Suno «Token validation failed»: es el captcha, no tu cuenta

En Suno, «Token validation failed» significa que la verificación antibots que acompaña a cada generación no llegó bien al servidor. Cuando pulsas Create, la web pide en segundo plano un comprobante (el «token») a Cloudflare Turnstile o a hCaptcha, los sistemas que distinguen personas de bots, y lo envía junto con la petición. Si ese comprobante llega vacío o caducado, o el servidor no lo acepta, Suno rechaza la canción y muestra «An error occurred. Token validation failed.». No tiene nada que ver con tu sesión, tus créditos ni una suspensión de la cuenta.

Lo primero es saber si el fallo es general. Si en Downdetector o en r/SunoAI mucha gente cuenta lo mismo a la misma hora, es una caída de Suno y solo queda esperar. Si te pasa solo a ti, el problema está entre tu navegador y la verificación: espera un minuto y pulsa Create una sola vez, desactiva la VPN o el proxy, abre el Turnstile Troubleshooter de Cloudflare, que revisa el reloj del sistema, las extensiones y la conexión, y prueba con un navegador actualizado o desde otra red. Si nada de eso funciona, escribe a support@suno.com, el único canal de soporte oficial de Suno.

La excepción son los desarrolladores que usan un wrapper no oficial de la API de Suno y reciben {"detail":"Token validation failed."}: la causa es la misma verificación, pero no se arregla en el navegador. Tienen su propia sección al final.

Qué es el «token» que Suno no puede validar

El token es un comprobante de un solo uso que emite el sistema antibots, y el servidor de Suno lo exige para generar. El código JavaScript público de suno.com/create, descargado el 4 de noviembre de 2026 (115 archivos), muestra el recorrido: antes de generar, la web pregunta al servidor de Suno si esa petición necesita verificación, y el servidor responde sí o no y elige el sistema, hCaptcha (el predeterminado) o Cloudflare Turnstile. Si esa consulta previa falla, la web da por hecho que sí hace falta y usa hCaptcha. Después, el token viaja dentro de la misma petición de Create, en los campos token y tokenProvider; el mismo paso de verificación protege la extracción de stems, así que el aviso también puede salir al extraer o descargar stems.

El texto «Token validation failed» no aparece en ninguno de esos 115 archivos, así que no lo escribe la web: es la respuesta del servidor. El aviso se compone de dos partes. La primera línea, «An error occurred.», es un texto fijo de la interfaz (en inglés; no está comprobado si la interfaz en español la traduce), y la segunda es lo que devuelve el servidor, copiado tal cual. El mismo código descarta las otras lecturas habituales: quedarse sin créditos produce un error 402 con su propio aviso, superar el número de generaciones simultáneas da un 429 con otro, y los fallos de inicio de sesión usan textos distintos.

Casi nunca ves la verificación. Turnstile funciona de forma invisible y solo aparece cuando Cloudflare quiere que interactúes; entonces Suno la muestra a pantalla completa sobre un fondo oscuro, con la casilla de Cloudflare para confirmar que eres humano («Verify you are human» en inglés). hCaptcha también está configurado como invisible. Por eso el error parece salir de la nada.

Lo que el código no enseña son las reglas del servidor: cuánto dura un token, qué reputación de IP acepta o por qué rechaza uno concreto. Tampoco se ha reproducido el error en una cuenta real; que un token vacío acabe en este mensaje exacto se deduce del código y de las respuestas que publican los desarrolladores. Si lo que falla es la verificación de voz de Add Voice o un audio subido que Suno rechaza por parecerse a una obra existente, se trata de comprobaciones distintas y esta guía no les aplica.

¿Suno no funciona o el problema es tuyo?

Si muchas personas publican el mismo aviso a la misma hora, el fallo es de Suno y ningún cambio en tu navegador lo va a arreglar. Ya ha pasado: el 17 de febrero de 2026, un hilo de r/SunoAI titulado «Suno down for anyone else?» reunió unas 40 respuestas de usuarios que veían «An error occurred - token validation failed» al pulsar Create, y al día siguiente circulaba otro hilo dedicado solo a este error. A 4 de noviembre de 2026 no hay ninguna publicación de Suno en X sobre este mensaje.

Para comprobarlo tienes tres sitios. La página de Downdetector «¿Suno no funciona?» y los mensajes recientes de r/SunoAI muestran si hay una oleada de reportes. Dentro de la propia app, Suno enseña un banner cuando hay mantenimiento; el 4 de noviembre de 2026 no había ninguno activo. Con una página de estado no puedes contar: a 4 de noviembre de 2026, status.suno.com no responde y no se encontró ninguna página pública con el historial de incidencias de Suno.

Si nadie más se queja, haz una prueba rápida desde otro dispositivo y otra conexión, por ejemplo el teléfono con datos móviles. Si allí Create funciona, el problema está en tu navegador o en tu red, y los pasos siguientes van a por él.

Cómo solucionar «Token validation failed» en cinco pasos

Los pasos siguen el orden en que suele fallar la verificación: primero descartas un fallo puntual y después revisas lo que la propia Cloudflare señala como causas habituales en su guía de códigos de error de Turnstile: VPN o proxy, reloj, extensiones, navegador desactualizado y red. Prueba Create después de cada paso.

1. Espera un minuto y pulsa Create una sola vez. Cuando Turnstile no devuelve el token, la web de Suno reintenta por su cuenta con hCaptcha y se queda con hCaptcha durante diez minutos; en la configuración que servía Suno el 4 de noviembre de 2026, ese reintento estaba activado. No hay indicios de que pulsar Create muchas veces seguidas ayude. Si vuelve a fallar, recarga la página y prueba otra vez.
2. Desactiva la VPN o el proxy. Cloudflare indica que algunas VPN y proxies interfieren con Turnstile y recomienda apagarlos para probar. Más abajo tienes lo que dicen los Términos de Suno sobre las VPN.
3. Abre el Turnstile Troubleshooter de Cloudflare en debug.challenges.cloudflare.com. En unos segundos revisa cuatro cosas: Automation Check (si el navegador parece automatizado), System Clock (el reloj), Privacy Tools (extensiones que interfieren) y Server Connection (si llegas a Cloudflare). Si falla System Clock, activa la hora automática del sistema; un reloj desajustado puede provocar los errores 110600 y 200100 de Turnstile. Si falla Privacy Tools, pasa al paso 4; si falla Server Connection, al paso 5.
4. Prueba en una ventana privada y con un navegador actualizado. La ventana privada arranca sin extensiones ni caché. Si allí funciona, la culpable es una extensión: reactívalas de una en una, empezando por las que bloquean scripts. Si tampoco funciona, prueba otro navegador actualizado; Turnstile admite todos los navegadores principales excepto Internet Explorer.
5. Cambia de red. Comparte los datos móviles del teléfono y prueba desde ahí. Si funciona, tu red habitual bloquea algo: un filtro DNS, Pi-hole, el control parental del router o la red del trabajo o del centro de estudios.

En el paso 3, el Troubleshooter que se ejecutó el 4 de noviembre de 2026 a las 14:56 UTC en un navegador basado en Chromium sobre macOS dio «No automation detected», «Clock synchronized», «No interference detected» y «Can reach Cloudflare»: así se ve un resultado limpio. Ten en cuenta que esa herramienta comprueba Turnstile en general, no el servidor de Suno, así que pasar las cuatro pruebas no garantiza que Suno acepte tu token.

Si la red es tuya y usas un filtro DNS, los dominios que necesita la verificación de Suno son challenges.cloudflare.com (Turnstile), hcaptcha-endpoint-prod.suno.com, hcaptcha-assets-prod.suno.com, hcaptcha-imgs-prod.suno.com y hcaptcha-reportapi-prod.suno.com (Suno sirve hCaptcha desde sus propios subdominios), además de studio-api-prod.suno.com, auth.suno.com y clerk.suno.com para la app y el inicio de sesión. En una red del trabajo o del centro de estudios no cambies nada por tu cuenta: pasa esa lista a quien la administra.

Los seis casos en que tu navegador envía la verificación vacía

Según el código de la web de Suno del 4 de noviembre de 2026, hay seis situaciones en las que el navegador entrega al servidor un token vacío, y lo esperable es que el servidor responda con este error. Saber cuál es la tuya te dice qué tocar:

Además, la web espera como máximo 10 segundos a que el widget de verificación aparezca; si no aparece, se rinde y la petición sale sin token. Cuando el que falla es Turnstile, la web prueba además con hCaptcha antes de rendirse (el reintento del paso 1), así que el aviso suele significar que tampoco esa vía funcionó.

Si la casilla de Cloudflare aparece una y otra vez o no termina nunca, el tiempo cuenta: la web abandona el desafío interactivo a los 120 segundos. Que se repita suele indicar que Cloudflare no se fía de tu conexión o de tu navegador, y lo que conviene revisar es la VPN, el reloj y la versión del navegador, no seguir marcando la casilla.

Suno no muestra el código de error de Cloudflare en el aviso. Si quieres verlo, abre la consola del navegador (F12, pestaña Console) antes de pulsar Create. Según la documentación de Cloudflare, 110600 y 200100 apuntan a un reloj desajustado, 200500 a que challenges.cloudflare.com está bloqueado, y los que empiezan por 300 o 600 a que se detectó comportamiento de bot. Un 401 durante la verificación suele ser normal y se puede ignorar si al final se emite el token.

¿Es culpa del bloqueador de anuncios? Con las listas por defecto, casi nunca

Un bloqueador de anuncios con sus listas por defecto difícilmente es la causa. El 4 de noviembre de 2026 se cotejaron 15 listas de bloqueo populares (EasyList, EasyPrivacy, las de uBlock, las de AdGuard, Peter Lowe, StevenBlack, OISD, HaGeZi Pro, Pro++ y Ultimate, y Fanboy Annoyance) con los dominios que necesita la verificación de Suno: ninguna tenía una sola regla que los bloqueara. EasyList y AdGuard Base, de hecho, permiten de forma explícita los scripts de Turnstile y de hCaptcha. Lo que sí bloquean en Suno es la telemetría, como metrics-prod.suno.com o goto.suno.com, y eso no interviene en la verificación.

La comprobación se hizo a nivel de dominio y sin probar cada extensión en un navegador, así que deja fuera varios casos que sí pueden cortar la verificación: reglas propias que hayas añadido, extensiones que bloquean todos los scripts de terceros (tipo NoScript), los motores de bloqueo integrados en navegadores de privacidad, Pi-hole o NextDNS con otras listas y los DNS de empresas o centros de estudios. HaGeZi Pro++ y Ultimate bloquean además s.prod.suno.com, que Suno usa para su configuración interna (incluido cómo carga hCaptcha); su efecto en la verificación no se ha probado. Si usas alguna de esas listas, permite ese dominio para descartarlo. La ventana privada del paso 4 resuelve la duda en un minuto.

VPN y proxy: qué dice Cloudflare y qué dicen los Términos de Suno

Si usas VPN o proxy, es el primer sospechoso. Cloudflare recomienda desactivarlos para probar porque algunos interfieren con Turnstile, y la decisión de aceptar o no un token la toma el servidor de Suno con criterios que no publica, entre ellos probablemente la reputación de la IP desde la que te conectas.

Los Términos de Servicio de Suno (última revisión del 10 de agosto de 2026, en vigor desde el 3 de septiembre) prohíben eludir restricciones geográficas «including through the use of virtual private networks» y, si Suno te bloquea, incluido el bloqueo de tu IP, eludirlo «by masking your IP address or using a proxy IP address or virtual private network». La prueba útil es apagar la VPN, no ir cambiando de servidor hasta que la verificación pase.

Qué enviar a support@suno.com si nada funciona

Si has pasado por los cinco pasos y el aviso sigue, escribe a support@suno.com. Según la página de ayuda de Suno sobre cómo pedir soporte, es el único contacto oficial (los cobros van a billing@suno.com), y Discord no se considera un canal de soporte oficial. A 4 de noviembre de 2026, el centro de ayuda no tiene ningún artículo sobre este error, sobre captchas ni sobre VPN, así que el soporte es la única vía. Para que puedan ayudarte sin preguntas de ida y vuelta, reúne esto:

1. El correo de tu cuenta de Suno y tu plan.
2. El texto exacto del aviso, la fecha y la hora con tu zona horaria, y qué estabas haciendo (Create, extender una canción…).
3. El navegador con su versión y el sistema operativo, y si pasa también en otro navegador o dispositivo.
4. Tu tipo de conexión: casa, datos móviles, red del trabajo o del centro de estudios, y si usas VPN, proxy o filtro DNS.
5. Lo que ya has probado de los cinco pasos y qué resultado dio cada uno.
6. El informe del Turnstile Troubleshooter: el botón «Copy results» copia el ID de sesión, la IP, la hora, el navegador y el estado de Turnstile.
7. Si los viste, los códigos de Turnstile que aparecen en la consola del navegador (una captura basta).

El informe del Troubleshooter incluye tu dirección IP. Envíalo por correo al soporte, no lo pegues en Reddit, Discord ni otros sitios públicos.

Desarrolladores: el wrapper de la API devuelve «Token validation failed»

Si llamas a Suno a través de un wrapper no oficial, este cuerpo de respuesta significa lo mismo: el servidor no recibió un token de verificación válido. En el proyecto gcui-art/suno-api de GitHub, la incidencia #198 (22 de noviembre de 2024) relacionó el fallo con el hCaptcha, cuyo token solo duraba unos minutos, y en la incidencia #224 (20 de enero de 2025) aparece la respuesta literal; ese caso se resolvió con una actualización del propio wrapper. El README de ese proyecto sigue planteado en torno a hCaptcha, mientras que la web de Suno ya puede servir Turnstile según decida el servidor, de modo que es razonable esperar que estos wrappers vuelvan a romperse cuando Suno cambie la verificación.

Ten presente que los Términos de Suno prohíben usar «data mining, robots, scraping, or similar data gathering or extraction methods». Si un wrapper deja de funcionar por este error, el arreglo depende de quien lo mantiene; no es algo que se solucione desde tu código.

Otras preguntas sobre el error «Token validation failed» de Suno

¿We couldn't verify your request. Please refresh the page and try again. es el mismo error? Probablemente sí. Ese texto, que la gente busca junto a «Suno an error occurred», tampoco está en el código de la web de Suno a 4 de noviembre de 2026, así que también viene del servidor, y por su redacción todo apunta a la misma verificación antibots. Recarga la página y sigue los mismos cinco pasos.

¿Los intentos fallidos de Create me gastan créditos de Suno? Suno no lo publica en su centro de ayuda a 4 de noviembre de 2026. Apunta tu saldo de créditos antes de reintentar y compáralo después de un intento fallido; si ves un descuento sin canción, inclúyelo en el correo a support@suno.com.