Quando a automação esbarra em CAPTCHA

Toda automação que dura o suficiente encontra uma parede. Um dia a rotina que consultava o portal do fornecedor todas as manhãs simplesmente para, e o log mostra uma página que ninguém esperava: "confirme que você não é um robô".

A reação natural é tratar isso como um obstáculo técnico e procurar como passar por ele. Vale gastar cinco minutos numa pergunta anterior, porque ela muda a resposta inteira.

Primeiro: por que o desafio apareceu

O CAPTCHA quase nunca é a primeira linha de defesa. Ele é o que o site mostra depois de decidir que aquela conexão parece automatizada. Ou seja, ele é sintoma.

As causas mais comuns, e o que cada uma sugere:

Velocidade. Trinta requisições por segundo não parecem uma pessoa lendo uma página. Diminuir o ritmo resolve mais casos do que se imagina, e é a solução mais barata que existe.

Origem. A conexão sai de uma faixa de datacenter conhecida. Aqui o assunto não é CAPTCHA, é por onde a requisição sai.

Ausência de sessão. Cada requisição chega sem cookie, sem histórico, sem nada — como se um visitante novo aparecesse mil vezes por minuto.

Volume genuinamente alto. Você está pedindo mais do que aquele site foi feito para servir.

Perseguir a resolução do desafio sem olhar a causa costuma levar a um lugar ruim: você resolve o CAPTCHA, o site aperta o critério, aparecem dois, e a conta cresce. Quando o desafio some depois que você reduz o ritmo, o problema nunca foi o desafio.

Segundo: existe um caminho oficial?

A pergunta que economiza mais trabalho é essa, e ela é frequentemente pulada.

Muito serviço que bloqueia automação no site oferece API para o mesmo dado. Às vezes documentada, às vezes só para clientes, às vezes mediante pedido. Uma API é mais rápida, mais estável, devolve dado estruturado e não quebra quando o layout muda.

Se o que você precisa é de um fornecedor com quem você tem contrato, a conversa certa é com ele, não com o HTML dele.

Terceiro: quando resolver o desafio é legítimo

Feitas as duas perguntas anteriores, sobram casos reais em que a barreira atrapalha trabalho legítimo:

• Sistema que você mesmo opera, com CAPTCHA numa etapa que o seu processo interno precisa atravessar.
• Portal público — consulta de tributo, protocolo, dado oficial — que protege contra abuso e acaba barrando quem faz consulta autorizada em volume moderado.
• Fornecedor que autorizou você a extrair aquele dado, mas não removeu a proteção do próprio site.
• Teste do seu produto, quando a suíte automatizada precisa passar por uma tela que o cliente real também vê.

Nesses casos o desafio é atrito, não segurança. E aí uma API que recebe o desafio e devolve a resposta faz sentido.

O que não faz sentido, e não é o que o produto se propõe: burlar limite de conta, criar cadastro em massa, comprar em fila prioritária ou qualquer coisa que só funcione porque o destino acredita que você é uma pessoa. Além de violar os termos de quem você está acessando, isso costuma ser exatamente o tipo de tráfego que faz o site apertar a proteção para todo mundo.

Sobre o outro pedaço: IA em automação

Junto com CAPTCHA, o que mais aparece em automação hoje é chamada de modelo de linguagem. E aqui a armadilha é diferente — não é ética, é de engenharia.

Modelo de linguagem é ótimo no que não tem regra clara e péssimo no que tem. Separar reclamação de dúvida num texto livre, resumir, extrair campo de um documento mal formatado: bom uso. Somar valores, comparar datas, decidir se um número está acima de um limite: use código. É mais barato, mais rápido e sempre dá a mesma resposta.

Três cuidados que economizam retrabalho:

• A resposta varia. A mesma entrada pode gerar saídas diferentes. Se o seu processo depende do formato, peça estrutura e valide o que voltou antes de usar.
• A chamada é lenta e pode falhar. Trate como chamada de rede: com tempo limite, nova tentativa e um caminho alternativo quando não vier resposta.
• Cuidado com o que você envia. Dado pessoal de cliente saindo do seu sistema para um provedor externo é uma decisão de privacidade, não um detalhe de implementação. Precisa estar prevista na sua política e ser deliberada.

O que reunir isso muda

Automação séria acaba com três ou quatro contratos pequenos: um para proxy, um para CAPTCHA, um para modelo de IA, e mais um para o dado que faltava. Cada um com chave própria, fatura própria, formato de erro próprio e um dia de trabalho para integrar.

O ganho de reunir não é o preço. É ter um só padrão de autenticação, um só lugar para olhar o consumo e uma conta a menos para renovar.

Onde continuar

A página de APIs para desenvolvedor descreve o que está previsto. O produto ainda não está em comercialização — a lista de modelos e os valores serão publicados no lançamento, e não vamos anunciar antes do que dá para garantir.