Pedidos y registros perdidos
Cada acertijo adicional es un punto en el que el cliente se va. La verificación invisible no añade ningún paso.
WEDOS PoW
Verificación humana sin imágenes ni cookies
WEDOS PoW sabe que un formulario lo ha enviado una persona. El navegador resuelve en segundo plano una breve tarea de cálculo: el visitante no resuelve nada y un bot que envía miles de peticiones paga con potencia de cálculo. Funciona en cualquier web. Con WEDOS.protection protege todo el dominio, las aplicaciones y las API.
- Gratis en el plan Free, también para webs de empresa
- Datos almacenados en la UE
- Sin imágenes ni puzles
Calculando ahora mismo en su navegadorsimulación · no se envía nada
lucia@example.es
Buenos días, tengo una pregunta sobre mi pedido…
Preparando…
Intentos0
Tiempo0,00 s
Velocidad–
SHA-256(salt + n) = …
- 0 acertijosel visitante no resuelve ni copia nada
- Datos en la UEpuede elegir incluso un país concreto de la UE
- ISO/IEC 27001operación certificada
- Cualificación BSIproveedor de protección DDoS (§ 3 BSIG)
- Desde 1997empresa independiente sin inversores
Por qué no un CAPTCHA de imágenes
Los CAPTCHA de imágenes frenan a los clientes hasta que abandonan el carrito y cierran el paso a las personas con discapacidad visual. Mientras tanto, los bots los hacen resolver a bajo coste. La verificación por cálculo invierte las reglas: la persona no hace nada y quien envía miles de peticiones paga por cada una.
# el servidor emite: salt = "9f2c…?expires=…", objetivo = SHA-256(salt + ?) # el navegador busca el número que encaja: SHA-256(salt + 0) ✗ SHA-256(salt + 1) ✗ … SHA-256(salt + 48 213) ✓ # una fracción de segundo para una persona, # horas de cálculo para un millón de peticiones
Una barrera para las personas con discapacidad
Los lectores de pantalla no leen imágenes ni códigos distorsionados. En la UE, los requisitos de accesibilidad para tiendas online y servicios se han endurecido.
Spam, prueba de contraseñas y cuentas falsas
Los bots rellenan formularios, prueban contraseñas filtradas, crean cuentas y acaparan productos. Sin verificación, todo eso recae en su servidor.
Cómo funciona PoW
La red de WEDOS emite y verifica el desafío. No instala nada en su servidor ni tiene que cambiar de hosting.
Añade el widget
Añade al formulario un elemento con la dirección del desafío para su dominio y una clave de la administración.
El navegador recibe un desafío
Desde el nodo de WEDOS más cercano llega una tarea única, firmada y de validez limitada.
Lo resuelve en segundo plano
Suele tardar décimas de segundo. El visitante sigue escribiendo, no ve ni resuelve nada.
Solo verificación: la web se queda donde está
Para formularios, inicios de sesión, registros y carritos. En cualquier hosting, con cualquier proveedor. No pasa el tráfico de la web por la protección ni cambia las DNS.
- Tres variantes: invisible, widget con casilla y página de desafío
- Los desafíos los emite la red de WEDOS, no su servidor, incluso ante una avalancha de bots
- Incluido en todos los planes de WEDOS.protection, gratis en Free incluso para webs comerciales
pow.wedos.global/<dominio>clave de la administración
Todo el dominio: personas, aplicaciones y máquinas
Cuando el tráfico de la web pasa por WEDOS.protection, el desafío se ejecuta directamente en el borde de la red, antes de que la petición llegue a su servidor. Y quien ya está verificado no tiene que volver a verificarse.
- Desafío en el borde de la red para el tráfico sospechoso, activado por defecto
- El pase tras el desafío es válido en todos los nodos, incluso tras un cambio de red
- Acceso sin desafío para máquinas: token firmado, JWT, certificado de cliente
HMACJWTmTLSRFC 9440
Qué puede hacer PoW
Todo forma parte de los planes de WEDOS.protection. En cada opción se indica el plan más bajo que la incluye.
Personas en la web
con o sin proxy, cualquier webDesafío invisibleFree
Se calcula al enviar el formulario. El visitante no ve nada, el formulario simplemente se envía.
Widget con casillaFree
Un «No soy un robot» visible: un clic, sin imágenes. El usuario ve que algo está pasando.
Página de desafíoFree
Una breve página intermedia antes de entrar en una zona protegida: promociones, registro, administración.
Con proxy a través de la protección
personas y aplicaciones en todo el dominioDesafío en el borde de la redFree
El tráfico sospechoso recibe un desafío antes de llegar al servidor. Nuestro equipo escribe las reglas y se aplican automáticamente.
Pase tras el desafíoNoLimit
Tras resolver el desafío, un pase firmado en una cookie, cabecera o parámetro. Es válido en todos los nodos de WEDOS incluso tras un cambio de dirección IP, por ejemplo cuando el móvil pasa del wifi a los datos móviles.
Máquinas y sistemas
acceso sin desafío, con proxy a través de la protecciónToken HMAC firmadoNoLimit Expert
Su sistema firma el método, el dominio, la ruta y la caducidad con una clave secreta. La cabecera X-WGP-Token pasa sin desafío; el WAF y los límites siguen aplicándose.
Enlace firmadoNoLimit Expert
Un enlace temporal para una descarga o una sola página. Deja de ser válido al caducar o si cambia la ruta.
JWTNoLimit Expert
Un token de su propio inicio de sesión (HS256, HS384, HS512). Comprobamos la firma, el emisor, el destinatario y la validez.
Certificado de cliente (mTLS)NoLimit Expert
Verificamos el certificado en el borde de la red frente a su autoridad de certificación, opcionalmente como obligatorio. Se lo pasamos a su servidor en la cabecera Client-Cert según el RFC 9440.
Pruébelo en su navegador
El cálculo es real: el mismo principio que usa el servicio en producción. Sin embargo, en esta demo es su navegador el que crea y verifica el desafío y no se envía nada.
El desafío invisible y el widget con casilla funcionan aquí en real: el desafío lo emite la red de WEDOS y el widget se carga desde pow.wedos.global. El formulario no se envía a ninguna parte. Las demás demos simulan el cálculo en el navegador.
Desafío invisible en un formulario
El visitante rellena el formulario y hace clic en Enviar. En ese momento el cálculo se ejecuta en segundo plano y con el formulario se envía un resultado firmado.
- Ningún elemento adicional, ninguna interacción
- Adecuado para formularios de contacto, comentarios y boletines
Widget con casilla
Una confirmación visible donde el usuario debe saber que la web lo está verificando: inicio de sesión, registro, pedido.
- Un clic, sin imágenes ni texto que copiar
No soy un robothaga clic para verificar
Protegido porWEDOS.protection
Página de desafío
Un desafío a página completa antes de entrar en una parte protegida de la web. Útil para ofertas que atraen bots de compra o para el acceso a la administración.
- Tarda una fracción de segundo y luego la página se abre sola
- Con proxy, el mismo desafío se ejecuta directamente en el borde de la red
https://su-tienda.es/
Su tienda online
Haga clic en «Abrir la página protegida».
Pase tras el desafío
El visitante resuelve el desafío una vez y después navega por la web sin más desafíos. El pase está firmado y es válido en toda la red de WEDOS, así que ni siquiera el cambio del móvil a otra red lo invalida.
- Soporte: cookie
wgp_ok, cabeceraX-WGP-Passo parámetro - Validez configurable (15 minutos por defecto), vinculada al dominio y a la huella del navegador
- El WAF, los límites y los bloqueos siguen aplicándose: el pase solo omite el desafío
# Haga clic en «Iniciar la demo».
Tokens para máquinas
La monitorización, las integraciones de socios, las aplicaciones móviles o las tareas cron no pueden resolver desafíos. Firman la petición con una clave secreta y pasan sin desafío. Los tokens de abajo se calculan en directo, igual que los verifica la protección.
Certificado de cliente (mTLS)
Para interfaces entre sistemas en las que el cliente se identifica con un certificado de su autoridad de certificación. La verificación se realiza en el borde de la red de WEDOS, antes de que la petición llegue a su servidor.
- Modo opcional: con un certificado válido sin desafío, sin él la protección habitual
- Modo obligatorio: sin un certificado válido, respuesta 403 con un registro en el log
- Pasamos el certificado a su servidor en la cabecera
Client-Cert(RFC 9440) y eliminamos el que falsifique el cliente
# cliente con un certificado de su CA
curl --cert cliente.pem --key cliente.key https://api.su-web.es/v1/estado
← 200
# sin certificado, modo obligatorio
curl https://api.su-web.es/v1/estado
← 403 # en el log: mTLS client certificate required
# lo que recibe su servidor
Client-Cert: :MIIC…base64 DER…:
Lo que cuesta un desafío: a una persona y a un bot
La dificultad determina el rango en el que busca el navegador. Mida cuánto tarda un desafío en este dispositivo y cuánto cálculo costaría un millón de peticiones.
- Una persona envía un formulario una vez: unas décimas de segundo pasan desapercibidas
- Un bot envía miles de peticiones y paga por cada una
- PoW encarece los ataques masivos, pero por sí solo no distingue a una persona de un bot. Por eso lo combinamos con reputación y límites.
Desafío medio–
Velocidad–
1 M de desafíos–
«1 M de desafíos» = horas de cálculo de un núcleo de este dispositivo.
Dónde encaja PoW
Tiendas online
Registro, carrito, códigos de descuento y ofertas que atraen bots de compra.
Inicio de sesión
Encarece para el atacante la prueba de contraseñas filtradas sin frenar el acceso de las personas.
Formularios
Formularios de contacto, comentarios, consultas y boletines sin spam.
Sector público y NIS2
Verificación accesible y datos almacenados en la UE con una empresa europea independiente.
Aplicaciones y API
Pase tras el desafío para aplicaciones de una sola página y webs móviles.
Integraciones de sistemas
Tokens firmados, JWT y certificados de cliente para máquinas que no resuelven desafíos.
Agencias y proveedores de hosting
Una sola cuenta para decenas de webs de clientes.
Webs en cualquier lugar
No necesita hosting de WEDOS ni pasar el tráfico de la web por la protección.
Cómo implantar PoW
El widget se basa en el widget de código abierto ALTCHA. Las demos para máquinas corresponden a lo que verifica la protección.
Active el servicio para el dominio
En la administración de WEDOS.protection elige para cada dominio si todo el tráfico pasa por la protección o solo la verificación. Activa PoW, genera una sal y aparece la clave para su código.
Añada el widget al formulario
La dirección del desafío es
pow.wedos.global/<dominio>?key=…. La clave es pública, visible en el HTML, y por sí sola no desbloquea nada.Cambio de clave sin interrupción
Una sal nueva pasa la anterior a reserva. Durante el cambio, ambas claves son válidas.
<!-- widget de la red de WEDOS, sin terceros --> <script type="module" src="https://pow.wedos.global/_cap/altcha-2.1.0.min.js"></script> <form method="post" action="/contacto"> <input name="email" type="email" required> <altcha-widget challengeurl="https://pow.wedos.global/su-web.es?key=SU_CLAVE" auto="onsubmit"></altcha-widget> <button>Enviar</button> </form>
# con proxy, acceso sin desafío (NoLimit Expert) # firma: HMAC-SHA256(clave, "h|METODO|dominio|ruta|caducidad"), base64url import base64, hashlib, hmac, time def wgp_token(key_b64u, method, host, path, ttl=300): key = base64.urlsafe_b64decode(key_b64u + "==") exp = int(time.time()) + ttl msg = f"h|{method}|{host}|{path}|{exp}".encode() sig = base64.urlsafe_b64encode(hmac.new(key, msg, hashlib.sha256).digest()) return f"v1.{exp}." + sig.rstrip(b"=").decode() # requests.get(url, headers={"X-WGP-Token": wgp_token(K, "GET", host, path)})
PoW en los planes de WEDOS.protection
Los precios son los de los planes de WEDOS.protection por dominio protegido. Para cada dominio elige si todo el tráfico pasa por nosotros o solo la verificación de visitantes.
Solo verificación
La web se queda donde está y no cambia las DNS. Los visitantes se verifican a través de pow.wedos.global: de forma invisible, con un widget o con una página de desafío.
Con proxy
El tráfico del dominio pasa por la red de WEDOS. Además: desafío en el borde de la red, pase tras el desafío, acceso sin desafío para máquinas y protección completa contra DDoS, con WAF y protección contra bots.
En todos los planes:
desafío invisible, widget y página de desafío
también para webs comerciales
sin cookies
datos almacenados en la UE
cambio de clave sin interrupción
Free raíz + 1 subdominio
Para pequeñas empresas, asociaciones y webs personales. Gratis para cualquier número de dominios, también comerciales.
0 €/ mes
Empezar gratis
- Desafío invisible, widget, página de desafío
- Con proxy: desafío en el borde de la red
- Sin soporte, documentación
Adecuado paraformularios de contactoblogsasociaciones
NoLimit protección completa
Para tiendas online y webs de empresa. Un visitante verificado no se vuelve a verificar.
8,25 €/ mes con pago anual
99 € al año · 13 € al mes
Elegir NoLimit
99 € al año · 13 € al mes
- Pase tras el desafío: cookie, cabecera, parámetro
- Soporte sin garantía
- Todo lo de Free
Adecuado paratiendas onlineempresasinicio de sesión y registro
NoLimit Expert personas, aplicaciones y máquinas
Para empresas con aplicaciones, API y sistemas conectados. Las máquinas pasan sin desafío y la protección sigue activa.
100 €/ mes con pago anual
1200 € al año · 110 € al mes
Elegir NoLimit Expert
1200 € al año · 110 € al mes
- Token HMAC firmado, enlace firmado, JWT
- Certificado de cliente (mTLS) y Client-Cert
- Todo lo de NoLimit
Adecuado paraAPIintegraciones de sistemasagencias
Organizaciones y NIS2
Los planes NIS2 se basan en NoLimit Expert, así que incluyen PoW con todas las opciones. Además: conservación de registros más larga, servicio gestionado y apoyo a las entidades obligadas por la NIS2.
NIS2 Important165 € / mes con pago anual
- Para entidades importantes según la NIS2
- Todo lo de NoLimit Expert, registros de 6 meses
NIS2 Essential340 € / mes con pago anual
- Para entidades esenciales según la NIS2
- Todo lo de NoLimit Expert, registros de 18 meses
Managed1000 € / mes con pago anual
- Protección gestionada
- Analista de seguridad asignado
| PoW en los planes | Free0 € | NoLimit8,25 € / mes | NoLimit Expert100 € / mes |
|---|---|---|---|
| Desafío invisible, widget, página de desafío | |||
| Solo verificación (la web se queda donde está) | |||
| Con proxy: desafío en el borde de la red | |||
| Uso comercial | |||
| Pase tras el desafío | – | ||
| HMAC, enlace firmado, JWT, mTLS | – | – | |
| Soporte | documentación | sin garantía | sin garantía |
Precios de la tarifa de WEDOS.protection a 5/11/2026, IVA no incluido, por dominio protegido.
Datos en la UE, servicio en todo el mundo
El desafío lo emite el nodo de la red de WEDOS más cercano, esté donde esté el visitante. Almacenamos los datos en la Unión Europea y puede limitar el tratamiento a un país concreto de la UE. Detrás del servicio hay una empresa europea independiente, sin inversores ni subvenciones.
- ISO/IEC 27001y también 27017 y 27018
- Proveedor cualificadode protección DDoS según el BSI (§ 3 BSIG)
- NIS2 y RGPDentidad esencial según la NIS2 en Chequia
- Empresa europea independienteexperiencia desde 1997
Lo que el servicio no hace
No instala cookies
La verificación sin proxy no necesita cookie ni banner de consentimiento. El pase con proxy es opcional.
No rastrea a los visitantes entre webs
La verificación solo sirve para proteger. Sin perfiles publicitarios, no vendemos nada.
No plantea acertijos
Sin imágenes, semáforos ni texto que copiar. La variante invisible no requiere ninguna acción.
Preguntas frecuentes
¿Tiene el visitante que resolver algo?
No. Con la variante invisible no ve nada en absoluto; con el widget hace clic una vez en la casilla. El navegador hace el cálculo por sí solo.
¿Cuánto tarda el cálculo?
Normalmente décimas de segundo, más en un móvil antiguo. Ajustamos la dificultad para que una persona no lo note. Pruébelo en su dispositivo en la demo Dificultad.
¿Detiene PoW todos los bots?
No, y no lo afirmamos. El cálculo encarece los ataques masivos (spam, prueba de contraseñas, creación de cuentas) porque el bot paga por cada petición. Por sí solo no distingue a una persona de un bot. Por eso lo combinamos con la reputación de las direcciones IP, la huella del navegador y límites. Los dominios detrás de WEDOS.protection reciben además toda la protección de la red.
¿Funciona sin JavaScript?
No. El cálculo se ejecuta en el navegador, así que JavaScript es necesario. Para las máquinas que no ejecutan JavaScript, con proxy hay tokens firmados, JWT y certificados de cliente.
¿Qué datos de los visitantes tratan?
Para la protección y los registros operativos tratamos la dirección IP y los datos técnicos de la petición. Almacenamos los datos en la UE conforme al RGPD. El servicio no instala cookies ni crea perfiles publicitarios.
¿Qué es el pase tras el desafío?
Una prueba firmada de que el visitante ha resuelto el desafío. Es válida durante el tiempo configurado (15 minutos por defecto) en todos los nodos de WEDOS, así que un nuevo desafío no lo detiene ni siquiera tras un cambio de red. El pase no desactiva la protección contra ataques, el WAF ni los límites.
¿Tengo que trasladar mi web a WEDOS.protection?
No. PoW forma parte de los planes de WEDOS.protection y para cada dominio elige: o todo el tráfico pasa por la protección, o solo la verificación y la web se queda donde está. Basta con el plan Free. Los pases, los tokens para máquinas y los certificados de cliente requieren proxy, porque los verificamos directamente en el borde de la red.
La red que protege webs ahora también verifica a personas.
PoW forma parte de WEDOS.protection, la protección de webs contra DDoS, con WAF y protección contra bots, en la red anycast global de WEDOS.
También funciona en la red de WEDOS