Keycloak reCAPTCHA Alternativa para equipos europeos (2026)

Keycloak incluye reCAPTCHA en su flujo de registro. Para las organizaciones europeas, este defecto genera cookies, transferencias de datos a EE.UU. y una carga de documentación sobre privacidad en los tres flujos más importantes: inicio de sesión, registro y restablecimiento de contraseña. Esta guía explica cómo reemplazar reCAPTCHA en Keycloak con una alternativa sin cookies, alojada en la UE y recorre la configuración exacta para cada flujo de autenticación.

Tiempo estimado de lectura: 12 minutos

---

De un vistazo

---

---

Por qué reCAPTCHA crea problemas específicos en Keycloak

La mayoría de los debates sobre reCAPTCHA se centran en los formularios de contacto. Keycloak es una situación totalmente diferente. Es un sistema de gestión de identidad y acceso: la capa que controla quién puede iniciar sesión, crear una cuenta o recuperar una contraseña en todas sus aplicaciones. Esto significa que reCAPTCHA se aplica a los flujos de autenticación, no a las páginas de marketing.

Para las organizaciones europeas que utilizan Keycloak en producción, esto crea tres problemas que son más graves que en un formulario de sitio web típico.

Las implantaciones de Keycloak en empresas y el sector público son objeto de las revisiones más estrictas. Los DPO, los comités de compras y los arquitectos de seguridad plantean preguntas más difíciles sobre los scripts de terceros en las páginas de autenticación que en cualquier otra parte de un sitio web. Un CAPTCHA sin cookies, sin enrutamiento de datos estadounidenses y con un perfil de revisión de terceros mucho más sencillo es estructuralmente más fácil de defender y más rápido de aprobar.

La cookie _grecaptcha se ejecuta en las páginas de autenticación. Google confirmó que esta cookie persiste después del cambio de modelo de procesador de abril de 2026. En una página de inicio de sesión que los empleados o clientes deben completar antes de poder acceder a cualquier servicio, no pueden optar de manera significativa por no utilizar una cookie que protege el mismo flujo que necesitan utilizar. Esto es más difícil de resolver que la misma cookie en un formulario de contacto.

Rutas de verificación a través de la infraestructura de Google. Para las organizaciones de sectores regulados como la sanidad, las finanzas o el sector público, el tratamiento de datos personales a través de la infraestructura estadounidense requiere documentación de transferencia activa en virtud del GDPR. En un sistema de autenticación que gestiona credenciales, esto añade una sobrecarga de gobernanza que los equipos de seguridad y cumplimiento preferirían evitar por completo.

---

Alternativas a Keycloak CAPTCHA comparadas

Varios proveedores de CAPTCHA ofrecen plugins de Keycloak, pero el mercado está mucho más limitado aquí que para WordPress o TYPO3. La mayoría de las extensiones de la comunidad se rompen en las actualizaciones de versiones principales de Keycloak y reciben un mantenimiento limitado. El ecosistema CAPTCHA de Keycloak es mucho más pequeño que el de WordPress o TYPO3. En la práctica, la mayoría de los equipos que evalúan una capa moderna de Keycloak CAPTCHA se fijan en CAPTCHA.eu, Friendly Captcha, reCAPTCHA y un pequeño número de opciones mantenidas por la comunidad, como las integraciones de ALTCHA o hCaptcha.

SOLUCIÓN	COOKIES	UBICACIÓN DE LOS DATOS	FLUJOS CUBIERTOS	TIPO DE PLUGIN	REQUISITO DE VERSIÓN
CAPTCHA.eu	No	Austria (UE)	Inicio de sesión, registro, restablecimiento de contraseña	JAR oficial	Keycloak 22.0.3+
Captcha amigable	No	Punto final dedicado sólo para la UE a partir del plan Avanzado. Los niveles inferiores pueden utilizar infraestructura global.	Inicio de sesión, registro, restablecimiento de contraseña	Plugin oficial	Se requiere Keycloak 26.1.0+ y Java 17+.
hCaptcha	Sí	Con sede en EE.UU.	Sólo inscripción	JAR comunitario	Mantenimiento limitado
ALTCHA	No	Su propia infraestructura	Sólo inscripción	JAR comunitario	Se requiere backend autoalojado
reCAPTCHA v2	Sí (_grecaptcha)	Con sede en EE.UU.	Registro (sólo integrado)	Incorporado	Login y Reset requieren extensiones personalizadas

---

Los tres flujos a proteger

Keycloak organiza la autenticación como flujos configurables, que son secuencias independientes que se modifican por separado en la Admin Console. Entender qué hace cada flujo le ayuda a decidir cuáles proteger primero y por qué.

El flujo del navegador (inicio de sesión) es la página de inicio de sesión estándar que los usuarios ven cuando acceden a una aplicación protegida por Keycloak. Conlleva el mayor volumen de tráfico y es el objetivo principal de los ataques de relleno de credenciales y de fuerza bruta: intentos automatizados de acceder a cuentas utilizando credenciales robadas o adivinadas a escala.

El flujo de inscripción cubre la creación de cuentas. Sin la protección CAPTCHA, los bots crean cuentas falsas en masa, lo que degrada la calidad del servicio, distorsiona los análisis de usuarios y permite abusar de los periodos de prueba, los programas de recomendación o los niveles gratuitos.

El restablecer flujo de credenciales gestiona la recuperación de contraseñas. Los ciberdelincuentes la utilizan para enviar correos electrónicos de recuperación a gran escala, sobrecargar la infraestructura de correo, enumerar los nombres de usuario que existen en el sistema o buscar oportunidades para hacerse con cuentas. Es la menos comentada de las tres y, a menudo, la última que los equipos piensan en proteger. Dejarla abierta mientras se protegen las otras dos crea una brecha.

Una limitación importante a conocer de antemano: El reCAPTCHA integrado de Keycloak sólo protege el flujo de registro de forma nativa. Para proteger el inicio de sesión y el restablecimiento de contraseña con reCAPTCHA, necesita extensiones personalizadas. CAPTCHA.eu cubre los tres con el mismo JAR y sigue el mismo patrón de configuración para cada uno, que es una de las razones por las que los equipos encuentran la migración sencilla.

---

¿Qué versión de Keycloak utiliza?

Antes de instalar nada, compruebe su versión de Keycloak. Afecta a las alternativas disponibles.

Si ejecuta Keycloak 26.1.0 o posterior con Java 17 o posterior, tanto CAPTCHA.eu como Friendly Captcha están disponibles. Ambos ofrecen plugins con mantenimiento oficial que cubren los tres flujos. CAPTCHA.eu también soporta 22.0.3 o posterior en caso de que esté ejecutando una versión anterior.

Si ejecuta una versión anterior de Keycloak (Keycloak 24.x, 25.x, o cualquiera por debajo de 26.1.0), el plugin Keycloak de Friendly Captcha no es compatible. Su plugin requiere explícitamente Keycloak 26.1.0+ y Java 17+. CAPTCHA.eu soporta un rango de versiones más amplio.

Si ejecuta Red Hat Build of Keycloak (RHBK) o el producto Red Hat SSO anterior, el mapeo de versiones difiere de Keycloak upstream. RHBK 24 corresponde aproximadamente a Keycloak 24. Verifique la compatibilidad documentada del complemento antes de implementarlo en producción.

---

Instalación: añadir el plugin CAPTCHA.eu a Keycloak

Si prefiere no editar su tema manualmente, utilice el tema pre-construido incluido en la fuente de la extensión CAPTCHA.eu en /theme/captcha.

---

Configurar el flujo de registro

---

Notas de implementación: Docker, Kubernetes y Red Hat SSO

La forma de instalar el JAR depende de cómo ejecute Keycloak. Los pasos de configuración de Admin Console son idénticos en todos los casos. Sólo difiere la ubicación de los archivos.

Instalación estándar (bare-metal o VM): Copie keycloak-captcha.jar directamente en la carpeta proveedores/ de su instalación de Keycloak y reinicie. Keycloak recogerá el nuevo proveedor automáticamente al iniciarse.

Docker: Añada el JAR en tiempo de compilación utilizando una instrucción COPY en su Dockerfile, o móntelo en tiempo de ejecución a través de un volumen. El directorio de proveedores dentro del contenedor suele estar en /opt/keycloak/providers/. Un Dockerfile mínimo se parece a esto:

FROM quay.io/keycloak/keycloak:latest
COPIAR keycloak-captcha.jar /opt/keycloak/providers/
EJECUTAR /opt/keycloak/bin/kc.sh build

Kubernetes: Monte el JAR usando un initContainer que lo copie en un volumen compartido, o use un ConfigMap si su cluster soporta datos binarios. El método de producción más fiable consiste en crear una imagen Keycloak personalizada con el JAR incorporado y, a continuación, hacer referencia a ella en el manifiesto de despliegue. Esto evita la complejidad del montaje de volúmenes y mantiene su despliegue reproducible.

Red Hat Build of Keycloak (RHBK) y Red Hat SSO: RHBK sigue el mismo enfoque de directorio de proveedores que Keycloak, pero los números de versión difieren. RHBK 24 corresponde aproximadamente a Keycloak 24. Si ejecuta Red Hat SSO 7.x, el producto más antiguo basado en una versión diferente de Keycloak, verifique cuidadosamente la compatibilidad del plugin antes de desplegarlo en producción. La página del plugin CAPTCHA.eu documenta la compatibilidad actual; en caso de duda, pruebe primero en un dominio de prueba.

---

Lista de control del GDPR tras el cambio

La migración técnica abarca la capa CAPTCHA. Estos pasos completan el cuadro de cumplimiento.

Confírmelo con sus equipos de seguridad y RPD. Para implantaciones en empresas y sectores regulados, confirme los cambios en el flujo de autenticación con su arquitecto de seguridad y DPO antes de la puesta en marcha. Esta es una práctica estándar para cualquier cambio en el sistema de autenticación.

Actualice su aviso de privacidad. Elimine la entrada reCAPTCHA y sustitúyala por una breve entrada CAPTCHA.eu que mencione Austria como lugar de procesamiento y la protección contra bots en los flujos de autenticación como objetivo.

Revise su configuración de gestión del consentimiento. Si su implementación de Keycloak incluía alguna revelación de cookies para reCAPTCHA, elimine o revise esa entrada. Para CAPTCHA.eu, no se necesita ningún mecanismo de consentimiento basado en cookies para la capa CAPTCHA en sí. Las cookies de sesión y los tokens OIDC son independientes y no se ven afectados.

Actualice sus registros de tramitación. Sustituya a Google como procesador relacionado con CAPTCHA en sus registros del artículo 30. En CAPTCHA.eu encontrará una DPA estándar disponible para este fin.

---

Preguntas frecuentes

---

Lecturas relacionadas

---