Como encontrar palavras ocultas: o que realmente funciona
Palavras ocultas são um recurso de segurança usado principalmente em formulários web para diferenciar humanos de bots automatizados. Diferente dos CAPTCHAs tradicionais com imagens distorcidas, o sistema simplesmente esconde um campo de entrada no CSS ou no DOM e espera que robôs preencheram tudo o que encontram, enquanto humanos normais ignoram o campo vazio.
Como implementar palavras ocultas no seu site
A implementação básica é direta. Você adiciona um campo de entrada com display:none ou position:absolute fora da viewport visível. Quando o formulário é submetido, o servidor verifica se esse campo está vazio. Se estiver preenchido, rejeita. Se estiver vazio, processa normalmente. O HTML mais simples seria algo como:
<input type="text" name="hidden_word" style="display:none"> O servidor faz a verificação no backend antes de qualquer outro processamento. É crucial que essa validação aconteça primeiro, porque se você processar dados do formulário antes de checar o campo oculto, já gastou recursos desnecessariamente.
👉 Clique no botão abaixo para saber mais sobre o assunto!
Achei um problema bem específico recentemente quando integrei isso num sistema de contato com reCAPTCHA da Google rodando junto. O campo oculto às vezes ficava com tabindex negativo e navegadores como o Firefox antigo ainda assim o acessavam via Tab. A solução foi usar aria-hidden="true" junto com display:none, além de um nome de campo que não parecesse obviamente de segurança — usei "referencia_interna" e ninguém nunca preencheu.
Vantagens e limitações reais
Palavras ocultas funcionam bem contra spambots genéricos que varrem formulários aleatoriamente. Esse tipo de bot preenche todos os campos disponíveis sem ler nada. O tempo médio para implementar e testar esse sistema é cerca de 30 minutos em um formulário padrão. Mas tem custos. O maior problema é que palavras ocultas sozinhas não resolvem nada sério. Bots modernos como CrawlMachine e plugins comerciais de spam já detectam campos com display:none. Eles leem a estrutura DOM antes de submeter. Então você precisa combinar com outras camadas — honeypots dinâmicos, análise de comportamento de mouse, ou simplesmente bloquear IPs com histórico de spam documentado.
Também notei que alguns usuários legítimos usam leitores de tela que leem campos invisíveis. Isso pode causar confusão ou fazer com que o campo seja preenchido acidentalmente, especialmente se o leitor de tela announcing for ativado. Já vi isso acontecer com clientes usando NVDA no Windows. A correção foi adicionar role="presentation" ao container do campo oculto. Se você quer algo mais robusto do que palavras ocultas, recomendo olhar para hCaptcha ou até uma solução de segurança mais completa como Cloudflare Turnstile. Ambos são gratuitos para volumes baixos e muito mais difíceis de burlar do que um input invisível. Palavras ocultas servem como primeira linha de defesa, não como solução definitiva.
O download de qualquer implementação pronta que encontrar na internet deve ser tratado com cautela. Código mal escrito pode expor seu formulário a ataques de bypass via DOM manipulation. Sempre audite o JavaScript usado para criar campos honeypot antes de colocar em produção.
