sr_freecap para TYPO3

Por qué administraciones y hospitales españoles dependen de una protección CAPTCHA autoalojada

reCAPTCHA de Google es técnicamente efectivo, pero jurídicamente problemático para muchos operadores en España: cada integración conlleva una transmisión de datos personales a Google en EE. UU., requiere un consentimiento activo conforme al RGPD y a la LSSI, y la AEPD ya ha advertido reiteradamente sobre el uso de servicios estadounidenses sin garantías tras la sentencia Schrems II. sr_freecap es la respuesta a ese problema: una extensión CAPTCHA completamente autoalojada para TYPO3 que no dispara peticiones externas, no transmite datos de usuario a terceros y, por tanto, funciona sin bloqueo de banner de consentimiento. El público objetivo son administraciones, hospitales, universidades y empresas conscientes de la protección de datos que deben proteger sus formularios frente a spam de bots sin asumir una nueva dependencia de un servicio estadounidense.

Escenarios típicos de uso

Un hospital universitario opera un formulario de contacto para consultas de pacientes, un formulario de candidatura para personal de enfermería y un formulario de consultas de prensa. Los tres son atacados regularmente por bots que envían mensajes publicitarios genéricos o intentos de phishing. La IT del hospital ha decidido no integrar servicios de Google porque el delegado de protección de datos quiere evitar la obligación de consentimiento. sr_freecap genera imágenes con combinaciones de letras en el servidor, valida la entrada en el propio servidor y no envía en ningún momento información hacia el exterior.

Un segundo caso es un ayuntamiento con unos 15 formularios en línea para trámites ciudadanos, desde el empadronamiento hasta la solicitud de una tarjeta de estacionamiento para residentes. La agencia autonómica de protección de datos ha recomendado expresamente, en una auditoría, no utilizar CAPTCHAs externos. sr_freecap se integra en la API de formularios de TYPO3 (Powermail o el Form Framework) y protege así todos los formularios sin consentimiento adicional.

El tercer contexto son colegios profesionales y asociaciones que gestionan listas de miembros, direcciones o registros públicos. Cada una de esas organizaciones opera un formulario de búsqueda o un formulario de contacto que debe estar protegido frente a bots sin dejar de preservar la postura general de protección de datos. sr_freecap ofrece una prueba visual sencilla, resoluble para personas y que supone una barrera perceptible para bots OCR simples.

Arquitectura técnica: librería GD, sesión y API de formularios

sr_freecap genera las imágenes CAPTCHA en el servidor con la librería GD o ImageMagick; GD es la opción estándar y está disponible prácticamente en cualquier instalación PHP sin esfuerzo adicional. Las letras se extraen aleatoriamente de un alfabeto configurable, se dibujan en una imagen con ruido de fondo y distorsión y se entregan al navegador. El texto esperado se almacena en la sesión de TYPO3 y se compara con la entrada del usuario al enviar el formulario.

La integración en formularios se realiza mediante un validator para el Form Framework de TYPO3 y mediante la API de Powermail, integrando el campo como elemento adicional en la definición del formulario. Los CAPTCHAs de audio como alternativa accesible están disponibles en la extensión, pero desactivados por defecto, y deberían activarse en formularios con un público amplio para no excluir a personas con discapacidad visual. sr_freecap se configura mediante TypoScript, que controla la longitud de la cadena del CAPTCHA, las fuentes utilizadas y el nivel de ruido.

Problemas frecuentes y soluciones

El primer problema es legibilidad frente a seguridad. Si el CAPTCHA se distorsiona demasiado, también los usuarios humanos fracasan y abandonan el formulario, lo que reduce perceptiblemente la tasa de conversión. Si se distorsiona poco, los motores OCR modernos leen el texto en segundos. La solución practicable está en una distorsión moderada combinada con un campo honeypot, que está en el formulario como campo de entrada invisible. Los humanos no lo rellenan, los bots con frecuencia sí, y esos envíos se descartan en silencio.

El segundo problema afecta a la accesibilidad. Un CAPTCHA meramente visual excluye a usuarios ciegos y con baja visión, lo que en instituciones públicas puede suponer un incumplimiento de la Ley General de derechos de las personas con discapacidad y del Real Decreto 1112/2018 sobre accesibilidad web. La activación del modo audio y, adicionalmente, una sencilla operación aritmética como alternativa crean vías accesibles para cumplir el requisito sin renunciar a la protección.

El tercer tema es el manejo de sesión. sr_freecap almacena la solución esperada en la sesión PHP, lo que en balanceadores de carga sin afinidad de sesión o en instalaciones TYPO3 alojadas sin estado provoca errores. La solución es o bien sticky sessions en el balanceador, o bien un backend de sesión compartido como Redis que todos los nodos usen en común.

Un cuarto problema es la eficacia frente a frameworks de bots modernos. Navegadores headless sencillos como Puppeteer no pueden resolver CAPTCHAs visuales por sí mismos, pero pueden delegar la tarea a un servicio de resolución externo que entrega la respuesta correcta en segundos. Contra ese tipo de ataques no basta un CAPTCHA puramente de reconocimiento de imagen, y una combinación con comprobaciones basadas en comportamiento, como el análisis de movimientos del ratón o el honeypot ya mencionado, es la defensa más efectiva.

Migración y compatibilidad de versiones

sr_freecap es una de las extensiones CAPTCHA más antiguas para TYPO3 y tiene una historia de versiones movida: para TYPO3 v11 y v12 existen forks comunitarios mantenidos; la compatibilidad con v13 varía de fork en fork. Quien migra actualmente a v12 o v13 debería comprobar antes del upgrade si su rama de la extensión sigue activa y, en caso de duda, cambiar a otro enfoque CAPTCHA.

Alternativas a sr_freecap dentro del espectro favorable a la privacidad son hCaptcha (variante autoalojada posible), Friendly Captcha de desarrollo europeo y campos honeypot combinados con rate limiting del lado del servidor. Gosign asesora en la elección en función del volumen de formularios, el grupo de usuarios y los requisitos regulatorios y, si hace falta, construye una solución híbrida que filtra primero el tráfico de bots con honeypot y solo envía los envíos sospechosos al paso CAPTCHA.

Para instituciones que por motivos regulatorios no pueden integrar servicios externos, una solución autoalojada como sr_freecap sigue siendo a menudo la única opción practicable, y el esfuerzo de mantenimiento es asumible. Lo importante es contrastar la protección CAPTCHA regularmente con los patrones de spam actuales y analizar las estadísticas de intentos fallidos para detectar cuándo es oportuno subir la distorsión o combinarla con otras medidas de protección.