Creación de formularios
Protección contra bots (Turnstile)
Cloudflare Turnstile revisa por ti los envíos de enlaces públicos. Siempre está activada en los formularios gratuitos y tú la controlas en Pro y Business. La mayoría de los respondentes nunca la ven.
Cómo funciona
Cuando un respondente pulsa enviar, formbase le pide un token a Turnstile y lo verifica en el servidor antes de guardar el envío. La comprobación normalmente se ejecuta en silencio; si no puede resolverse por sí sola, aparece un pequeño diálogo que le pide al respondente que confirme. No hay puzzles de imágenes. El diálogo sigue el tema y el idioma de tu formulario.
La comprobación se ejecuta al enviar, no al cargar la página, así que nunca retrasa la apertura del formulario. Un envío que no pasa la verificación se rechaza y se le pide al respondente que lo intente de nuevo.
Las solicitudes no pasan por esta puerta
La protección contra bots solo se aplica a los enlaces públicos. Un enlace de solicitud ya nombra a un destinatario y autoriza una única finalización, así que se salta Turnstile — igual que se salta el requisito de inicio de sesión y los límites de respuesta.
Formularios alojados en formbase
Para formularios compartidos mediante enlaces form.formbase.so, la protección contra bots está integrada — sin configuración,
sin claves, sin nada que ajustar. formbase gestiona Turnstile por ti.
En el plan Free (y en los formularios de invitado), la protección contra bots siempre está activada y no se puede desactivar. El interruptor Protección contra bots (Turnstile) en Configuración del formulario → Acceso se mantiene bloqueado en activo.
En un plan Pro o Business, el interruptor es tuyo. Activa o desactiva la protección contra bots por formulario desde Configuración del formulario → Acceso → Protección contra bots (Turnstile).
Si tu plan de pago caduca, tu propia configuración sigue aplicándose durante los primeros 30 días. A partir del día 30, la protección contra bots vuelve a bloquearse en activo — el valor predeterminado del plan Free. Consulta subir y bajar de plan.
Formularios con dominio personalizado (BYOK)
Los dominios personalizados requieren un plan Pro o Business. Si compartes formularios en un dominio personalizado (por
ejemplo fill.yourdomain.com), traes tus propias claves de Turnstile (BYOK): Cloudflare vincula un widget de Turnstile a
nombres de host específicos, y la propia clave de formbase solo cubre formbase.so.
- 1
Añade primero tu dominio personalizado
La tarjeta de Protección contra bots en la página Dominios permanece vacía hasta que el espacio de trabajo tenga al menos un dominio personalizado. Configura primero el dominio.
- 2
Crea una cuenta de Cloudflare
Regístrate de forma gratuita en dash.cloudflare.com si aún no tienes una.
- 3
Crea un widget de Turnstile
En Turnstile, añade los nombres de host de tu dominio personalizado a la lista permitida. Un solo widget con la validación de nombre de host desactivada cubre todos los dominios del espacio de trabajo.
- 4
Copia tus claves
Copia la Site key y la Secret key.
- 5
Pega las claves en formbase
Abre Dominios desde la barra lateral, busca la tarjeta Protección contra bots, pega ambas claves y guarda. Las claves son por espacio de trabajo, no por formulario.
- 6
Actívala por formulario
Activa la protección contra bots para formularios individuales en Configuración del formulario → Acceso.
Hasta que las claves se guarden, el interruptor en un formulario de dominio personalizado está deshabilitado y se muestra como desactivado, porque ahí no puede ejecutarse ningún desafío. Lo que ocurre con los envíos en esa URL con tu marca depende del plan:
| Propietario | Dominio personalizado sin claves |
|---|---|
| Pro o Business | Los envíos pasan sin protección — tu interruptor es una preferencia, no una barrera. |
| Free, invitado, o un plan caducado más allá del día 30 | Los envíos en la URL con tu marca se rechazan. El enlace de formbase.so sigue funcionando. |
¿Sin dominios personalizados? Omite esto.
Si todos tus formularios usan los enlaces de compartir predeterminados de formbase, no necesitas configurar claves de Turnstile. La protección contra bots funciona automáticamente.
Límites de envíos
Turnstile no cambia tu cuota mensual — 1000 envíos al mes en Free, 50 000 en Pro y Business. Consulta límites y cuotas.
Estrategias de defensa en capas
Turnstile es una capa. Combínala con los controles de acceso de Configuración del formulario → Acceso:
| Nivel de amenaza | Recomendación |
|---|---|
| Riesgo bajo | Turnstile solo — invisible, sin fricción |
| Riesgo medio | Turnstile + protección con contraseña o cierre programado |
| Riesgo alto | Requerir autenticación — sin envíos anónimos en absoluto |
| Generación de leads / incentivos | Turnstile + cierre programado + un límite de respuestas en el enlace público |
Ninguna protección es perfecta
Los bots sofisticados pueden eludir cualquier CAPTCHA. Para formularios de alto valor, combina defensas: Turnstile, una puerta de autenticación, verificación de email y una revisión de los envíos antes de actuar sobre ellos.