathguard para TYPO3

Los CAPTCHAs matemáticos son la protección anti-spam de pocas barreras que la mayoría de webs desconoce

El spam en formularios de contacto es un tema recurrente. La solución más popular es Google reCAPTCHA, pero envía datos de usuario a Google y complica el cumplimiento del RGPD. Los CAPTCHAs basados en imágenes (“marque todos los semáforos”) frustran a los usuarios y son inaccesibles para lectores de pantalla. mathguard sigue otro camino: la extensión muestra una operación matemática simple (“¿Cuánto es 3 + 7?”) en el formulario. Los humanos lo resuelven en segundos, mientras que los bots automatizados fallan en su mayoría. Sin JavaScript externo, sin cookies y sin transferencia de datos a terceros.

Para administraciones públicas, universidades y empresas con exigencias de accesibilidad (Real Decreto 1112/2018, WCAG 2.1), un CAPTCHA matemático es una de las pocas formas de CAPTCHA sin acertijos de imágenes, siempre que la operación aparezca como texto en el formulario. La reducción de spam se sitúa entre el 85 y el 95% del tráfico entrante de bots. En comparación: Google reCAPTCHA v3 alcanza valores similares, pero transfiere datos a servidores de Google en cada carga de página, incluso sin interacción con el formulario.

Los escenarios típicos son formularios de contacto, comentarios y registros

El escenario estándar es el formulario de contacto en una web corporativa. Sin protección anti-spam, llegan diariamente entre 20 y 200 envíos de bots al buzón de la redacción. mathguard añade un campo de operación matemática entre el campo de email y el botón de envío. La operación se genera aleatoriamente en cada carga de página, de modo que los bots no pueden precalcular la solución.

Segundo escenario: funciones de comentarios en blogs y portales de noticias. Si los visitantes pueden dejar comentarios a los artículos, el spam es inevitable. mathguard protege el formulario de comentarios sin que los visitantes necesiten una cuenta de Google o una aplicación especial.

Tercer escenario: registros de usuarios. Cuando una web ofrece cuentas de frontend (por ejemplo, para un portal de clientes o un área de descargas protegida), mathguard protege el formulario de registro frente a la creación automatizada de cuentas. La operación matemática es el último obstáculo antes del envío, adicional al Double-Opt-In.

La arquitectura técnica genera operaciones matemáticas en el servidor con validación por hash

mathguard funciona íntegramente en el servidor. En cada carga de formulario, la extensión genera una operación matemática aleatoria: la suma de dos números del 0 al 9. La solución no está en el formulario como texto plano; un campo oculto guarda un hash MD5 del resultado, la hora actual y un número fijo, y al enviar mathguard compara con él el hash de la respuesta. El método no necesita sesión ni cookie.

La integración en formularios TYPO3 se realiza mediante una interfaz PHP: una extensión de formularios llama a getCaptcha() para mostrar la operación y a validateCaptcha() para comprobar la respuesta. Por TypoScript se pueden ajustar el texto de la pregunta y el color. La extensión, de 2009, no trae integraciones ni ejemplos listos para powermail y el TYPO3 Form Framework; el Form Framework ni siquiera existía entonces.

mathguard dibuja la operación como un pequeño gráfico de caracteres aleatorios en un bloque <pre>, no como texto legible. El software de lectura solo lee una cadena de caracteres; un CAPTCHA matemático solo resulta compatible con lectores de pantalla cuando la operación aparece como texto en el formulario. Incluso entonces, cualquier operación sigue siendo un obstáculo para las personas con discalculia, como señala expresamente el W3C.

Para mayor seguridad, mathguard se puede combinar con un campo honeypot: un campo de formulario invisible que los bots rellenan pero los usuarios reales ignoran. Como complemento se puede añadir una validación por marca temporal: si un formulario se rellena en menos de 3 segundos, es con alta probabilidad un bot. La combinación de CAPTCHA matemático, honeypot y comprobación de marca temporal alcanza una reducción de spam superior al 99%.

Los problemas frecuentes son bots más inteligentes, el cambio de hora y fricción UX

Primer problema: bots avanzados que resuelven operaciones matemáticas. Bots de parsing de texto sencillos pueden interpretar “¿Cuánto es 3 + 7?” e introducir la respuesta correcta “10”. La solución: representar la operación como texto ligeramente ofuscado (“Tres más siete es igual a”) o ampliar la operación con un contexto (“¿Cuántas patas tiene una silla menos una?”). mathguard en su configuración estándar utiliza operaciones numéricas, suficiente para el 85 al 95% de los bots.

Segundo problema: el cambio de hora. Como la hora actual entra en el hash, la validación falla si entre la carga del formulario y el envío cambia la hora, aunque el usuario haya introducido la respuesta correcta. La solución: adaptar el validador para que acepte también el hash de la hora anterior.

Tercer problema: fricción UX. Algunos visitantes perciben una operación matemática como paternalista (“¿Tengo que demostrar que sé sumar?”). La solución: colocar un mensaje amable sobre el campo (“Protección anti-spam: por favor, resuelve esta operación”) e integrar la operación visualmente de forma discreta en el diseño del formulario.

La técnica es mínima, pero la extensión es de 2009

La extensión no tiene dependencias profundas con la API del core de TYPO3: operación, hash y comprobación son unas pocas líneas de PHP estándar. Su última versión, la 1.0.0, es de 2009 y, según el TER, no soporta ninguna de las versiones de TYPO3 que se mantienen hoy. Para proyectos que quieren prescindir de extensiones, la misma lógica se puede reconstruir en menos de una hora como validador personalizado en el TYPO3 Form Framework o como finisher de powermail. En sus propios proyectos, Gosign implementa una combinación de honeypot, validación por marca temporal y CAPTCHA matemático opcional como protección anti-spam en tres niveles, sin servicios externos y eficaz contra más del 99% de los ataques automatizados. La decisión de si el CAPTCHA matemático es visible o solo actúa como fallback invisible la tomamos proyecto a proyecto en función del volumen de spam esperado y de los requisitos de accesibilidad.