Google rompe reCAPTCHA para usuarios de Android sin servicios de Google
El nuevo sistema de verificación empieza a exigir Google Play Services incluso para demostrar que sos humano
Google volvió a mover una pieza silenciosa pero importante dentro de la infraestructura de Internet. Esta vez el cambio afecta directamente a quienes usan versiones “de-googled” de Android, como GrapheneOS o ROMs personalizadas sin Google Play Services.
El problema: el nuevo sistema de reCAPTCHA puede fallar automáticamente si el dispositivo no ejecuta los servicios propietarios de Google.
En otras palabras, para demostrar que no sos un bot, ahora podrías necesitar ejecutar software de Google en segundo plano.
El cambio: del CAPTCHA clásico a validación ligada al dispositivo
Durante años, reCAPTCHA funcionó con desafíos relativamente universales:
seleccionar imágenes,
resolver pequeños puzzles,
o simplemente analizar comportamiento de navegación.
Pero Google está migrando hacia un modelo mucho más ligado a la identidad y confiabilidad del dispositivo.
Según documentación y reportes recientes, el nuevo sistema puede exigir:
escanear un código QR,
usar un teléfono Android compatible,
y tener Google Play Services 25.41.30 o superior.
Para la mayoría de usuarios comunes esto probablemente pase desapercibido.
Para quienes usan Android sin componentes propietarios de Google, no.
Qué es un Android “de-googled”
Existen usuarios y proyectos que buscan utilizar Android reduciendo al mínimo la dependencia de Google.
Entre los más conocidos:
GrapheneOS
CalyxOS
LineageOS sin GApps
Las razones varían:
privacidad,
seguridad,
reducción de telemetría,
soberanía digital,
o simplemente control técnico sobre el dispositivo.
En estos sistemas, Google Play Services suele eliminarse completamente o ejecutarse dentro de entornos aislados.
Y ahí aparece el conflicto.
El CAPTCHA ya no verifica solo humanos
La discusión técnica de fondo es mucho más grande que un CAPTCHA roto.
Lo que parece emerger es un modelo donde Internet deja de confiar únicamente en el comportamiento humano y empieza a confiar en plataformas “certificadas”.
Es decir:
no alcanza con parecer humano,
el dispositivo también debe pertenecer a un ecosistema considerado legítimo.
Ese matiz cambia completamente la lógica de acceso a la web.
Algunos investigadores y usuarios comparan este enfoque con mecanismos de “remote attestation”, donde el dispositivo prueba criptográficamente que ejecuta software aprobado por una empresa determinada.
Aunque Google no presentó públicamente este cambio en esos términos exactos, la dirección técnica preocupa especialmente a comunidades de privacidad y software libre.
La web abierta empieza a depender de plataformas cerradas
El punto más delicado quizá no sea técnico sino estructural.
reCAPTCHA no es un servicio marginal:
millones de sitios dependen de él,
forma parte de la infraestructura invisible de Internet,
y muchas veces los administradores web ni siquiera saben cómo funciona internamente.
Cuando una pieza tan central empieza a exigir componentes propietarios específicos, la consecuencia práctica es que una empresa privada gana capacidad indirecta de definir:
qué dispositivos son “válidos”,
qué sistemas operativos funcionan correctamente,
y qué usuarios generan suficiente “confianza” para navegar.
Todo esto ocurre además en un contexto donde:
Google domina Android,
Chrome domina gran parte de la navegación web,
y la compañía expande cada vez más sistemas de identidad, autenticidad y verificación basados en su propia infraestructura.
Seguridad vs dependencia
Google argumenta que el objetivo es combatir bots cada vez más sofisticados y automatización impulsada por IA.
Y el problema es real:
los CAPTCHA tradicionales están siendo derrotados con facilidad,
los agentes automatizados mejoran rápidamente,
y el fraude online escala constantemente.
Pero la solución elegida vuelve a abrir una discusión incómoda:
¿la única forma de defender Internet es hacerla dependiente de grandes plataformas centralizadas?
Parece que la respuesta es que si.
Porque una cosa es usar Google y otra muy distinta es que partes críticas de la web dejen de funcionar correctamente si decidís no usarlo.