API de resolução de CAPTCHA e resolução automática | CapMonster Cloud

Cloudflare Waiting Room
e CapMonster Cloud

Resolução de captcha, instalação no site e testes.

Preços da solução Cloudflare Waiting Room

CAPTCHA

Preço

Sucesso

Cloudflare Turnstile

99%

$ 1.30

1k tokens

99%

Herdou um site com captcha ou outra proteção mas sem acesso ao código-fonte? É natural perguntar qual solução está instalada, se está configurada corretamente e como testá-la.

Neste artigo procurámos responder a todas as questões importantes. Para começar a resolver o problema, o primeiro passo é identificar que sistema de proteção está a ser utilizado. Para isso, pode consultar a lista de captchas e sistemas de proteção antibot mais populares, onde encontrará exemplos visuais e sinais principais que ajudam a perceber rapidamente com o que está a lidar.

Se verificar que o seu site utiliza Cloudflare Waiting Room, o passo seguinte é analisar mais detalhadamente as suas características e o seu funcionamento. Neste mesmo artigo também pode consultar o guia de integração de Cloudflare Waiting Room, para compreender totalmente como o sistema funciona no seu site. Isto permitirá não só entender a proteção atual, como também planear corretamente a sua manutenção.

O que é o Cloudflare Waiting Room

Cloudflare Waiting Room é uma fila virtual que protege o site contra sobrecarga durante picos repentinos de tráfego. Se houver visitantes demais, os usuários “excedentes” são temporariamente enviados para uma página de espera, onde veem informações sobre sua posição na fila e o tempo estimado de entrada. Assim que surge uma vaga, eles entram automaticamente no site.

Como resolver o Waiting Room através do CapMonster Cloud

Ao testar o mecanismo de Waiting Room, é importante garantir que a fila funcione corretamente e regule o acesso ao site.

Veja como você pode verificar isso:

Abra a página onde o Waiting Room está ativado e certifique-se de que a fila é exibida ao exceder o limite de usuários.
Tente acessar o site de vários dispositivos ou navegadores simultaneamente para criar carga artificialmente — parte das solicitações deve ser colocada na fila.
Verifique se os usuários que entraram na fila veem a página de espera e, em seguida, são admitidos automaticamente no site quando surge uma vaga.
Certifique-se de que atualizar a página não remova o usuário da fila.

Para testes automatizados e reconhecimento de captcha, você pode usar serviços especializados, por exemplo, o CapMonster Cloud — uma ferramenta que recebe os parâmetros do captcha, processa-os em seus servidores e retorna uma solução pronta. Esta solução (token ou cookie) pode ser inserida em um formulário ou navegador para passar na verificação sem a participação do usuário.

Trabalhar com o CapMonster Cloud através da API normalmente envolve os passos seguintes:

Criação da tarefa

Nesta etapa, você envia sua chave de API, o tipo de captcha e seus parâmetros. O serviço retorna um taskId único, pelo qual mais tarde é possível obter o resultado.

Envio do pedido API

Na solicitação para resolver o Cloudflare Waiting Room, é necessário indicar os seguintes parâmetros:

type - TurnstileTask;

websiteURL - endereço da página onde a verificação está localizada;

websiteKey - chave do Cloudflare no site de destino;

cloudflareTaskType - wait_room;

htmlPageBase64 - Página HTML no formato base64, contendo o título <title>Waiting Room powered by Cloudflare</title>;

userAgent - User-Agent do navegador. Envie apenas um UA atual do sistema operacional Windows;

Como conectar o Cloudflare Waiting Room ao seu site

Para se orientar com confiança no funcionamento do captcha no seu site, entender a lógica da sua verificação, reconectá-lo ou reconfigurá-lo, recomendamos estudar esta seção. Nela é descrito o processo de conexão da proteção — isso ajudará você a entender rapidamente todas as nuances.

Requisitos e preparação

Plano Cloudflare: O Waiting Room está disponível para os planos Business e Enterprise.
CDN e Proxying: Seu site deve estar conectado à Cloudflare, e o registro DNS para o domínio ou subdomínio deve estar como proxied.
Cookies: Os visitantes devem suportar cookies, pois a Cloudflare os usa para rastrear a posição na fila.
Decida quais páginas/usuários estarão na fila e quais contornarão o Waiting Room (por exemplo, administradores, VIPs, determinados caminhos).

1. Registre-se na Cloudflare e conecte seu site.

2. Na seção Traffic → Waiting Room, crie uma nova fila:

3. Clique em Create Waiting Room.

Indique:

Hostname / URL, onde o Waiting Room estará ativo.
Nome do Waiting Room (para controle interno).
Número máximo de usuários admitidos simultaneamente (opcional, se for necessária uma carga limitada).

4. Personalize o design da página de espera:

Você pode usar o modelo da Cloudflare ou HTML/CSS personalizado.
Adicione um logotipo, informações sobre o tempo de espera e instruções para os usuários.

5. Salve e ative o Waiting Room.

6. Configuração de regras (Rules)

A Cloudflare permite excluir determinado tráfego da fila.

Regras de contorno típicas (Bypass Rules):

Endereços IP do administrador: permitir sempre.
Caminhos/URL: excluir arquivos estáticos (.js, .css, .png) ou páginas específicas.
Geotargeting: excluir determinados países.
Query string: excluir determinados parâmetros GET.

Possíveis erros e depuração

Domínio inválido ou configuração incorreta da fila

A página de waiting room não é exibida. Verifique se a regra da fila está vinculada ao URI, caminho ou host correto.

Tempo limite (timeout) ao carregar a página ou token da fila

O cliente não aguardou a resposta do servidor. Aumente os tempos limite (timeouts) nos testes e no monitoramento para processar atrasos corretamente.

Verificação repetida ou token de fila expirado

Se o usuário usar um token já expirado ou cookies inválidos, o sistema mostrará a página de espera novamente.

Conflito com outras verificações de acesso

O uso simultâneo de Waiting Room e outras regras de autorização/proteção contra bots pode levar a verificações cíclicas. Siga as recomendações sobre a sequência de verificações e a lógica de permissão de usuários.

Verificações de robustez

Depois da integração, certifique-se de que o sistema protege efetivamente o site contra ações automatizadas.

Tente solicitar a página sem cookies especiais — o usuário deve cair na waiting room.

Teste entrar novamente com cookies já definidos — o usuário deve contornar a fila e acessar o conteúdo principal.

Realize testes de carga (por exemplo, com k6 ou JMeter) com uma alta taxa de solicitações — a página de waiting room deve ser exibida corretamente e o servidor de fila deve permanecer estável.

Verifique a reação do servidor a cookies/tokens expirados ou incorretos. O resultado esperado é que o usuário caia novamente na página de espera.

Recomendações de segurança e otimização

Configure as regras da fila e o TTL dos tokens de acordo com o nível de carga e os riscos

Configure as regras da fila e o TTL dos tokens de acordo com o nível de carga e os riscos

Armazene todos os segredos (por exemplo, chaves de assinatura de token) apenas no servidor

Armazene todos os segredos (por exemplo, chaves de assinatura de token) apenas no servidor

Registre os eventos da fila e o status de passagem para entender por que os usuários caem na waiting room e identificar falsos positivos.

Registre os eventos da fila e o status de passagem para entender por que os usuários caem na waiting room e identificar falsos positivos.

Para transparência, adicione links para a <span class="font-bold">Política de Privacidade</span> e os <span class="font-bold">Termos de Uso do site nas páginas de waiting room</span>.

Para transparência, adicione links para a Política de Privacidade e os Termos de Uso do site nas páginas de waiting room.

Captchas suportados

reCAPTCHA v2

reCAPTCHA v3

reCAPTCHA v2 Enterprise

reCAPTCHA v3 Enterprise

GeeTest

Cloudflare Turnstile

Cloudflare Bot Challenge

DataDome

Tencent CAPTCHA

Conclusão

Se herdou um site que já tem um captcha ou outro sistema de proteção instalado e não tem acesso ao código, não há problema! É bastante fácil identificar qual a tecnologia que está a ser utilizada. Para verificar se tudo está a funcionar corretamente, pode usar o serviço de reconhecimento CapMonster Cloud num ambiente de teste isolado, para garantir que o mecanismo de processamento de tokens e a lógica de verificação estão a funcionar corretamente.

No caso de Cloudflare Waiting Room, basta identificar o sistema, analisar o seu comportamento e confirmar que a proteção está a funcionar corretamente. No artigo, mostramos como identificar Cloudflare Waiting Room e onde encontrar instruções para a sua integração ou reconfiguração, para que possa manter a proteção com confiança e controlar o seu funcionamento.

Links úteis

Documentação do Cloudflare Waiting Room →

Documentação do CapMonster Cloud (trabalhando com Cloudflare Waiting Room) →

O que é o Cloudflare CAPTCHA e como resolvê-lo com o CapMonster Cloud →

Como a Cloudflare detecta tráfego automatizado: proteção do site contra bots →

A extensão de navegador do CapMonster Cloud está disponível para Chrome e Firefox. Instruções completas encontram-se aqui.

{
  "clientKey":"API_KEY",
  "task": {
	"type":"TurnstileTask",
	"websiteURL":"https://example.com",
	"websiteKey":"xxxxxxxxxx",
	"cloudflareTaskType": "wait_room",
	"htmlPageBase64": "PCFET0NUWVBFIGh0...vYm9keT48L2h0bWw+",
	"userAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/148.0.0.0 Safari/537.36",
	"proxyType":"http",
	"proxyAddress":"8.8.8.8",
	"proxyPort":8080,
	"proxyLogin":"proxyLoginHere",
	"proxyPassword":"proxyPasswordHere"
  }
}

Receção do resultado

Depois de criar a tarefa, acompanhe periodicamente o estado da solução.

Endereço para receber o resultado:

https://api.capmonster.cloud/getTaskResult

Exemplo de pedido:

{
  "clientKey":"API_KEY",
  "taskId": 407533072
}

Resposta:

{
  "errorId": 0,
  "status": "ready",
  "solution": {
    "cf_clearance": "1tarGvbY2_ZhQdYxpSBloao.FoOn9VtcJtmb_IQ_hCE-1761217338-1.2.1.1-vyVPoLYIGX0VCJomVuLjF7n0kdM0PXaPjpDsRcohxGr7hb2CE7WfcHpmQZ70goqEjdWxPsDhSVaKNTz9opxWguiNdWEEq_.SceWXIqfP7tnEb69f3bP0mixNqcWy_5P_9INpoAEqr1k7aYU0r45PT4gPr5pwHxedVySyLRdoBXIJasdTE52YOQ3NPdGWTwQ_3h2n_wYqqIvf0kCSAvimRrmsgZxomlyejwqPI6ZHi.w"
  }
}

Substituição de cf_clearance

A solução obtida (cookie cf_clearance) pode ser definida no navegador ou enviada junto com a solicitação HTTP, indicando-a no cabeçalho Cookie: cf_clearance=. Além disso, para automação e testes, é conveniente usar Puppeteer, Selenium ou Playwright, que permitem emular ações do usuário, inserir cookies e enviar formulários.

Abaixo está um exemplo de solicitação para sua página com valores de cookie obtidos antecipadamente. Isso é útil para testes: você pode transmitir valores corretos e intencionalmente incorretos para garantir que sua lógica de processamento de acesso e validação funcione corretamente.

GET https://example.com/

sec-ch-ua: "Google Chrome";v="141", "Not?A_Brand";v="8", "Chromium";v="141"
sec-ch-ua-mobile: ?0
sec-ch-ua-platform: "Windows"
upgrade-insecure-requests: 1
user-agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/148.0.0.0 Safari/537.36
accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
sec-fetch-site: same-origin
sec-fetch-mode: navigate
sec-fetch-user: ?1
sec-fetch-dest: document
accept-encoding: gzip, deflate, br
accept-language: en-US
cookie: cf_clearance=Jf0udVxx.pxJMEHnish22ZOFt4WZEh8iLKm62gIxQAw-1760087570-1.2.1.1-IAO44jrcaDIU6v3f01Q6MpH58vo521.cgZg9OG5ASav.EIf9fmqH2yETyPkmm7dExFNlRL.dYv6xA4iPtlwMepInUaeFinDbYtoMstD_9Vyexx2B2K.r4eJb9zMCQc0XA3yYDHViOC7cYBYHi58FbvycjBe4o236lyz2eoyC48IS.K1zSsVdqBqIoXIT4tEFYdibXdWudtp57lmyjwpryZy..fGFAcFjAGn3iho98_4
sec-ch-ua-arch: "x86"
sec-ch-ua-bitness: "64"
sec-ch-ua-full-version: "141.0.7390.55"
sec-ch-ua-platform-version: "19.0.0"
sec-ch-ua-model: ""
sec-ch-ua-full-version-list: "Google Chrome";v="141.0.7390.55", "Not?A_Brand";v="8.0.0.0", "Chromium";v="141.0.7390.55"
Origin: https://example.com
Upgrade-Insecure-Requests: 1

Existe também uma excelente oportunidade de testar o reconhecimento de captchas com a extensão de navegador CapMonster Cloud, que permite verificar rapidamente o funcionamento do captcha diretamente na página e acompanhar o processo de resolução em tempo real sem escrever código – disponível para instalação no Chrome e no Firefox.

Exemplo de criação de regra de contorno via API

POST zones/{zone_id}/waiting_rooms/{room_id}/rules
Content-Type: application/json
Authorization: Bearer <API_TOKEN>

{
  "description": "Bypass admins",
  "expression": "ip.src in { '1.2.3.4', '5.6.7.8' }",
  "action": "bypass_waiting_room",
  "enabled": true
}

Cloudflare Waiting Room e CapMonster Cloud

Preços da solução Cloudflare Waiting Room

Como resolver o Waiting Room através do CapMonster Cloud

Captchas suportados

Cloudflare Waiting Room
e CapMonster Cloud