Google reCAPTCHA para WooCommerce: guía de configuración que protege tus ventas

Un dueño de tienda añade reCAPTCHA después de una serie de pedidos falsos y registros spam.

En una semana, los pedidos falsos se detienen. También se detienen algunos pedidos reales.

Una clienta escribe por Instagram diciendo que el pago no la dejaba pasar por un rompecabezas de semáforos y pasos de peatones. Otra simplemente se rindió y compró a la competencia.

El dueño de la tienda nunca quiso complicar el pago. Solo quería eliminar a los bots.

Configurar Google reCAPTCHA para WooCommerce suele ser sencillo. Lograr que los ajustes bloqueen a los bots sin bloquear a los clientes requiere un poco más de cuidado. Aquí tienes cómo añadirlo de forma que proteja tu tienda en lugar de costarte ventas en silencio.

Qué protege realmente reCAPTCHA en una tienda WooCommerce

reCAPTCHA es un servicio gratuito de Google que comprueba si un visitante que rellena un formulario es una persona o un script automatizado. Funciona en segundo plano en una página, normalmente un formulario de inicio de sesión, un formulario de registro o el pago, y devuelve a la web una señal sobre la probabilidad de que ese visitante sea un bot.

reCAPTCHA v2 frente a v3, en términos sencillos

Google ha publicado dos versiones principales que funcionan de forma distinta. reCAPTCHA v2 es la versión que la mayoría reconoce: una casilla que dice

una casilla que dice «No soy un robot», a veces seguida de un reto para elegir semáforos o pasos de peatones en una cuadrícula de fotos. reCAPTCHA v3 funciona de otra manera. Se ejecuta de forma invisible en segundo plano, puntuando el comportamiento de cada visitante en una escala, sin casilla ni rompecabezas que nadie tenga que superar. La documentación de Google sobre cómo funciona reCAPTCHA explica ambas versiones con más detalle técnico, incluido cómo funcionan en realidad la puntuación y las solicitudes de verificación.

Lo que realmente protege en una tienda

En una web típica de WooCommerce, reCAPTCHA suele añadirse a uno o varios de un puñado de formularios: la página de pago, el inicio de sesión de clientes, el registro de cuentas y el formulario de contacto. Con un plugin de reCAPTCHA para WordPress, cada uno puede ser blanco de bots por una razón distinta, y qué formularios proteges y con qué versión importa más que activar la función en todas partes a la vez.

Por qué los dueños de tienda añaden reCAPTCHA

La mayoría de los dueños no añaden reCAPTCHA por curiosidad. Lo hacen después de notar un patrón que ya les cuesta tiempo o dinero.

Problemas comunes de bots en tiendas pequeñas

Un formulario de contacto lleno de mensajes spam es uno de los detonantes más comunes, ya que un formulario abierto sin protección es un blanco fácil para los scripts automatizados. Los registros de cuentas falsos son otro, a menudo creados en masa por bots que prueban listas de correos robadas o intentan acumular cuentas para un uso abusivo posterior. Una oleada de pedidos spam en WooCommerce realizados con el mismo número de tarjeta robado, probado con pequeñas cantidades en muchas tiendas, es un tercer caso, y suele ser el que empuja al dueño a actuar con rapidez. Nuestra guía sobre por qué un bot de tráfico web perjudica tu SEO en lugar de ayudarlo trata un patrón relacionado: el tráfico automatizado que parece actividad pero no representa a clientes reales, que es el mismo problema de fondo apareciendo en otra parte del sitio.

Por qué importa el fraude de prueba de tarjetas en el pago

La prueba de tarjetas es el motivo concreto por el que la protección del pago se prioriza sobre otros formularios. Un bot pasa una lista de números de tarjeta robados por el pago de una tienda en transacciones pequeñas y rápidas, comprobando cuáles siguen siendo válidas antes de usarlas en otro sitio para una compra mayor. Cada intento puede generar una comisión del procesador de pagos incluso cuando el cargo es rechazado, y un lote lo bastante grande puede hacer que la cuenta de pagos de la tienda sea revisada, lo que supone una interrupción mayor que las comisiones por sí solas. reCAPTCHA en el pago es una de las formas más directas de dificultar que este tipo de prueba automatizada se ejecute a gran escala.

Dónde puede fallar reCAPTCHA en el pago

El pago también es la página donde un error de reCAPTCHA cuesta más, porque es el único paso entre el comprador y una venta completada.

Por qué el pago es distinto de un formulario de inicio de sesión

Un cliente que no supera un reto de inicio de sesión normalmente lo vuelve a intentar, porque ya sabe que quiere entrar en su cuenta. Un cliente en el pago suele estar decidiendo en ese momento, sobre todo desde el móvil, con prisa o comparando precios en varias pestañas. Un rompecabezas confuso, un reto que carga lento o un falso positivo que bloquea una tarjeta legítima no es en ese punto un pequeño retraso. Es un motivo para cerrar la pestaña y comprar en otro sitio.

Señales de que reCAPTCHA te está costando ventas

Un aumento del abandono de carrito en WooCommerce justo después de activar reCAPTCHA es la señal más clara de que algo va mal, sobre todo si coincide de cerca con la fecha en que se añadió. Los mensajes de clientes que mencionan una casilla confusa, un rompecabezas que no cargaba o un pedido que no se completaba merecen atención aunque sean poco frecuentes, ya que la mayoría de los compradores frustrados nunca se molesta en escribir. Una caída de pedidos completados específicamente en móvil es otro patrón que conviene revisar, porque los retos con imágenes y los widgets de carga lenta suelen causar más problemas en una pantalla pequeña y con una conexión más débil que en el escritorio.

Elegir la versión adecuada de reCAPTCHA para cada formulario

No todos los formularios de una tienda necesitan la misma versión, y tratar el pago igual que una página de inicio de sesión es una de las razones más comunes por las que reCAPTCHA termina costando ventas.

Por qué reCAPTCHA v3 es la mejor opción para el pago

Como reCAPTCHA v3 funciona de forma invisible y devuelve una puntuación sin pedir nada al cliente, no añade ningún paso visible al pago. Eso importa en el momento en que el comprador está más cerca de completar la compra y menos dispuesto a tolerar un clic extra. La documentación de Google sobre reCAPTCHA v3 describe cómo se genera la puntuación a partir de señales en segundo plano y no de ninguna acción del visitante, y por eso encaja mejor que un reto visible en una página de alto riesgo como el pago.

Cuándo la casilla v2 todavía tiene sentido

Una casilla visible encaja bien en formularios donde una pequeña fricción no pone en riesgo una venta, como una página de inicio de sesión, un formulario de registro de cuenta o un formulario de contacto. Son momentos de bajo riesgo en los que el cliente ya espera dar un paso extra, y la casilla da al dueño una capa de protección más clara y visible frente a intentos repetidos de bots en formularios que no tienen por qué sentirse sin fricción.

Cómo obtener tus claves de reCAPTCHA antes de empezar

Antes de que cualquier plugin o ajuste del lado de WooCommerce tenga efecto, la tienda necesita una clave de sitio y una clave secreta de Google, vinculadas a su propio dominio.

Registrar tu sitio en la consola de administración de reCAPTCHA

Registrar un sitio toma unos minutos en la consola de administración de reCAPTCHA de Google. El proceso pide el dominio en el que se usarán las claves, junto con la versión para la que se generarán, v2 o v3. Una vez registrado, Google emite dos claves: una clave de sitio, que se usa en la parte pública de la tienda, y una clave secreta, que se usa en el servidor para verificar las respuestas. Ambas son necesarias para que la configuración funcione, y ninguna sirve sin la otra.

Mantener tus claves y dominios bien emparejados

Las claves están vinculadas al dominio exacto con el que se registraron, así que una clave de sitio generada para example.com no funcionará correctamente en www.example.com ni en un subdominio de pruebas, a menos que ese dominio también se haya añadido durante el registro. Si una tienda funciona en un entorno de pruebas antes del lanzamiento, conviene añadir ese dominio también en la consola de administración, o las pruebas fallarán de maneras que parecen un problema del plugin cuando en realidad es un desajuste de dominio. Guardar una copia de ambas claves en un lugar seguro, fuera de la pantalla de ajustes del plugin, también ahorra tiempo si el plugin algún día hay que reinstalarlo o cambiarlo por otro.

Paso a paso: cómo instalar reCAPTCHA en WooCommerce

Con las dos claves en la mano, la instalación en una tienda WooCommerce suele ser la parte más rápida de todo el proceso.

Elegir un plugin de reCAPTCHA para WordPress

La mayoría de las tiendas añaden reCAPTCHA mediante un plugin de WordPress en lugar de editar directamente los archivos del tema, ya que un plugin se encarga de la conexión técnica entre las claves y los formularios del sitio. Algunas extensiones de WooCommerce y plugins de pago ya incluyen compatibilidad con reCAPTCHA, algo que conviene revisar antes de instalar un plugin aparte. Aun así, un plugin de reCAPTCHA dedicado sigue siendo la opción más flexible para la mayoría de las tiendas, ya que normalmente permite elegir qué formularios se protegen y qué versión se aplica a cada uno, en lugar de dejar todo el sitio atado a un único ajuste.

Sea cual sea el plugin que elijas, confirma que admite la versión que realmente quieres en cada formulario. Un plugin creado solo en torno a la casilla de v2 no te dará el comportamiento invisible de v3 que necesita el pago, y lo mismo ocurre al revés.

Un ejemplo práctico: configurarlo en una tienda pequeña

Imagina una pequeña panadería que vende cajas de regalo en línea con WooCommerce. Este ejemplo es ilustrativo. La dueña registra el sitio en la consola de administración de reCAPTCHA de Google dos veces, una para v3 y otra para v2, ya que la tienda planea usar ambas versiones en páginas distintas. De ese paso salen dos claves de sitio y dos claves secretas.

Después, la dueña instala un plugin de reCAPTCHA y pega las cuatro claves en su pantalla de ajustes, emparejando cada par con la versión correcta. En los ajustes de formularios del plugin, el pago pasa a v3 sin casilla visible. El inicio de sesión, el registro y la página de contacto pasan a v2 con la casilla activada. Al guardar el plugin, la tienda ya tiene dos tipos distintos de protección funcionando en dos tipos distintos de páginas, sin que ninguna interfiera con la otra.

Todo el proceso, desde registrar las claves hasta guardar los ajustes del plugin, toma menos de media hora para una tienda de este tamaño. La parte que lleva más tiempo, y que más importa, es todo lo que se explica a continuación: definir el umbral y probarlo bien antes de que los clientes lo vean.

Ajustar el umbral de puntuación sin bloquear a clientes reales

La puntuación invisible de reCAPTCHA v3 solo es útil una vez que la tienda decide qué hacer con la puntuación que devuelve, y este ajuste único es de donde viene la mayor parte de la fricción en el pago.

Cómo funciona realmente el umbral de puntuación

reCAPTCHA v3 puntúa a cada visitante en una escala de 0.0 a 1.0, donde una puntuación más cercana a 1.0 sugiere que la interacción parece la de una persona real y una más cercana a 0.0 sugiere que parece automatizada. La decisión sobre qué hacer en cada punto de esa escala la toma la tienda, no Google. Un enfoque habitual es elegir un número como umbral y tratar como sospechoso todo lo que quede por debajo, ya sea bloqueando la acción directamente o marcándola para una segunda comprobación.

La puntuación en sí no es un veredicto de culpabilidad. Es una estimación de probabilidad basada en señales de fondo, como el comportamiento de navegación y los patrones de interacción, y como cualquier estimación de probabilidad, acierta mal con algunos visitantes en ambas direcciones.

Empezar con un umbral flexible y ajustarlo con el tiempo

Fijar el umbral demasiado estricto desde el principio es una de las formas más comunes en que reCAPTCHA termina bloqueando a compradores reales. Un visitante nuevo que navega desde un dispositivo nuevo, una red compartida de oficina o un navegador centrado en la privacidad puede obtener a veces una puntuación más baja que un cliente que regresa desde un dispositivo conocido, aunque ambos sean genuinos. Empezar con un umbral más bajo y flexible, y ajustarlo solo después de observar el tráfico real durante unas semanas, le da a la tienda la oportunidad de ver cómo puntúa su base de clientes real, en lugar de adivinar un número que suena razonable en teoría.

La mayoría de las tiendas obtienen mejores resultados si tratan una puntuación baja como motivo para una comprobación adicional más ligera, como un paso extra de confirmación, en lugar de un bloqueo automático. Así, una puntuación baja equivocada no se convierte en una venta perdida.

Probar reCAPTCHA antes de que entre en funcionamiento

Una configuración que parece correcta en los ajustes del plugin puede comportarse de forma distinta cuando un visitante real, en un dispositivo real y con una conexión real, llega a la página.

Una prueba previa al lanzamiento de 20 minutos

Antes de confiar en reCAPTCHA con clientes reales, conviene recorrer el pago y cada otro formulario protegido como si fueras tú el comprador, en más de un dispositivo y con más de un estado del navegador. Con 20 minutos suele bastar para detectar los problemas más importantes.

Nuestra lista de verificación de auditoría SEO recoge un enfoque parecido para una revisión técnica del sitio: recorrer la web página por página, como lo haría un visitante, en lugar de confiar en que un ajuste es correcto solo porque se guardó. El mismo hábito se aplica aquí.

Errores comunes que frustran a los clientes reales

La mayoría de las quejas relacionadas con reCAPTCHA se deben a una lista corta de decisiones de configuración que se repiten en muchas tiendas distintas.

Cada uno de estos errores se corrige en una sola vez en cuanto se detecta, y por eso la prueba antes del lanzamiento importa más de lo que parece. Detectar un desajuste o un umbral demasiado estricto en una prueba de veinte minutos no cuesta nada. Detectarlo después de una semana de ventas perdidas cuesta mucho más.

Cómo supervisar reCAPTCHA después del lanzamiento

Tener reCAPTCHA activo no es el último paso. Las semanas posteriores al lanzamiento son cuando se nota un umbral mal ajustado o un formulario que se comporta de forma distinta con tráfico real que en las pruebas.

Qué revisar en la consola de administración de reCAPTCHA

La consola de administración de reCAPTCHA de Google muestra un desglose de las puntuaciones que ha devuelto para tu sitio, lo que da una idea aproximada de dónde cae el tráfico real en la escala de 0,0 a 1,0. Si una parte importante del tráfico que parece genuino se agrupa justo por debajo del umbral que configuraste, eso indica que el umbral necesita relajarse, y no que el tráfico sea sospechoso. Revisar esto cada semana durante el primer mes después del lanzamiento detecta una configuración mal calibrada antes de que cueste muchas ventas.

Cuándo tiene más sentido un enfoque alternativo

reCAPTCHA no es la única forma de reducir el spam y el fraude, y no siempre es la mejor opción para cada tienda. Un campo trampa (honeypot), es decir, un campo oculto del formulario que es invisible para un visitante real pero que los bots sencillos rellenan, puede detectar mucho spam básico sin ningún paso visible para nadie. La limitación de intentos en el pago, a través de un procesador de pagos o de un plugin de seguridad, puede frenar las pruebas de tarjetas sin afectar en absoluto la experiencia del cliente. Si reCAPTCHA sigue generando quejas incluso después de ajustar el umbral y probar todos los formularios, conviene comprobar si alguna de estas alternativas más ligeras resolvería el mismo problema con menos fricción. Nuestra guía de auditoría SEO técnica explica cómo priorizar este tipo de correcciones en un sitio, un hábito útil para decidir si una configuración de seguridad merece mantenerse tal cual, ajustarse o reemplazarse.

Qué papel tiene RepGet

RepGet no configura reCAPTCHA, no establece umbrales de puntuación ni gestiona la configuración del pago de WooCommerce. Ese trabajo se hace en la consola de administración de Google y en los ajustes del plugin de tu tienda, y requiere a alguien que conozca el tráfico real y a los clientes de la tienda para encontrar el equilibrio correcto.

Lo que RepGet sí cubre es el panorama técnico y de contenidos más amplio de una tienda como esta. Su auditoría web gratuita rastrea un sitio y le asigna una puntuación SEO de 0 a 100, señalando problemas técnicos y de contenido que vale la pena investigar, el tipo de cosas que pueden pasar meses sin que nadie las note mientras la atención está puesta en la configuración del pago. No requiere cuenta ni tarjeta de crédito. Es una forma razonable de revisar qué más podría necesitar atención en el mismo sitio donde acaba de instalarse reCAPTCHA.

RepGet no garantiza un posicionamiento, una reducción del fraude ni una tasa de conversión específica en el pago, y tampoco sustituye las decisiones que se explican a lo largo de esta guía: qué versión usar en cada caso, con qué umbral empezar y cuándo una queja de un cliente merece una acción.

En resumen

Google reCAPTCHA para WooCommerce cumple una función real: reduce los envíos de spam, los registros de cuentas falsas y el fraude por pruebas de tarjetas, y es gratuito. Lo que determina si ayuda o perjudica a una tienda no es si añadirlo o no. Es qué versión va en cada lugar, qué tan estricto es el umbral al empezar y si alguien lo probó de verdad como cliente antes de que los compradores reales encontraran los problemas primero.

El pago requiere el reCAPTCHA v3 invisible, empezando con un umbral flexible y ajustándolo cuando el tráfico real muestre cómo se ven tus clientes para el sistema de puntuación de Google. Los formularios de inicio de sesión, registro y contacto pueden llevar la casilla v2 visible sin mucho riesgo, ya que un paso pequeño ahí no cuesta una venta como ocurre en el pago. Nada de esto tiene por qué ser complicado, pero saltarse la prueba es la forma en que una solución bien intencionada contra el spam se convierte, sin hacer ruido, en un motivo para que los clientes se vayan sin comprar.

Descubre primero qué necesita tu sitio web

Antes o después de configurar reCAPTCHA, conviene saber qué más necesita el sitio de tu tienda. Realiza una auditoría web gratuita con RepGet para ver los problemas técnicos y de contenido que vale la pena corregir. No requiere cuenta ni tarjeta de crédito.