Ако управлявате уебсайт в ЕС, вашата CAPTCHA заслужава внимателен поглед. Често това е Google reCAPTCHA. Тя все още е изборът по подразбиране за защита от ботове и зарежда скриптове на Google във вашата страница. От 2 април 2026 г. Google действа за нея като обработващ според собствените си ЧЗВ (docs.cloud.google.com/recaptcha/docs/faq); дали и как можете да използвате reCAPTCHA, остава въпрос на правна преценка, а на практика тази преценка често се свежда до съгласието.
Накратко: reCAPTCHA не бива да влиза в страницата ви без преценка. Това е важно за всички, чийто бизнес стъпва върху формуляри — SaaS компании, онлайн магазини, фунии за привличане на клиенти и сайтове на публичния сектор.
Защо GDPR и CAPTCHA се сблъскват
GDPR стъпва върху един основен принцип: да се събират възможно най-малко данни и да се защитава поверителността на потребителите. Много традиционни CAPTCHA системи трудно се съчетават с това. Зареждат скриптове на трети страни, анализират поведението — движения на мишката, кликвания — и често обработват резултата на сървъри извън ЕС.
От това възникват няколко въпроса, които трябва да прецените: дали има стабилно правно основание без съгласие, дали предаването извън ЕС е защитено след решението Schrems II и дали обработката е описана прозрачно. Много компании пропускат, че инструментът за защита от ботове влиза в регистъра на дейностите по обработване като всеки друг обработващ.
Кои правила всъщност се прилагат
Дали вашата CAPTCHA е проблем, решават три части от регламента — и те се прилагат в този ред.
Чл. 6 — има ли правно основание? Да заредите чужд скрипт, който профилира посетителя, е обработване. Законният интерес издържа проста защита от нежелана поща, но престава да издържа щом инструментът изгражда поведенчески профили между сайтове. Тогава ви трябва съгласие, и то трябва да е налице преди скриптът да се зареди — точно за това трябва да внимавате при вграждането.
Чл. 28 — кой е обработващ? Вашият доставчик на CAPTCHA обработва лични данни от ваше име. Нуждаете се следователно от договор за обработване с него, а инструментът принадлежи в регистъра ви на дейностите по обработване — както доставчикът на поща или инструментът за анализ.
Чл. 44 и следващите — накъде отиват данните? Всяко предаване извън ЕС изисква правен механизъм, а след решението Schrems II самият механизъм вече не е достатъчен: трябва допълнително да прецените дали законите за наблюдение на държавата получател не го изпразват. Голяма част от тази преценка отпада, ако самият доставчик е установен в ЕС и съхранява данните там.
Какво прави CAPTCHA GDPR-съвместим?
Зарежда ли CAPTCHA чужд скрипт във вашата страница?
- ДаСъгласие е нужно преди зареждането
- НеСамата заявка не изисква съгласие
Съхранява ли или чете бисквитки или идентификатори на устройството?
- ДаНужно е съгласие
- НеЗаконният интерес може да е достатъчен
Преди да изберете алтернатива, е добре да знаете какво всъщност означава „съобразено с GDPR“. Пет изисквания решават това:
- Възможно най-малко лични данни, нищо не се съхранява в явен вид
- Съхранение на данни в ЕС
- Без проследяващи бисквитки и без профили между сайтове
- Правно основание, което можете да документирате
- Напълно прозрачна обработка
Още две отделят просто съответстващото от наистина доброто: невидим ход, който не изисква нищо от посетителя, и достъпност според WCAG.
Проверете собствения си сайт за десет минути
За първи преглед не ви трябва адвокат, а разделът за мрежата.
- Отворете страница с формуляр и запишете мрежовия трафик. Всяка заявка към
google.com/recaptcha,hcaptcha.comили подобен хост означава, че трета страна вижда вашите посетители. - Вижте кога се задейства. Ако се зареди преди посетителят да е приел каквото и да било, съгласието като правно основание вече е загубено.
- Потърсете бисквитки и записи в хранилището.
_GRECAPTCHAи сродните са видимата част; записите вlocalStorageсе броят също. - Прочетете собствената си политика за поверителност. Ако инструментът не е посочен там, се използва без да е обявен.
- Погледнете в регистъра на дейностите по обработване. Повечето изброяват анализ и поща — а за защитата от ботове забравят напълно.
Всичко, което откриете тук, подлежи на поправяне. Не подлежи на поправяне онази част, която никой никога не е търсил.
Алтернативите — и какво наистина струват
Данните по-долу са от официалните страници на доставчиците, извлечени на 4 октомври 2026 г. Те се променят; източниците са посочени при всяка позиция.
FriendlyCaptcha е насочена към поверителността CAPTCHA от Германия, която проверява на заден план. Планът Starter струва 9 €/месец, Advanced 200 €/месец, а Enterprise е по запитване. Безплатна е за нетърговски проекти (един домейн, 1000 заявки месечно) и за проекти с отворен код (50 домейна, 50 000 заявки месечно). Не успяхме да проверим ограниченията на заявките при платените планове на официалната страница с цени — попитайте доставчика за тях. Източник: friendlycaptcha.com/free-captcha/.
Cloudflare Turnstile е безплатна с неограничен брой проверки — наистина безплатна, не пробен период, и сайтът ви не трябва да минава през Cloudflare. Безплатният план ограничава функции вместо обем: до 20 приставки, 10 имена на хостове на приставка, седем дни анализ. Не зарежда скрипт на Google и държи взаимодействието минимално: в режим Managed показва квадратче за отметка, когато види риск, без изображения или текст за разчитане. Режимът Invisible изисква известие с препратка към „Turnstile Privacy Addendum“. Cloudflare остава американска компания. Източник: developers.cloudflare.com/turnstile/plans/.
Google reCAPTCHA (вече част от „Google Cloud Fraud Defense“) ви дава 10 000 оценки месечно безплатно в нивото Essentials; трябва да добавите метод на плащане. В нивото Premium от 10 001 до 100 000 оценки струват фиксирани 8 $, след това 1 $ на 1000; над това е Enterprise. Визуални предизвикателства има във всички нива. От 2 април 2026 г. Google действа като обработващ според собствените си ЧЗВ. Въпросът не е цената — а пътят на данните към Google. Източник: docs.cloud.google.com/recaptcha/docs/compare-tiers и /faq.
hCaptcha има безплатно ниво Basic. Pro струва 99 $/месец при годишно плащане или 139 $ месечно, а Enterprise е по запитване. Пасивният режим без видима задача е наличен само в Pro и Enterprise; в нивото Basic остава видима проверка. Източник: hcaptcha.com/pricing.
SilentShield е съобразена с поверителността защита от ботове, невидима по подразбиране, със съхранение на данните на нашите сървъри в Германия: без взаимодействие в нормалния случай (само кратка аритметична задача, когато резултатът е неясен), без бисквитки, без проследяване между сайтове, без профили и с включващ се по избор режим Zero-PII, който изцяло пропуска характеристиките на браузъра и устройството. Безплатният план покрива 500 заявки месечно на един домейн; Basic струва 9 €/месец за 5000 заявки, Pro 29 €/месец за 25 000 заявки на пет домейна, а Enterprise е индивидуален.
Бързо сравнение
| Инструмент | Начална цена | Включено | Взаимодействие | Предаване на данни |
|---|---|---|---|---|
| reCAPTCHA | безплатно | 10 000 оценки | Възможна задача с изображения | |
| hCaptcha | безплатно / 99 $ месечно (годишно) | не е проверено | Пъзел; пасивен само Pro/Enterprise | не е проверено |
| Turnstile | безплатно | неограничени проверки | обикновено никакво; отметка при риск | Cloudflare (американска компания) |
| FriendlyCaptcha | 9 € месечно | не е проверено | Проверка на заден план | не е проверено |
| SilentShield | безплатно / 9 € месечно | 500 / 5000 заявки | никакво по подразбиране; аритметична задача при неяснота | Сървъри в Германия; без CDN с крайната точка за ЕС |
Прочетете първата колона честно: само по цена печели Turnstile. Безплатна е, няма таван на обема, и за малък сайт без изисквания за съответствие срещу това се спори трудно.
Къде SilentShield е по-слабият избор
Всяко сравнение, в което авторът печели на всеки ред, заслужава недоверие. Ето трите реда, на които ние не печелим.
Нашият скрипт е по-голям от този на Turnstile. Модулът за поведение на SilentShield тежи 45,0 KB компресиран, 48,9 KB заедно със зареждащия файл (повторно измерено на 23 септември 2026 г.). На 4 септември 2026 г. измерихме в браузър какво доставя всеки доставчик в действителност: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile следователно е най-лекият от четирите, а ние сме втори. Зареждаме се асинхронно след изчертаването и не блокираме нищо, което посетителят чака — но ако на вашата страница се воюва за всеки килобайт, това е истински аргумент срещу нас.
При обем не сме безплатни. Turnstile не струва нищо при какъвто и да е обем. Нашият безплатен план свършва при 500 заявки месечно. Ако цената е единственият ви критерий, не сме ние изборът.
По-млади сме. reCAPTCHA работи повече от десетилетие и е видяла модели на атака, които ние не сме. Това не е дреболия и никакво позициониране не го променя.
Това, което получавате за тези 9 €, е друга сделка: не се зарежда скрипт на Google, не се поставя бисквитка, посетителят по подразбиране не вижда задача — само кратка аритметична задача, когато резултатът е неясен — а с крайната точка за ЕС проверката се извършва директно на нашите сървъри в Германия, без CDN. Ако това струва за вас повече от безплатното, ние сме по-добрият избор. Ако не — вземете Turnstile; това е защитимо решение и тази статия няма да се прави, че не е.
Съответствие или конверсия? Вече не се налага да избирате
Повечето компании приемат това за правно решение. Не е: това е решение за растеж. Традиционната CAPTCHA струва конверсии, добавя триене и вреди на мобилното изживяване, докато невидимо решение, съобразено с поверителността, премахва това триене от формуляра — макар че не прави правната преценка вместо вас.
SilentShield се стреми към двете: без бисквитки, без проследяване между сайтове, без профили; IP адресът се използва само за проверката и не се съхранява в явен вид — и проверка, която остава невидима по подразбиране и показва кратка аритметична задача само когато резултатът е неясен. Създаден за модерния SaaS и европейските компании.
Обновете защитата си от ботове — с грижа за поверителността
Не се налага да залагате на съответствието с GDPR, нито да жертвате конверсии.