Cloudflare e grandes browsers juntam-se para matar os CAPTCHAs

Os CAPTCHAs já são um imposto irritante sobre o tempo de toda a gente. Agora que o tráfego de bots passou oficialmente o humano, a Cloudflare e os donos dos grandes browsers decidiram que assim não dá. Nasce daqui o PACT, sigla de Private Access Control Tokens, um novo protocolo pensado para provar que és humano, ou um agente autorizado, sem te obrigar a clicar em semáforos nem a entregar dados a quem não queres.

A Cloudflare anunciou que está a trabalhar com a Mozilla (Firefox), Google (Chrome), Microsoft (Edge) e Shopify neste sistema de tokens privados. A ideia é simples no conceito e ambiciosa na prática: um site que já sabe bem quem tu és, como o teu email ou banco, passa um “atestado” criptográfico ao teu browser. Esse token fica guardado localmente e pode ser apresentado a outros sites como prova de que há uma pessoa real por trás da sessão, sem que ninguém consiga usar o token para te seguir pela web.

O contexto é tudo menos académico. Dados do Cloudflare Radar mostram que cerca de 58% dos pedidos HTTP a conteúdos web já vêm de sistemas automáticos, contra 42% de pessoas. O CEO Matthew Prince diz que a vaga de agentes de IA, como os que alimentam assistentes do tipo ChatGPT ou Gemini, antecipou este ponto de viragem em cerca de 18 meses. Quando o default passa a ser “isto é um bot até prova em contrário”, a pressão para vigiar cada clique dispara. É o tipo de cenário que alimenta tanto novas formas de burla com IA como as que já vimos em campanhas globais, do futebol aos esquemas de e-commerce.

O PACT tenta ser uma saída de emergência antes da web se resignar a paywalls pesados, logins em todo o lado e rastreio total. Bobby Holley, CTO do Firefox, fala numa “avalanche de tráfego automatizado” que está a empurrar os sites para defesas brutas. Erik Anderson, da equipa do Edge, sublinha que ferramentas eficazes e com respeito pela privacidade são críticas para combater abuso sem transformar a internet numa sala VIP permanente. A leitura implícita é clara: se isto falhar, a tentação de resolver o problema com mais vigilância será grande.

Importa notar que o objectivo não é desligar os bots. A própria Cloudflare tem abraçado a moda dos agentes de IA, chegando a despedir 1.100 pessoas depois de declarar que agentes automáticos já fazem trabalho que antes era humano. Muitos destes agentes actuam “em nome de alguém”, com um motivo legítimo para aceder a um site. O PACT quer separar estes agentes autorizados dos scrapers agressivos e dos bots de abuso. Em teoria soa bem, mas a linha entre “autorizado” e “abusivo” costuma ser traçada por quem tem o servidor, não por quem tem o navegador.

Para quem navega a partir de Portugal ou do resto da Europa, há aqui uma tensão interessante com o RGPD e com o pacote regulatório em torno das grandes plataformas. Tokens anónimos que reduzem rastreio encaixam bem no discurso europeu da privacidade. Mas um protocolo deste calibre, empurrado por Cloudflare, Google e Microsoft, também consolida ainda mais o poder de quem já controla a infraestrutura da web. Se PACT for adoptado em massa, os sites pequenos ganham uma arma contra a maré de bots, mas ficam ainda mais dependentes de um punhado de intermediários para decidir quem é “humano suficiente” para passar.

O grupo quer submeter o PACT a standardização formal. Falta ver quantos browsers e serviços fora desta aliança o vão seguir, e como é que os reguladores olham para um mecanismo que promete menos fricção e mais privacidade, ao mesmo tempo que reforça a fronteira entre quem consegue integrar o protocolo e quem fica de fora. Numa internet onde os bots já são maioria, o próximo passo técnico é também um passo político: quem define as regras de entrada.

Fonte: The Next Web