Invalid Captcha: o que significa esse erro e como corrigir

O erro invalid captcha significa que a verificação não passou. O site não conseguiu confirmar nem a resposta que você deu nem o token devolvido pelo seu navegador — o código de uso único que comprova que você concluiu o desafio. O captcha é a checagem que um site usa para distinguir visitantes reais de scripts automatizados, e o token é o código de uso único que ele emite quando você passa nessa checagem. O motivo se divide em duas frentes: o seu navegador e a sua conexão, ou as próprias configurações de captcha do site — e essa é a versão que você não tem como resolver por conta própria.

O resto deste guia cobre o significado do erro, as mensagens parecidas, as causas mais comuns, dez correções em ordem e o ponto em que você para de investigar e escreve para o administrador do site. 
 

O que significa "invalid captcha"?

Invalid captcha significa que o servidor de validação do site recusou o resultado enviado pelo seu navegador. Esse servidor é o juiz: ele avalia cada tentativa de verificação e decide se o formulário passa ou não. A parte do captcha você já conhece — ler os caracteres de uma imagem, marcar uma caixa ou, às vezes, não fazer nada visível. Ao concluir a checagem, o widget entrega discretamente um token ao seu navegador. O site encaminha esse token para ser verificado, e "invalid" é a resposta que volta.

O que volta depende do sistema que o site usa. No reCAPTCHA v2 a resposta é realmente sim ou não. No reCAPTCHA v3 o servidor devolve uma pontuação de risco de 0.0 a 1.0 junto com o sinalizador de aprovação ou reprovação, e o próprio site decide qual número é suficiente — ou seja, "invalid" pode significar que a sua pontuação de risco ficou abaixo do limite daquele site.

Essa resposta não significa automaticamente que você errou o desafio. O token pode ter expirado antes de você enviar o formulário. O script que desenha o widget pode não ter carregado. O seu endereço IP pode parecer suspeito. Ou o próprio site está enviando as credenciais erradas junto com o seu token. Essa última você não tem como corrigir do seu lado, não importa o que limpe ou reinstale.

Mensagens de erro parecidas com "invalid captcha" (e o que costumam significar)

Cada site descreve a mesma falha de um jeito diferente, então o texto exato que aparece na sua tela é uma pista útil sobre onde está o problema.

Se a mensagem culpa a configuração do site — qualquer um dos avisos "site owner" acima —, vá direto para a seção sobre problemas do lado do site. Em todos os outros casos, vale passar antes pelas correções.

Por que o erro "invalid captcha" acontece? (causas comuns)

A maioria delas tem a ver com o ambiente — algo entre as suas teclas e o servidor de validação interfere na checagem.

Conexão instável, VPN ou proxy

Uma VPN ou um proxy — serviço que encaminha o seu tráfego por outro servidor — te coloca em um endereço IP compartilhado com muitas outras pessoas. Os sistemas de verificação dão muito peso a esse endereço; em uma visita curta, com pouco comportamento para observar, a reputação do IP costuma ser o sinal dominante. No reCAPTCHA v3, por exemplo, um endereço marcado derruba a sua pontuação até o site recusar o envio. No v2 você vê a consequência prática: desafios de imagem mais difíceis ou uma recusa direta. Teste rápido: o erro para quando você usa dados móveis com a VPN desligada?

JavaScript desativado ou bloqueado

Os widgets de CAPTCHA são feitos quase inteiramente em JavaScript, o código que faz funcionar os elementos interativos dentro do navegador. Com ele desativado, o widget normalmente nem aparece, nunca emite um token e o formulário envia um valor vazio. Sintoma: um espaço em branco ou uma caixa quebrada no lugar onde deveria estar o widget do desafio.

Extensões do navegador e ferramentas de privacidade

Bloqueadores de anúncios, bloqueadores de scripts e extensões antirrastreamento frequentemente classificam os scripts de verificação como rastreadores e os bloqueiam. O widget então carrega pela metade, ou o token nunca chega ao site. Teste rápido: o erro desaparece em uma janela privada do Chrome, Edge, Firefox ou Safari, onde as extensões vêm desativadas por padrão.

Navegador desatualizado ou dispositivo incompatível

Versões antigas de navegador não têm os padrões de segurança e as APIs de que os widgets atuais dependem, então o desafio não inicializa ou gera silenciosamente um token inutilizável. Isso é comum em celulares sem suporte, navegadores de TV e máquinas de trabalho há muito sem atualização. Sintoma frequente: o widget fica girando e nunca termina de carregar.

Cookies e perfil de navegador corrompido

A verificação depende de cookies, pequenos arquivos que um site guarda na sua máquina para reconhecer a sua sessão — o reCAPTCHA define os seus próprios, e um bloqueio rígido de cookies de terceiros pode quebrar todo o fluxo. Se os cookies estiverem bloqueados ou os dados da sua sessão saírem de sincronia, o token não vai corresponder à sessão a que pertence. Uma cópia velha do script do widget no cache é possível, mas rara, já que esses scripts são servidos com tempo de cache curto. Sintoma: o erro se repete em um navegador, mas não em outro no mesmo computador.

Problemas de DNS e de reputação de IP

O DNS é a “lista telefônica” que transforma um nome de domínio no endereço IP de um servidor. Se o seu resolvedor está lento, quebrado ou filtrado, os domínios de onde o widget carrega nunca respondem, e o desafio morre antes de chegar à página. A reputação também conta: um IP residencial compartilhado com máquinas infectadas carrega um histórico que você nunca criou. Teste rápido: a mesma página funciona em outra rede?

Verificação de HTTPS do antivírus / firewall

A verificação de HTTPS é um recurso de segurança que abre o tráfego criptografado, inspeciona o conteúdo e assina tudo novamente. Essa reescrita pode quebrar as próprias requisições criptografadas do widget, e a verificação nunca se conclui. Sintoma: os captchas falham em vários navegadores de uma máquina — e só naquela máquina.

Como corrigir o erro "invalid captcha" (passo a passo)

Siga os passos na ordem e teste o formulário depois de cada um — os primeiros resolvem a maioria dos casos.

1. Recarregue o CAPTCHA e atualize a página

Clique no ícone de recarregar do widget, ou atualize a página e conclua o desafio sem pausas. Isso emite um token novo, o que resolve qualquer coisa causada pela expiração do token ou por um script carregado pela metade. Você sabe que funcionou porque o formulário é enviado normalmente.

Se você usa leitor de tela, use o botão de desafio em áudio para ter uma alternativa falada (quando ela existe). Vale saber que a própria opção de áudio é retirada quando a sua requisição é marcada como suspeita.

2. Atualize o seu navegador (Chrome, Firefox, Edge)

Abra o menu Sobre ou Ajuda do navegador, instale qualquer atualização pendente e reinicie. Chrome e Edge se atualizam sozinhos, então abrir essas páginas serve principalmente para forçar a checagem. As versões atuais dão suporte aos padrões de que os widgets precisam. O sinal de sucesso é a caixa de seleção aparecer na hora, em vez de travar. Se o seu dispositivo já não recebe atualizações de navegador, pule para o passo 10.

3. Ative o JavaScript

Verifique as configurações de site do seu navegador e confirme que o JavaScript está permitido, tanto no geral quanto para aquele site específico. Sem ele, o widget não consegue se desenhar nem gerar um token. Depois de ativar, recarregue a página: um desafio visível e responsivo onde antes havia um espaço em branco significa que a correção funcionou.

4. Desative as extensões (ou teste em uma janela privada)

Abra uma janela privada ou anônima e tente enviar o formulário por lá. Se funcionar, reative as extensões uma a uma até achar a que bloqueia — bloqueadores de anúncios e ferramentas antirrastreamento são os suspeitos de sempre. Depois basta liberar só aquele site na lista de exceções, em vez de desligar a extensão por completo.

5. Limpe os cookies daquele site

Nas configurações de privacidade do navegador, limpe os cookies apenas daquele site, em vez de apagar tudo, depois recarregue e faça login novamente. Isso remove dados de sessão dessincronizados que fazem um token válido parecer errado.

Um alerta que vale conhecer: em sistemas baseados em pontuação, o histórico de cookies é um dos sinais que apresentam você como um humano já estabelecido. Apagar o perfil inteiro pode deixar as suas próximas tentativas com cara mais suspeita, não menos. Melhor limpar o que importa do que limpar tudo.

6. Desligue a VPN / o proxy

Desconecte a VPN ou o proxy, ou troque para outra localização de servidor, e tente enviar o formulário de novo. O seu tráfego passa a sair de um endereço com reputação própria, e não de um compartilhado com milhares de usuários. Passar na primeira tentativa depois de desconectar confirma que o IP compartilhado era o problema.

7. Troque o DNS

Nas configurações do adaptador de rede ou do roteador, substitua os seus servidores DNS atuais por um resolvedor público — o Google Public DNS em 8.8.8.8 e 8.8.4.4, o Cloudflare em 1.1.1.1 ou o Quad9 em 9.9.9.9. Um resolvedor que funciona alcança os domínios de que o widget precisa.

Um detalhe: se o seu navegador tem DNS-over-HTTPS ativado, ele pode ignorar completamente a configuração do sistema. Verifique também as configurações de segurança do próprio navegador, ou a mudança não terá efeito nenhum.

8. Renove o IP / reinicie o roteador

Reinicie o roteador, ou desconecte e conecte de novo, para pedir um novo endereço IP ao seu provedor. Isso pode ajudar se o endereço anterior tiver ganhado má reputação — mas não é garantido. Uma concessão DHCP ativa costuma devolver o mesmo endereço, e se o seu provedor usa CGNAT o seu IP público é compartilhado com outros assinantes e não muda de jeito nenhum. Se nada mudar, o teste com dados móveis do passo 10 diz mais.

9. Verifique a filtragem de scripts do antivírus / firewall

No seu software de segurança, procure por verificação de HTTPS, escudo web ou filtragem de scripts e desligue por um instante, só para testar. Se o captcha passar a funcionar, adicione o site como exceção em vez de deixar a proteção desativada. Reative o recurso assim que tiver a resposta.

10. Teste outro dispositivo ou outra rede

Abra a mesma página em um celular usando dados móveis, ou em outro computador. Este é o teste decisivo: se a verificação passa em outro lugar, a causa era local; se falha em todos, a culpa não é da sua configuração. Nesse caso, siga para a próxima seção.

Quando o problema é o site (ou a integração do CAPTCHA)

Alguns erros de invalid captcha são impossíveis de resolver do lado do visitante, porque a falha está em como o site instalou a verificação.

Site key inválida / domínio incompatível

Um widget precisa de duas chaves. A site key é pública, fica na página e identifica a conta por trás dela. A secret key permanece no servidor do site. As duas têm que corresponder, e o domínio precisa estar na lista registrada para elas. Erre qualquer coisa nisso — trocando as chaves de lugar, perdendo um caractere ou colando uma de um projeto antigo — e todo visitante encontra a mesma parede: "ERROR for site owner: Invalid site key." Um domínio não registrado gera a sua própria variante, citando o domínio em vez da chave. 

Erros de validação do token

O servidor do site tem que enviar o seu token ao endpoint de verificação e ler a resposta corretamente. Quando essa requisição está malformada, chega tarde ou é repetida com um token já usado, a resposta é uma recusa. Por exemplo, o siteverify do Google documenta exatamente seis códigos de erro, e eles se dividem com clareza segundo o lado responsável:

• missing-input-response — nenhum token foi enviado.
• invalid-input-response — o token está malformado.
• timeout-or-duplicate — o token era válido, mas está velho demais ou já foi usado.
• missing-input-secret / invalid-input-secret — a secret key do site está ausente ou errada.
• bad-request — a própria requisição de verificação estava malformada.

Você conclui o desafio e o formulário continua te recusando.

CAPTCHA não carrega / fica em branco / entra em loop infinito

Um widget que fica em branco, mostra um quadro de erro ou passa imagens sem nunca aceitar a resposta costuma indicar integração mal feita ou uma queda do serviço. A regra é simples: se o mesmo erro te acompanha em dispositivos e redes diferentes, a culpa é do site. Fale com o administrador do site ou com o suporte desse serviço e cite a mensagem exata.

Se você está do outro lado desse erro — é dono do site ou está checando a sua própria integração —, cada execução de teste automatizado também precisa concluir essa verificação. O CapMonster Cloud é usado em automação de testes em recursos que você possui ou tem autorização para testar, e a documentação de primeiros passos com a API de resolução de reCAPTCHA cobre a configuração. 

Conclusão

Entenda o que o erro está dizendo, compare as causas com a sua própria configuração e depois siga os dez passos na ordem. A maioria dos erros de invalid captcha tem a ver com o ambiente — uma VPN, um script bloqueado, um cookie velho — e desaparece nas primeiras correções. Se a mensagem sobrevive a outro dispositivo e a outra rede, a causa provável é a integração do site, e só o administrador dele pode consertar.

Uma observação para donos de sites e testadores. Se você mantém um formulário ou preenche um deles para fins de teste, cada execução de teste automatizado também tem que passar pela verificação. O CapMonster Cloud é um serviço comercial de reconhecimento de CAPTCHA usado nesse cenário; a referência da API e a documentação de CAPTCHAs cobrem a configuração, e a nossa comparação entre reCAPTCHA v2, v3 e Enterprise explica as diferenças entre as versões desse CAPTCHA tão popular. Use o serviço apenas em sites que você possui ou tem autorização legal para testar. Ele não resolve os erros do lado do visitante descritos acima, e não é um caminho para contornar proteções que não estão sob o seu controle.