Table of Contents
¿Qué es reCAPTCHA y por qué deberías activarlo?
Google reCAPTCHA es una herramienta gratuita que te ayuda a verificar que quien interactúa con tu sitio es una persona real y no un bot. Al integrarlo en WordPress, puedes:
Reducir el spam en formularios de contacto y comentarios.
Prevenir registros falsos.
Aumentar la seguridad general del sitio, un terreno donde los ataques dejan lecciones caras.
Existen varias versiones de reCAPTCHA (v2, v3, invisible), y puedes elegir la que mejor se adapte a tus necesidades.
Paso 1: Crear las claves de reCAPTCHA en Google
Inicia sesión con tu cuenta de Google.
Registra una nueva propiedad:
Ingresa un nombre para identificar tu sitio.
Elige la versión de reCAPTCHA (recomendamos reCAPTCHA v3 o v2 “No soy un robot”).
Añade el dominio de tu sitio web (sin
https://).Acepta los términos y haz clic en “Enviar”.
2. Copia la clave del sitio (Site Key) y la clave secreta (Secret Key) que te proporciona Google.
Dónde se pegan las claves dentro de WordPress
Con la clave del sitio y la clave secreta ya copiadas, el resto del trabajo ocurre dentro de WordPress. Hay dos caminos y la diferencia entre ellos es cuánto quieres acercarte al código.
El camino corto pasa por un plugin. Los formularios más usados traen su propio apartado: en Contact Form 7 las claves se guardan en Contacto, Integración; en WPForms y en Elementor Pro aparecen dentro de los ajustes generales del constructor de formularios. Se pegan una sola vez y quedan disponibles para todos los formularios del sitio, así que no hace falta repetir el proceso formulario por formulario.
El camino largo es insertar la librería de Google a mano en el tema y añadir la validación del lado del servidor. Tiene sentido cuando el formulario es propio y no depende de ningún plugin, pero obliga a mantener ese código cada vez que el tema se actualiza. Para la mayoría de sitios pequeños el plugin sale más barato en tiempo y en riesgo.
Una advertencia que ahorra disgustos: las claves son específicas del dominio que registraste. Si el sitio vive en un subdominio o si primero se prueba en un entorno de staging, hay que añadir esos dominios en el panel de Google o reCAPTCHA devolverá un error de clave inválida sin más explicación.
Qué versión conviene según el tipo de formulario
La elección entre v2 y v3 no es una cuestión de cuál es más moderna, sino de qué quieres que vea el visitante.
La v2 es la casilla de «No soy un robot», y a veces el mosaico de imágenes. Interrumpe, pero deja claro que hay una verificación y funciona bien en formularios que se envían de forma puntual: un contacto, una solicitud de presupuesto, un registro. Su variante invisible se activa sola y solo muestra el reto cuando la señal es dudosa.
La v3 no muestra nada. Puntúa cada visita entre cero y uno, y deja en tus manos qué hacer con esa puntuación. Encaja en sitios con mucho tráfico o con varios formularios, donde una casilla en cada paso acabaría cansando. El precio es que hay que decidir el umbral: por debajo de 0,5 suele haber bots, pero un umbral demasiado alto empieza a bloquear personas reales, y esas personas no reciben ningún aviso de por qué su mensaje no llegó.
Si el formulario mueve algo importante, conviene empezar con un umbral permisivo y subirlo mirando qué entra, en lugar de apretar desde el primer día.
Cómo comprobar que reCAPTCHA está trabajando
Activarlo y darlo por hecho es el error más común. La comprobación lleva dos minutos.
Lo primero es visual: al cargar la página del formulario debe aparecer el distintivo de reCAPTCHA en una esquina, o la casilla si se eligió la v2. Si no está, las claves no se guardaron o el plugin no las está aplicando a ese formulario en concreto.
Lo segundo es funcional: enviar el formulario desde una ventana de incógnito y confirmar que el mensaje llega. Muchos sitios activan la protección, dejan de recibir correos y tardan semanas en enterarse, porque nadie vuelve a probar el formulario después de tocarlo.
Lo tercero es el panel de Google. En la consola de reCAPTCHA aparece un gráfico con las peticiones recibidas y el reparto de puntuaciones. Si después de unos días ese gráfico sigue plano en cero, el sitio no está enviando nada a Google por mucho que el distintivo se vea.
Problemas frecuentes al activarlo
El error de «clave inválida» casi siempre es un dominio que falta en el panel, o las dos claves intercambiadas. La del sitio es pública y viaja en el HTML; la secreta nunca debería aparecer ahí.
El distintivo tapando un botón es otro clásico. Google permite ocultarlo siempre que se mencione la protección en el texto del formulario, y esa mención es obligatoria si se esconde el logotipo.
También hay conflictos con la caché. Si el sitio sirve páginas cacheadas, el token de reCAPTCHA puede llegar caducado y los envíos fallarán de forma intermitente, que es la peor versión del problema porque no se reproduce cuando uno lo prueba. Excluir de caché la página del formulario resuelve la mayoría de estos casos.
Y conviene recordar que reCAPTCHA filtra automatismos, no a personas. Contra el spam enviado a mano sigue haciendo falta moderación, y contra formularios rellenados por granjas de clics no hay casilla que valga.
