2Captcha | O que cobre e o que não cobre

Resumo rápido

Em uma frase: o 2Captcha é um serviço de resolução de desafios de CAPTCHA via API; você envia os dados do desafio, recebe uma resposta e precisa aplicá-la corretamente no contexto da página autorizada.

A documentação atual descreve o serviço como AI-first, com modelos automáticos e possibilidade de encaminhamento para trabalhadores humanos em casos difíceis. A API v2 usa JSON e a API v1 continua disponível para integrações antigas.

O que ele cobre

CAPTCHAs interativos

Desafios em que o resultado é um token, uma confirmação ou uma ação específica.

CAPTCHAs visuais e de entrada

Tarefas em que a resposta é texto, posição, seleção ou movimento.

Outros tipos listados pela plataforma

A lista muda com o tempo. A documentação consultada também lista, entre outros, Capy Puzzle, KeyCAPTCHA, Lemin, CyberSiARA, Cutcaptcha, Tencent, Prosopo Procaptcha, CaptchaFox, VK, Temu, Yidun, Binance, Hunt, TSPD, Basilisk, Imperva, Alibaba e Yandex SmartCaptcha.

A presença de um nome na lista não significa que todas as variantes, regiões, versões ou configurações do desafio funcionarão sem ajustes. O tipo exato da tarefa precisa ser compatível com a API.

O que ele não cobre

Limite	O que isso significa	Quem precisa resolver
Não é bypass universal	Resolver um CAPTCHA não vence automaticamente WAF, Bot Management, bloqueio de IP, rate limit, reputação ou regras adicionais do site.	O navegador, a rede e o site-alvo.
Desafio JS puro	Um spinner do Cloudflare que só executa um desafio JavaScript, sem widget Turnstile real e sem token, não é a mesma coisa que um CAPTCHA coberto.	Um navegador compatível, uma sessão válida e a própria camada anti-bot.
Login e autorização	O serviço não descobre usuário e senha, não faz login por conta própria e não cria uma permissão no sistema protegido.	A integração responsável pelo fluxo de login.
Cookies e sessão	Um token de CAPTCHA não é um cookie de sessão, um `cf_clearance` permanente nem um passe para outras páginas.	O navegador real e o servidor de destino.
Aceitação garantida	O token pode expirar, ser rejeitado por contexto incorreto, user-agent incompatível, parâmetros ausentes ou mudança no desafio.	A integração precisa enviar e validar o resultado corretamente.
Qualquer desafio desconhecido	Uma imagem corrompida, sitekey inválida, tarefa não suportada ou parâmetros incorretos pode falhar antes mesmo da resolução.	Quem integra precisa identificar o tipo e os parâmetros corretos.

O ponto mais importante para Cloudflare: o 2Captcha pode resolver o widget Turnstile, inclusive em uma página de challenge quando os parâmetros necessários são capturados. Isso não significa que ele replique a identidade, o histórico, o fingerprint ou a reputação do navegador que acessará o site.

Cloudflare Turnstile em detalhe

O 2Captcha documenta dois cenários diferentes:

Widget standalone

O Turnstile está embutido em uma página normal. A integração localiza o sitekey, pede um token ao 2Captcha e entrega o token ao campo cf-turnstile-response ou ao callback configurado pela página.

Página de challenge

O Cloudflare carrega uma página de desafio. Além do sitekey, normalmente são necessários action, cData e chlPageData. Também pode ser necessário preservar callback e user-agent compatíveis.

IdentificarEncontrar sitekey e, em challenge, os parâmetros extras.

Enviar tarefaUsar createTask com o tipo Turnstile correto.

AguardarConsultar getTaskResult até ficar ready ou falhar.

AplicarInserir o token e executar o callback da página.

O token é contextual. Site, sitekey, URL, parâmetros do challenge, user-agent, proxy e momento da aplicação podem influenciar a validação. Mesmo um token marcado como pronto pela API ainda precisa ser aceito pelo servidor de destino.

Como o serviço funciona

O modelo é assíncrono: uma requisição cria uma tarefa e outra consulta o resultado. A API v2 usa JSON.

POST https://api.2captcha.com/createTask

{
  "clientKey": "SUA_CHAVE_API",
  "task": {
    "type": "TurnstileTaskProxyless",
    "websiteURL": "https://site-autorizado.example/",
    "websiteKey": "SITEKEY_DO_WIDGET",
    "action": "managed",
    "data": "cData_DO_CHALLENGE",
    "pagedata": "chlPageData_DO_CHALLENGE"
  }
}

POST https://api.2captcha.com/getTaskResult
{ "clientKey": "SUA_CHAVE_API", "taskId": 123456789 }

// Quando pronto: data.status = "ready"
// e data.solution.token contém o token.

Proxyless

O 2Captcha usa o próprio pool de proxies. É mais simples, mas o contexto do trabalhador/proxy precisa ser compatível com a validação do alvo.

Com proxy

A integração informa tipo, endereço e porta do proxy. Isso oferece mais controle sobre a origem da tarefa, mas adiciona configuração, custo e pontos de falha.

Resposta pronta não é ação concluída. O 2Captcha normalmente devolve token, texto, coordenadas ou outra resposta estruturada. A aplicação precisa colocá-la no campo correto, acionar o callback ou enviar a requisição esperada pelo site.

Custos, tempo e falhas

Preço por tarefa A página oficial consultada exibiu R$ 7,50 por 1.000 tarefas de Cloudflare Turnstile. Valores são dinâmicos e podem variar por tipo, demanda, região e moeda.

Tempo variável Depende da fila, do tipo do desafio, da disponibilidade e da validação. Não trate o tempo publicado como SLA para cada tarefa.

Saldo pré-pago Sem saldo, chave inválida, IP não permitido ou parâmetros incorretos, a tarefa pode ser recusada antes da resolução.

Erros comuns incluem ERROR_ZERO_BALANCE, ERROR_BAD_PARAMETERS, ERROR_TASK_NOT_SUPPORTED, ERROR_CAPTCHA_UNSOLVABLE, ERROR_BAD_PROXY e ERROR_ACCOUNT_SUSPENDED. Em tarefas insolúveis, a documentação informa que o valor é devolvido ao saldo.

O preço e a capacidade são informações operacionais, não garantia de disponibilidade. Antes de estimar custo mensal, conte tentativas reais, reprocessamentos e falhas de aplicação do token.

Como isso se aplica a este projeto

A integração atual usa o 2Captcha apenas para o Turnstile do painel autorizado. Ela não tenta transformar o 2Captcha em um cliente HTTP ou em um substituto do Chrome.

O que o 2Captcha faz aqui

Recebe o sitekey capturado na página.
Recebe, quando necessário, action, data e pagedata.
Cria uma tarefa TurnstileTaskProxyless.
Consulta getTaskResult até obter o token.
Devolve o token para ser aplicado na página.

O que o Chrome faz aqui

Mantém cookies, sessão e contexto do perfil real.
Executa o callback dentro da página.
Faz a requisição do painel no contexto autenticado.
Continua sujeito à reputação do IP e às decisões do Cloudflare.

Diagnóstico prático: se aparecer apenas “Um momento...” ou um spinner sem widget Turnstile real, o problema não é simplesmente “faltou enviar o token”. Pode ser challenge JS, fingerprint, reputação do IP, rate limit ou sessão. O 2Captcha sozinho não resolve essas camadas.

Segurança e uso responsável

Proteja a chave

Nunca coloque a API key no HTML, no JavaScript do navegador, em repositório público ou em logs. Use variável de ambiente e limite quem pode acessar o saldo.

Proteja os dados

Uma tarefa pode carregar URL, sitekey, parâmetros de challenge, user-agent ou proxy. Envie somente o necessário e evite dados pessoais, credenciais e conteúdo sensível.

Use somente em fluxos autorizados

CAPTCHAs existem para reduzir abuso. A integração deve ser usada em sistemas próprios, ambientes de teste ou operações para as quais exista autorização explícita, respeitando os termos do site e do provedor.

Fontes oficiais

Documentação da API v2 Documentação de Cloudflare Turnstile Tabela oficial de preços Códigos de erro da API Método createTask Método getTaskResult

Consulta realizada em 31/07/2026. Tipos, preços, limites e disponibilidade podem mudar; confirme os valores na documentação antes de uma integração nova.