Cos'è un CAPTCHA, e come funziona
La casella "Non sono un robot", le immagini da scegliere, o niente di visibile: cos'è davvero un CAPTCHA e come fa a riconoscere una persona da un programma.
Perché conta
Capire come funziona un CAPTCHA spiega perché a volte un sito ti blocca il passo con un'immagine da scegliere e altre volte non te ne accorgi nemmeno: non è un capriccio, è un punteggio di rischio calcolato in background.
In pratica
La prossima volta che un CAPTCHA ti sembra troppo difficile o ripetuto, sai che il sito ti ha giudicato sospetto, non che hai fatto qualcosa di sbagliato: puoi provare a ricaricare la pagina o a usare un altro dispositivo.
Un CAPTCHA è la piccola prova che un sito ti fa superare — una casella da spuntare, qualche immagine da scegliere — per controllare che dietro quel clic ci sia una persona e non un programma automatico. La sigla, nata nel 2000 all'università Carnegie Mellon, sta per "Completely Automated Public Turing test to tell Computers and Humans Apart": un test automatico e pubblico per distinguere un computer da un essere umano.
Lo trovi quasi ovunque: quando crei un account, mandi un modulo di contatto, prenoti un biglietto o lasci un commento. Serve a fermare i programmi che compilano migliaia di moduli al minuto, rubano biglietti per i bagarini, creano account falsi o riempiono di spam i commenti.
Come funziona davvero
La versione più diffusa è reCAPTCHA di Google, e la sua documentazione ufficiale descrive due modi di funzionare, molto diversi tra loro. La versione "checkbox" chiede di spuntare una casella con scritto "Non sono un robot": se il sistema non ha dubbi, basta quello; se sei sospetto, in più ti chiede di scegliere delle immagini (per esempio "tutte quelle con un semaforo"). La versione più recente, reCAPTCHA v3, lavora invece senza che tu te ne accorga: osserva come ti muovi sulla pagina e dà al sito un punteggio da 0 (probabile programma) a 1 (probabile persona), che il sito usa per decidere se lasciarti passare, chiederti un controllo in più o bloccarti. Esiste anche hCaptcha, un concorrente che dichiara di valutare il comportamento di chi naviga senza raccogliere dati personali, con un'architettura che chiama "Zero-PII".
A cosa serve, in pratica
- Impedire la creazione in massa di account falsi.
- Proteggere gli accessi da tentativi automatici di indovinare una password.
- Bloccare i programmi che accaparrano biglietti o sconti a tempo limitato.
- Ridurre lo spam nei commenti e nei moduli di contatto.
Quando serve, e quando non basta
Un CAPTCHA non è una garanzia di sicurezza assoluta: rende solo più costoso, in tempo e calcoli, automatizzare un'azione, non la rende impossibile. Una nota del consorzio W3C (che scrive gli standard del web) cita una stima di Cloudflare secondo cui una persona impiega in media 32 secondi per superarne uno, e ricorda uno studio dell'Università del Maryland che dichiara un tasso di riuscita del 90% nel decifrare con un software la versione audio di reCAPTCHA. Per chi ha una disabilità visiva, usa uno screen reader o fa fatica con l'inglese, un CAPTCHA fatto di immagini o testo distorto può diventare un ostacolo vero, non un fastidio di pochi secondi: lo stesso documento del W3C chiede per questo ai siti di offrire più di un modo per superarlo.
Gli errori più comuni
Pensare che il CAPTCHA sia sempre la casella con le immagini: oggi la versione più usata spesso non mostra niente, perché lavora in background e giudica dal comportamento, non da una sfida visibile. Pensare che superarlo metta al sicuro i propri dati: il CAPTCHA controlla solo che a cliccare sia, probabilmente, una persona; non protegge la password né cifra la connessione. Confonderlo con l'autenticazione a due fattori: quella controlla che tu sia davvero il titolare dell'account, di solito con un codice sul telefono; il CAPTCHA controlla solo che non sia un programma a cliccare.
Per andare avanti
La documentazione ufficiale di reCAPTCHA, tra le fonti di questo articolo, spiega nel dettaglio le differenze tra le versioni; la nota del W3C sull'accessibilità dei CAPTCHA spiega perché restano un problema per chi ha una disabilità.
Questa guida è aggiornata al 4 novembre 2026: le verifiche "invisibili" come reCAPTCHA v3 stanno sostituendo sempre più le caselle da spuntare, quindi la parte che cambia più in fretta è quale tipo di prova incontri davvero.
