Bots de captcha no Telegram: como funcionam e o que passa por eles

O que é um bot de captcha no Telegram?

É um bot que fica na porta de um grupo e pede a cada novato que prove que tem alguém ali. Enquanto não responde, o novato não consegue postar.

O Telegram não tem captcha próprio para grupos. A checagem é sempre feita por um bot que os administradores do grupo adicionaram e ao qual deram direitos de administrador. Dois fatos sobre o Telegram definem como todos esses bots funcionam:

• Um bot só consegue restringir ou remover membros sendo administrador. A documentação do Telegram para bots exige que o bot seja administrador com os direitos adequados. Restringir um membro, que é o que acontece quando se silencia alguém, está documentado para supergrupos.
• Um bot não consegue iniciar uma conversa privada. A documentação do Telegram diz que o usuário precisa escrever primeiro para o bot ou adicioná-lo a um grupo. Por isso o desafio não pode simplesmente chegar no chat privado do novato. Ele começa com um botão no grupo, que o novato aperta.

Como funciona um bot de captcha, passo a passo?

1. Uma conta entra. O bot vê a entrada.
2. O bot silencia a conta. Ela está no grupo e pode ler, mas não pode enviar.
3. O bot mostra um desafio. Em geral, uma mensagem de boas-vindas com um botão. O desafio é resolvido no grupo, ou o botão abre um chat privado com o bot ou um miniapp.
4. A conta responde. Se a resposta está certa, o bot libera a conta.
5. Ou não responde. Depois de um prazo definido pelos administradores, o bot remove a conta. O Telegram deixa um bot remover um membro de um jeito que permite que ele entre de novo, então uma pessoa de verdade que não viu a mensagem pode voltar e tentar outra vez.

Os desafios vêm em quatro tipos comuns.

Desafio	O que o novato faz	O que exige de um script
Botão	Aperta um botão embaixo da mensagem de boas-vindas	Perceber o botão e apertar
Matemática	Resolve uma conta simples e escolhe a resposta	Ler a pergunta e calcular
Texto ou imagem	Escolhe o texto, ou os caracteres, mostrados em uma imagem	Ler texto dentro de uma imagem
Web ou miniapp	Abre uma página dentro do Telegram e conclui uma checagem ali	O que quer que essa página teste

Um exemplo: a documentação da Rose, lida em outubro de 2026, descreve quatro modos: um botão, que é o padrão, um modo de texto, um modo de matemática e um modo de texto mais difícil, em que o novato escolhe caracteres um a um a partir de uma imagem. Nos três últimos, o botão leva a um chat privado com o bot. O novato que dá respostas erradas é banido temporariamente. Remover as contas que nunca respondem é uma opção que você liga, com cinco minutos como padrão. Cada membro resolve o desafio uma vez por grupo. É isso que a documentação diz nessa data. Um recurso que ela não descreve pode existir mesmo assim.

O que um captcha barra?

Barra o script que não reage. O tipo mais barato de spam em grupo funciona assim: um programa entra com uma conta comprada e posta um link na hora. Não lê o chat e não aperta botões. Silenciado ao chegar e removido alguns minutos depois, ele nunca envia uma mensagem.

Um captcha dá mais três coisas:

• Um chat mais calmo. Uma onda de contas toscas é silenciada no instante em que entra.
• Uma lista de membros mais limpa, se você ligar a remoção das contas que nunca respondem. Sem isso, as contas silenciadas ficam no grupo.
• Um lugar para as regras. Alguns bots mostram as regras do grupo como parte do desafio, de modo que todo membro as viu uma vez.

São ganhos reais, e um botão custa a um membro de verdade um toque. Se o spam tosco é todo o seu problema, um captcha pode ser tudo de que você precisa.

O que passa por um captcha?

Um captcha faz uma pergunta só: tem alguma coisa do outro lado capaz de responder? Não pergunta o que a conta pretende fazer. Tudo o que passa decorre disso.

O que acontece	Por que o captcha não barra
Uma pessoa comanda a conta	Uma pessoa resolve o desafio do mesmo jeito que os seus membros
Um script é feito para responder	Um botão pede um toque, e um programa que controla uma conta consegue dar esse toque
A conta passa, espera e então posta	A checagem rodou uma vez, no dia em que ela entrou
A conta passa e nunca posta	Ela lê a lista de membros e escreve para os seus membros no privado
A conta edita depois uma mensagem limpa	O captcha não lê mensagem nenhuma
Um bot falso imita o seu captcha em outro lugar	Acontece fora do seu grupo, onde o seu bot não está

Três desses casos merecem um olhar mais de perto.

A conta paciente. Uma conta que espera uma semana antes de postar foi verificada há muito tempo. Um desafio mais difícil não muda isso. Só quem lê as mensagens quando são postadas, e de novo quando são editadas, vê o golpe chegar.

A conta silenciosa. Uma conta silenciada continua sendo membro. Enquanto está no grupo, ela vê o que os membros veem, e isso inclui a lista de membros, a menos que você a tenha ocultado. Uma conta que veio atrás da lista não precisa passar em nada. A remoção por prazo esgotado encurta a visita. A aprovação de membros impede. Veja como funcionam os pedidos de entrada.

O desafio mais difícil. Uma conta de somar ou uma imagem exige mais de um script do que um botão. Também exige mais dos seus membros, e algumas pessoas de verdade vão desistir ou não ver a mensagem. Nenhum desafio que uma pessoa resolve em segundos está fechado para uma pessoa paga para resolver.

Por que os bots de verificação falsos são perigosos?

Porque o captcha ensinou as pessoas a confiar em um botão "Verificar". Os membros de grupos de cripto passam por uma checagem com tanta frequência que mais uma parece rotina. Os golpistas se aproveitam desse hábito.

O bot falso copia o nome e a foto de um bot de verificação de verdade e fica na porta de um grupo falso. A "verificação" dele pede seu número de telefone e o código de login que o Telegram acabou de enviar, ou manda você colar um comando no computador. A primeira coisa entrega a conta do Telegram. A segunda instala malware. O golpe do falso bot Safeguard explica as duas formas e o que fazer se você caiu em uma delas.

A regra é curta. Uma checagem de verdade pede que você aperte um botão, resolva um desafio ou espere. Ela nunca pede número de telefone, código de login, senha da verificação em duas etapas, que você escaneie um código QR com a sua conta nem que execute um comando no computador.

Se você usa um captcha, isso também é responsabilidade sua:

1. Publique o nome de usuário exato do seu bot em uma mensagem fixada. Diga que ele nunca vai pedir um código nem um comando.
2. Mantenha a checagem dentro do Telegram. Um desafio que manda os membros para um site externo ensina a seguir o próximo link que disser "verificar".
3. Confira o bot que você adiciona. Um bot de captcha tem direitos de administrador no seu grupo. Adicione pelo nome de usuário que está no site dele e dê só os direitos de que ele precisa. Veja permissões de administrador.

Um captcha basta para o meu grupo?

Depende do que chega à sua porta.

O que você vê no seu grupo	Um captcha basta?
Contas novas que postam um link no segundo em que entram	Muitas vezes, sim. Acrescente a remoção por prazo esgotado.
Mensagens de golpe de contas que entraram há dias	Não. A checagem foi vencida muito antes.
Membros recebendo mensagens privadas de uma cópia de um administrador	Não. Oculte a lista de membros e ative a aprovação de membros.
Golpes em imagens, códigos QR ou mensagens editadas	Não. Para isso, só um bot que lê as mensagens.
Centenas de entradas em um minuto	Em parte. Veja o que fazer em uma invasão.

Uma configuração que cobre mais, na ordem em que deve ser feita:

1. Ative a aprovação de membros. A conta é conferida enquanto ainda está do lado de fora, então não consegue ler o chat nem a lista. Desde junho de 2026, um grupo pode definir um bot guardião que responde a cada pedido, e esse bot pode mostrar antes um miniapp a quem pediu.
2. Mantenha um desafio, e mantenha simples. Um toque basta para barrar os scripts que não reagem.
3. Remova as contas que nunca respondem. Não libere a conta automaticamente depois de um tempo. Isso deixa entrar justamente as contas que a checagem deveria segurar.
4. Use as configurações do próprio Telegram. Como barrar bots de spam lista seis que não custam nada.
5. Adicione um bot que lê todas as mensagens e todas as edições. É a camada que cuida das contas que passaram.

A Targa tem um captcha de entrada: os novos membros passam por uma checagem rápida de que são humanos antes de poder postar. Ela também funciona como bot guardião e faz a triagem dos pedidos de entrada antes que a conta entre. O resto do que ela faz começa onde o captcha termina. Ela funciona com IA e lê cada mensagem e cada edição, lê texto e códigos QR dentro de imagens e compara nomes, fotos e nomes de usuário de bots com os dos seus administradores. Se quiser observar primeiro, o modo de observação não remove nada e registra o que teria feito. A Targa está em beta privado, então o acesso é mediante solicitação.

Se você já usa um captcha em outro bot, mantenha. Dois bots de moderação podem dividir um grupo. Deixe o captcha de entrada ligado em um deles só, para que os novos membros não sejam testados duas vezes.

Um limite vale para todo bot, a Targa também: nenhum consegue ver a página de verificação falsa que um membro encontra fora do seu grupo. A defesa, nesse caso, é a mensagem fixada com o nome de usuário exato do seu bot.