Desafío de Cloudflare vs Turnstile: Explicación de las diferencias clave
Specialist in Anti-Bot Strategies
Resumen:
- Son dos cosas diferentes que parecen similares. Un Challenge de Cloudflare es una protección de borde que restringe el acceso a todo un sitio; Turnstile es un widget que un sitio incorpora para verificar una acción específica, como un inicio de sesión.
- El Challenge es implementado por Cloudflare a nivel de zona. Lo encuentras como una intersticial de página completa ("Solo un momento…") antes del contenido, y al despejarlo se almacena una cookie
cf_clearance. - Turnstile es implementado por el propietario del sitio, en línea. Se encuentra en un formulario, y al pasarlo se produce un token
cf-turnstile-responseque el sitio verifica del lado del servidor. - Para un scraper, el manejo es diferente. Un Challenge necesita un navegador real que renderice y espere a que se despeje la intersticial; un Turnstile necesita que el widget funcione y que su token se lea desde el callback.
- Una herramienta cubre ambos. El Scrapeless Scraping Browser renderiza cada uno en un verdadero navegador en la nube: en una ejecución en vivo, despejó una página de challenge de Cloudflare en aproximadamente 20 segundos.
- Gratis para comenzar. Nuevas cuentas de Scrapeless incluyen tiempo de ejecución gratuito del Scraping Browser — regístrate en app.scrapeless.com.
Introducción: misma marca, dos mecanismos diferentes
La intersticial "Solo un momento…" de Cloudflare y su widget Turnstile comparten ambos el nombre de Cloudflare, ambos se sitúan entre una solicitud y el contenido, y ambos son referredidos como "el CAPTCHA de Cloudflare" en ocasiones. No son el mismo mecanismo, y tratar a ambos como uno es por lo que muchos códigos de scraping manejan uno y fallan en el otro.
Un Challenge de Cloudflare es algo que Cloudflare hace en su borde, en nombre de un sitio que representa, para decidir si una solicitud llega o no al origen. Turnstile es un widget que el propietario de un sitio incorpora deliberadamente en una página — el sucesor a un CAPTCHA de casilla de verificación — para verificar una acción específica. Esta guía presenta ambos en paralelo: qué es cada uno, dónde lo encuentras, qué produce y cómo maneja cada uno un scraper.
Qué es cada uno
Challenge de Cloudflare es protección a nivel de zona. Cuando la gestión de bots de Cloudflare no está segura de que una solicitud provenga de un navegador real, sirve una intersticial que ejecuta una verificación de JavaScript y solo reenvía la solicitud al origen una vez que pasa. Cloudflare documenta varios tipos de challenge — una detección de JavaScript que se resuelve por sí misma, un challenge gestionado que decide automáticamente, y un challenge interactivo que pide al visitante que actúe. El visitante no opta por ello; la configuración de Cloudflare del sitio lo hace.
Turnstile es un widget embebible. Un propietario de sitio agrega un <div class="cf-turnstile" data-sitekey="…"> (o lo renderiza en JavaScript) en un formulario, y Turnstile ejecuta un conjunto de verificaciones no intrusivas para confirmar que el visitante es humano. Es una alternativa que se incorpora fácilmente a un CAPTCHA de casilla de verificación, limitado a la acción que protege en lugar de a todo el sitio.
Uno al lado del otro
| Challenge de Cloudflare | Turnstile | |
|---|---|---|
| Qué es | Protección en el borde que restringe el acceso a un sitio | Un widget que verifica una acción específica |
| Quién lo implementa | Cloudflare, a nivel de zona | El propietario del sitio, en un formulario específico |
| Dónde lo encuentras | Una intersticial de página completa antes del contenido | En línea en un formulario (iniciar sesión, registrarse, comprar) |
| Disparador | La evaluación de Cloudflare sobre la solicitud | Cargar la página/formulario que lo incorpora |
| Qué produce | Una cookie cf_clearance para la sesión |
Un token cf-turnstile-response por envío |
| Cómo se verifica | En el borde de Cloudflare, de manera transparente | Del lado del servidor contra el punto de validación de Cloudflare |
| Alcance | Todo el sitio detrás de la zona | Solo la acción que protege el widget |
La indicación más clara: un Challenge es una pared frente a toda la casa que debes atravesar para ver algo; Turnstile es una cerradura en una puerta dentro de una casa en la que ya puedes moverte.
Dónde se superponen
La confusión es comprensible, porque ambos comparten tecnología. Turnstile y el Challenge interactivo utilizan la misma tecnología subyacente del widget, por lo que un Challenge interactivo puede parecer exactamente como una casilla de verificación de Turnstile. La diferencia es quién lo puso ahí y qué es lo que restringe: el Challenge es Cloudflare restrigiendo el origen; Turnstile es el sitio restringiendo un formulario. Ambos producen finalmente un token que prueba que la verificación pasó: una cookie cf_clearance para el Challenge, un cf-turnstile-response para Turnstile, ambos regulados por la semántica de cookies y encabezados en la especificación de gestión de estado HTTP.
Cómo maneja cada uno un scraper
Ambos se basan en ejecutar un navegador real, pero la condición de éxito es diferente.
Para un desafío, renderizas la página y esperas a que el intersticial se resuelva en el contenido real: el título de la página cambia de "Sólo un momento..." al título real, y se establece una cookie cf_clearance en la sesión. Las señales que Cloudflare toma en cuenta son las mismas que deciden cualquier solicitud automatizada: si JavaScript se ejecuta realmente, si la huella digital es consistente y si la dirección IP de salida es reputada, por lo que la salida residencial importa. La guía completa está en el artículo sobre cómo superar los desafíos de Cloudflare.
Para Turnstile, renderizas el formulario, dejas que el widget funcione y lees el token cf-turnstile-response de su callback antes de enviar el formulario; el token se verifica en el servidor conforme a la validación del lado del servidor de Cloudflare. Debido a que el token está vinculado a la configuración del widget, ayuda conocer los parámetros del widget; leerlos está cubierto en la guía sobre detección de parámetros de Turnstile.
Los patrones de tráfico automatizado que ambas defensas están diseñadas para detectar están catalogados en el proyecto de Amenazas Automatizadas de OWASP, razón por la cual el mismo enfoque de navegador real elimina ambos.
¿Cuál estás enfrentando?
Una guía rápida de decisiones:
- Una página completa que dice "Sólo un momento..." o "Verificando que eres humano" antes de que se cargue cualquier contenido → un Desafío de Cloudflare. Renderiza la página y espera a que el intersticial se limpie; fixa la salida residencial.
- Una casilla de verificación o widget invisible en un formulario, con el resto de la página ya visible → Turnstile. Renderiza el formulario, lee el token del callback, envía.
- Una casilla de verificación que bloquea todo el sitio → un Desafío interactivo usando una interfaz de estilo Turnstile. Trátalo como un Desafío (bloquea el origen), pero la mecánica del widget es la misma.
Un navegador en la nube administrado cubre los tres — el Navegador de Scraping renderiza cada uno en un navegador real con salida residencial, y la documentación cubre todo el flujo. En una ejecución en vivo, eliminó una página de desafío de Cloudflare en aproximadamente 20 segundos.
Conclusión: conoce qué mecanismo estás observando
El Desafío de Cloudflare y Turnstile resuelven problemas distintos para el sitio: el Desafío decide si una solicitud llega al origen, mientras que Turnstile confirma que un humano realizó una acción específica. Comparten tecnología de widget y ambos terminan en un token de prueba de paso, pero el lugar donde los encuentras, quién los despliega y qué bloquean son todos diferentes — y eso decide cómo manejarlos. Renderiza en un navegador real de cualquier manera; espera la autorización en un Desafío, lee el token en un Turnstile, y fija la salida residencial para que la solicitud parezca lo que es. Consulta la página de precios para escalar cualquiera de los flujos.
¿Listo para construir tu pipeline de datos impulsado por IA?
Únete a nuestra comunidad para reclamar un plan gratuito y conectar con desarrolladores que manejan flujos anti-bot: Discord · Telegram.
Regístrate en app.scrapeless.com para obtener tiempo de ejecución gratuito de Scraping Browser, y adapta el enfoque anterior a los flujos de Desafío o Turnstile que usan tus objetivos.
Preguntas Frecuentes
P: ¿Son lo mismo un Desafío de Cloudflare y Turnstile?
No. Un Desafío es una protección de borde que Cloudflare aplica para bloquear el acceso a todo un sitio; Turnstile es un widget que un propietario de sitio inserta para verificar una acción específica. Comparten tecnología de widget, pero son desplegados por diferentes partes y bloquean diferentes cosas.
P: ¿Cómo puedo saber cuál estoy enfrentando?
Si una página completa bloquea todo el contenido con "Sólo un momento...", es un Desafío. Si una casilla de verificación o widget invisible está en un formulario mientras el resto de la página es visible, es Turnstile. Una casilla de verificación que bloquea todo el sitio es un Desafío interactivo que utiliza la misma interfaz de widget.
P: ¿Qué produce cada uno?
Un Desafío establece una cookie cf_clearance que limpia la sesión; Turnstile produce un token cf-turnstile-response por cada envío que el sitio verifica en el servidor.
P: ¿Los manejo de la misma manera?
Ambos necesitan un navegador real. Para un Challenge, renderizas y esperas a que el intersticial se limpie; para Turnstile, renderizas el formulario, lees el token del callback y envías. La salida residencial ayuda en ambos casos.
P: ¿Puede una herramienta manejar ambos?
Sí. Un navegador en la nube gestionado renderiza cada uno en un navegador real — limpiando el intersticial del Challenge y permitiendo que el widget de Turnstile funcione — para que no tengas que configurar un manejo separado para cada uno.
En Scrapeless, solo accedemos a datos disponibles públicamente y cumplimos estrictamente con las leyes, regulaciones y políticas de privacidad del sitio web aplicables. El contenido de este blog es sólo para fines de demostración y no implica ninguna actividad ilegal o infractora. No ofrecemos garantías y renunciamos a toda responsabilidad por el uso de la información de este blog o enlaces de terceros. Antes de realizar cualquier actividad de scraping, consulte a su asesor legal y revise los términos de servicio del sitio web de destino u obtenga los permisos necesarios.
