Descarregar sites que utilizam Really Simple CAPTCHA

Sobre Really Simple CAPTCHA

Há software que se escolhe e há software que simplesmente aparece. O Really Simple CAPTCHA é sobretudo do segundo tipo. O plugin desenha uma imagem distorcida com algumas letras e verifica se a submissão de um formulário as repete, e costuma ser instalado porque um plugin de formulários o pediu, e não porque o dono de um site se sentou a comparar defesas contra bots.

O Really Simple CAPTCHA é obra de Takayuki Miyoshi, publicado com licença GPL v2, escrito em PHP e disponível desde 2009. A proveniência importa num componente como este. Um único responsável a publicar sob uma licença copyleft num diretório público de plugins significa que qualquer pessoa pode instalar o código sem custo e que ninguém está contratualmente obrigado a mantê-lo atualizado, o que é o arranjo habitual para as pequenas peças que seguram os sites maiores.

Em outubro de 2026 encontramos o Really Simple CAPTCHA em 1 site. As contagens de componentes que vêm agregados a outro software leem-se de forma diferente das contagens de produtos. Ninguém compra um captcha deste género, pelo que o número não é uma quota de mercado. O que o número mede é quantas páginas públicas ainda protegem um formulário com um desafio de imagem gerado localmente, em vez de um serviço de desafios alojado ou de uma API invisível de pontuação.

Para um investigador, a inferência útil é sobre tudo o que rodeia o plugin. Um site que serve a impressão digital está a correr PHP através de uma instalação WordPress com pelo menos um formulário público, o que normalmente significa um canal de contacto ou de pedidos que alguém lê. A idade do desenho também conta. Os desafios de imagem feitos assim são resolúveis por reconhecimento ótico de caracteres corrente, pelo que a sua presença continuada é uma aproximação razoável de um site que não revê as suas defesas contra spam há muito tempo, e por extensão de um site que provavelmente também não auditou o resto do seu inventário de plugins.

Três públicos pedem uma lista como esta. Os fornecedores de segurança que vendem mitigação de bots querem os sites que ainda dependem de um desafio de imagem, porque o argumento de venda escreve-se sozinho. As agências e os prestadores de manutenção querem os sites cuja pilha de plugins se desatualizou, já que uma defesa de formulários ultrapassada raramente anda sozinha. Os investigadores que medem a saúde do ecossistema WordPress querem números de população ao longo do tempo, e não um veredicto sobre um domínio concreto.

Uma consulta a um domínio indica se esse domínio transporta o plugin. A exportação responde a quantos o fazem, em que domínios de topo assentam e se a população encolhe versão após versão, que é a única forma prática de ver um componente antigo a sair mesmo da web. O limite que vale a pena declarar é que um captcha só aparece onde aparece um formulário. Um site que tenha o plugin instalado mas mantenha o formulário protegido atrás de um início de sessão, ou numa página que o nosso rastreio não alcança, não apresenta a impressão digital de todo, pelo que a contagem fica abaixo do real numa margem que não é possível medir de fora.