Una casilla delante de sus formularios.
Nada delante de sus clientes.
Ponga una casilla de "no soy un robot" en sus propios formularios y páginas, y una verificación en el origen delante de todo lo que aloje con Xuda. Solo escala a un desafío de imagen, y después a una verificación con IA, cuando las señales del visitante parecen automatizadas.
Niveles de escalado · la mayoría de los visitantes no pasa del primero
Proveedores de captcha en la ruta · desarrollado internamente
Nivel que cubre sus propios formularios y los objetivos alojados en Xuda
Bits cero iniciales de prueba de trabajo, de forma predeterminada
Los bots deberían trabajar más. Los clientes, no.
La mayoría de las verificaciones tratan igual a todos los visitantes: entornar los ojos ante una imagen, demostrar quién es, intentarlo de nuevo. Xuda Bot Protection empieza con una casilla y un conjunto de señales que el navegador del visitante entrega gratis. Si parecen humanas, ahí termina todo. Solo cuando parecen automatizadas alguien ve un desafío de imagen, y solo después de eso interviene una IA.
Está desarrollado internamente. No hay ningún proveedor de captchas detrás, ninguna cuenta que abrir en otro sitio, y nada sobre sus visitantes se entrega a un servicio de terceros para puntuarlo.
Cuatro pasos de cero a protegido.
Bot Protection está en el grupo MODULES del menú de su cuenta. Nada se activa hasta que elige un nivel, y Free es un nivel real.
- 01
Elija un nivel
Abra Bot Protection y elija en la escalera de cuatro tarjetas. Free es una activación, no una suposición: pulse Activar y no debe nada. Los niveles de pago indican el importe con palabras claras antes de que confirme, y añaden una línea a la factura que ya recibe.
- 02
Active el widget y guarde
En la pestaña Configuración, active Bot protection y pulse Guardar cambios. Ese primer guardado genera su clave de sitio pública y su clave secreta privada. Aproveche para fijar la Agresividad en Baja, Media o Alta.
- 03
Pegue el fragmento, verifique en su servidor
Copie la etiqueta de script, o el div de montaje en línea si quiere colocar la casilla usted mismo. Después envíe el secret y el token de respuesta del formulario al endpoint de verificación y lea de vuelta success, score y level_reached.
- 04
Active la protección en todo lo que aloje con Xuda
En la pestaña Protección, pulse Añadir protección, elija un VPS, un despliegue, un datacenter o un balanceador de carga, y active Activado. El origen empieza a aplicarlo en una actualización de 30 segundos, y desactivarlo es el mismo interruptor.
Una verificación, dos lugares donde ponerla.
Un widget para los formularios y las páginas que aloja usted mismo, y una puerta en el origen para todo lo que se ejecuta en Xuda. La misma escalera, las mismas claves, el mismo panel.
Una casilla, no una carrera de obstáculos
El nivel 0 es un clic más un conjunto de señales que el navegador entrega de todos modos. Al superarlo no hay puzle, ni cuadrícula de autobuses, ni segundo intento. Esa es toda la experiencia para la mayoría de las personas.
Señales puntuadas antes de mostrar nada
Los recuentos de puntero, teclas y desplazamiento, la presencia de táctil, WebGL y canvas, la concurrencia del hardware, los idiomas, la zona horaria, los indicadores de automatización y el tiempo de permanencia se convierten en una única probabilidad de ser humano, con motivos con nombre como no_interaction, webdriver, headless e instant_click.
El navegador paga antes de que se le crea
Todo visitante resuelve un puzle de prueba de trabajo SHA-256, 16 bits cero iniciales de forma predeterminada, un bit más difícil con agresividad Media y dos con Alta. Barato una vez, caro a volumen de bots.
Desafíos de imagen sin biblioteca de fotos
El nivel 1 es una cuadrícula de 9 casillas dibujada en el proceso como SVG: cinco formas, ocho colores, al menos dos casillas correctas, con la consigna "Seleccione todas las imágenes que muestren un ...". No se descarga nada de un tercero ni se extrae nada de sus usuarios.
La IA como última palabra, no como primera
El nivel 2 pide un veredicto de riesgo: humano, bot o dudoso. Un visitante dudoso recibe una pregunta de sentido común generada, con la respuesta esperada en forma de hash. Si el evaluador no está disponible, el visitante se trata como dudoso en lugar de rechazarlo.
Tokens de paso de un solo uso y corta duración
Un aprobado es un token firmado que vive dos minutos y se consume la primera vez que su servidor lo verifica. Si se reenvía el mismo token, la respuesta es timeout-or-duplicate. No hay sesiones del lado del servidor que sincronizar.
Compatible con el código que ya escribió
La llamada de verificación recibe un secret y un response y responde con success, score, level_reached, hostname, challenge_ts y error-codes. Al código de backend existente normalmente solo hay que cambiarle la URL.
Aplicación en el origen, sin capa edge adicional
Los objetivos activados los aplica el propio router de Xuda. Un visitante autorizado lleva una cookie httpOnly, secure y SameSite=Lax durante la ventana de autorización, así que la pantalla intermedia es un evento único, no un peaje.
Control de avalanchas y un honeypot silencioso
60 intentos de verificación por minuto por IP de visitante y clave de sitio, 600 por minuto por clave de sitio. Un campo señuelo que se rellena hace fallar al visitante con un motivo deliberadamente poco informativo, de modo que el bot no aprende nada del rechazo.
Actívelo. Copie dos líneas. Listo.
Activar el widget por primera vez genera su clave de sitio y su clave secreta. La clave de sitio es pública y va en el fragmento de código. La clave secreta permanece en su servidor y es la que verifica un paso. Ambas viven en una sola tarjeta de la pestaña Configuración, con botones de copiar y un botón Rotar secreto al lado.
- Pegue el script una vez en cualquier página y la casilla se monta sola, o coloque el div de montaje en línea exactamente donde lo quiera.
- Rote el secreto cuando quiera. El cuadro de diálogo le advierte de que el anterior deja de funcionar en todos los lugares donde se use.
- La agresividad es un solo selector: Baja escala pocas veces, Alta escala con facilidad. Media es el valor predeterminado.
7hQ2pXv0nMbK4sRj9TfLdA•••••••••••••••••••••• 4c9E Mostrar Rotar secretoEquilibrada. La mayoría de los visitantes superan la casilla sin ver nunca un desafío.
<script src="https://xuda.io/dist/runtime/js/captcha-loader.js"
data-sitekey="7hQ2pXv0nMbK4sRj9TfLdA"></script><div class="xuda-captcha" data-sitekey="7hQ2pXv0nMbK4sRj9TfLdA"></div>Nadie ve un puzle hasta que se lo ha ganado.
El nivel 0 es la casilla, las señales pasivas y un puzle de prueba de trabajo que el navegador tiene que resolver. El nivel 1 es un desafío de imagen de 9 casillas. El nivel 2 es un veredicto de riesgo con IA y, si ese veredicto es dudoso, una pregunta generada. Cada nivel existe únicamente porque falló el anterior.
Casilla, señales y prueba de trabajo
donde se detiene casi todo el mundoEl visitante hace un clic. Del lado del servidor, las señales pasivas se convierten en una puntuación y el navegador tiene que haber resuelto el puzle de prueba de trabajo. Un aprobado que llega más rápido que la antigüedad mínima no se acepta.
- El umbral de aprobación varía con la agresividad: 0,6 en Baja, 0,7 en Media, 0,8 en Alta.
- La prueba de trabajo se limita a 8..24 bits cero iniciales cuando la fija a mano.
- El token de sesión detrás del widget vive 15 minutos.
Un desafío de imagen de 9 casillas
solo después de fallar el nivel 0Una forma objetivo, nueve casillas, al menos dos de ellas correctas. La cuadrícula se genera en el momento a partir de cinco formas y ocho colores, y se corrige contra un hash de las casillas correctas en lugar de una respuesta almacenada.
- Actualizar entrega una cuadrícula nueva; Verificar envía la selección.
- Cada desafío emitido es válido durante dos minutos.
- Sin fotografías, sin señales de tráfico, sin biblioteca de un proveedor.
Una verificación de riesgo con IA y luego una pregunta
el último paso antes de un bloqueoLa evidencia recogida pasa a un veredicto de riesgo estructurado: una puntuación, un veredicto de humano, bot o dudoso, y un motivo. Un humano claro pasa, un bot claro se bloquea y un visitante dudoso recibe exactamente una pregunta generada para responder.
- El veredicto tiene que puntuar al menos 0,7 para aprobar en este nivel.
- La pregunta generada es válida durante tres minutos y se hace una sola vez.
- Si no se puede contactar con el evaluador, el visitante se trata como dudoso, no como rechazado.
Su backend ya sabe cómo hablar con esto.
El endpoint de verificación recibe un secret y un token de respuesta y responde con la misma forma con la que responden reCAPTCHA y Turnstile. Si ya escribió ese código una vez, ya lo escribió para esto. Normalmente solo cambia la URL.
- La misma forma de solicitud que las llamadas siteverify que ya ha escrito: un secret, un token de respuesta y una IP de visitante opcional.
- Un aprobado devuelve la puntuación y el nivel que alcanzó el visitante, para que pueda registrar cuánto tuvo que esforzarse la verificación.
- Los fallos vuelven como códigos legibles: missing-input, invalid-input-secret, invalid-input-response, timeout-or-duplicate.
- Llámelo solo desde su servidor. La clave secreta es la credencial, así que nunca debe estar en el marcado de la página.
$ curl -X POST https://xuda.io/cpi/captcha_siteverify \
-H 'content-type: application/json' \
-d '{"secret":"YOUR_SECRET_KEY","response":"<token from the form>"}'
{
"success": true,
"score": 0.86,
"level_reached": 0,
"hostname": "studio.co",
"challenge_ts": "2026-08-11T09:14:02Z",
"error-codes": []
}Ponga la verificación delante de todo el sitio.
Elija un VPS, un despliegue, un datacenter o un balanceador de carga que aloje con Xuda y active Activado. Cada visitante sin autorización recibe una pantalla completa de "Comprobando su navegador" antes de que cargue el sitio. Desactívelo y dejan de verla. Hoy solo se pueden proteger objetivos alojados en Xuda.
| Objetivo | Tráfico | Activado |
|---|---|---|
shop.mysite.com Despliegue · eu1 | 18,402 servidos 1,196 desafiados, 284 bloqueados | |
api-prod-01 VPS · us1 | 6,051 servidos 410 desafiados, 97 bloqueados | |
edge-balancer Balanceador de carga · eu1 | 2,338 servidos 84 desafiados, 12 bloqueados |
Aplicado en su origen
El router de Xuda mantiene en memoria la lista de objetivos activados y la actualiza cada 30 segundos, así que activar y desactivar surte efecto en una sola actualización y no hay un salto adicional en la ruta crítica.
Un solo paso y después silencio
Un visitante que supera la verificación recibe una cookie de autorización httpOnly, secure y SameSite=Lax, y navega con normalidad durante el resto de la ventana, 30 minutos de forma predeterminada.
O un solo interruptor en la aplicación
La tarjeta de Acciones rápidas de un despliegue incluye "Bot Protection (bajo ataque)". Actívelo ahí y se levanta la misma verificación, con una línea de desafíos servidos debajo.
Reglas por país, ruta y hora.
A veces la respuesta no es ponerlo más difícil para todos, sino para un país, una ruta o una franja del día. Las reglas personalizadas se ejecutan en el edge en un orden fijo, así que siempre sabe qué regla ganó. Vienen con el plan Custom Rules.
- Permitir, desafiar o bloquear por país, elegido de la lista completa ISO 3166-1 alfa-2.
- Reglas por ruta como /login o /checkout, cada una configurada para desafiar, bloquear o permitir.
- Ventanas por hora del día y día de la semana, para los momentos en que sabe que el tráfico debería estar tranquilo.
- Listas de permitir siempre y bloquear siempre que admiten direcciones IP, rangos CIDR o códigos de país.
- Un requisito de referer, además de una ventana de autorización que puede fijar entre un minuto y 24 horas.
Cuatro niveles y una línea en la factura.
El plan está en la cuenta, no en cada elemento protegido, así que aquí nada se cobra por objetivo protegido. Free es una activación más que una prueba, y cambiar entre niveles de pago recotiza una sola línea en lugar de acumular un segundo cargo.
Gratis
Empiece aquíLa casilla en sus propios formularios y la verificación de página completa en todo lo que aloje con Xuda.
- La casilla "no soy un robot" en cualquier página que aloje usted mismo, como etiqueta de script o como div de montaje en línea.
- La verificación de página completa delante de un VPS, un despliegue, un datacenter o un balanceador de carga de Xuda.
- Verificación del lado del servidor a través del endpoint siteverify, sin ninguna clave de API de por medio.
- La agresividad, la dificultad de la prueba de trabajo y la ventana de autorización de 30 minutos son suyas para configurarlas.
- Objetivos que aloja en otro lugar
- Acceso programático a la API
- Reglas personalizadas
- Cobrado por objetivo protegido
- Nunca
External
El derecho a proteger un objetivo alojado en un lugar distinto de Xuda.
- La capacidad de objetivos externos en la cuenta, aplicada en el código y lista para el día en que se abra la vía de conexión.
- Objetivos que aloja en otro lugar
- Con derecho, aún no conectable
- Acceso programático a la API
- Reglas personalizadas
- Cobrado por objetivo protegido
- Nunca
API
Pensado para gobernar la verificación desde su propio código. La superficie programática todavía no está abierta.
- La capacidad de API en la cuenta. Verificar un paso desde su propio backend no depende de ella: el endpoint siteverify es público y está en Free.
- Objetivos que aloja en otro lugar
- Con derecho, aún no conectable
- Acceso programático a la API
- Aún no disponible
- Reglas personalizadas
- Cobrado por objetivo protegido
- Nunca
Custom Rules
El más completoPara cuando una medida general es demasiado tosca y quiere apuntar la verificación a un país, una ruta o una franja concreta.
- Permitir, desafiar o bloquear por país, desde la lista completa ISO 3166-1 alfa-2.
- Reglas por ruta como /login o /checkout, cada una configurada para desafiar, bloquear o permitir.
- Ventanas por hora del día y día de la semana, más un requisito de referer.
- Listas de permitir siempre y bloquear siempre que admiten direcciones IP, rangos CIDR o códigos de país.
- Agresividad por objetivo, evaluada en el edge en un orden fijo para que sepa qué regla ganó.
- Reglas de ruta
- 100 máx.
- Entradas por lista de permitidos o bloqueados
- 200 máx.
- Ventana de autorización
- 1 min a 24 horas
- Cobrado por objetivo protegido
- Nunca
Dicho claramente: Bot Protection está activo y verificado en dev y todavía no se ha publicado en las regiones de producción. El nivel External es facturable, pero hoy no hay forma de adjuntar un objetivo fuera de Xuda. Los métodos del nivel API no están abiertos a claves de API, así que la única superficie sin clave por ahora es el endpoint de verificación del lado del servidor, y eso ya está en Free. En Custom Rules, las reglas de país, ruta, hora, día, referer y las listas de permitidos y bloqueados se aplican en el edge; los controles de tasa, huella digital y ASN maliciosos se guardan pero todavía no se ejecutan.
Ningún proveedor con el que registrarse. Ningún visitante que entregar.
Las opciones realistas son un widget de captcha alojado por un tercero, un bloqueo a nivel de red delante de su sitio o un campo honeypot que usted mismo escribió. Esto es lo que realmente le da cada uno.
Xuda Bot Protection Usted | Un widget de captcha de terceros | Un bloqueo a nivel de red | Su propio campo honeypot | |
|---|---|---|---|---|
| Casilla que puede pegar en sus propios formularios | ||||
| Verificación de página completa delante de todo un sitio alojado | ||||
| Escala solo cuando las señales parecen automatizadas | Variable | |||
| Prueba de trabajo antes de creerle al navegador | 16 bits de forma predeterminada | Variable | ||
| Desafío de imagen generado en el proceso, sin banco de fotos | Variable | |||
| Veredicto de riesgo con IA como paso final | Variable | |||
| Señales del visitante puntuadas por un tercero | Variable | Variable | ||
| Verificación del lado del servidor con la forma de siteverify | ||||
| Token de paso de un solo uso, reenvío rechazado | 2 minutos | Variable | ||
| Límite de tasa por visitante y por sitio incluido | Variable | |||
| Reglas por país, ruta, hora y día | Plan Custom Rules | Variable | ||
| Cobrado por objetivo protegido | Variable | Variable |
Lo que conviene preguntar primero.
Detenga a los bots. Deje en paz a los demás.
Active la casilla para sus propios formularios y páginas, o active la verificación de página completa delante de cualquier cosa que aloje con Xuda. Nivel Free, sin tarjeta, sin cargo por objetivo y sin ningún proveedor de captchas de por medio.