Turnstile срещу reCAPTCHA срещу hCaptcha: пълно сравнение (2026)

Три инструмента доминират в това решение, а повечето сравнения свършват с прилагателни: „лошо ползване", „по-добра поверителност", „висока точност". Прилагателните са евтини. Тази статия дава числа — цени, отчетени от страниците на самите доставчици, и тегло на страницата, измерено в браузър в деня на писането.

Две от тези числа са неудобни за нас. Въпреки това стоят тук, в отделен раздел, защото сравнение, в което авторът печели на всеки ред, не заслужава четене.

Сравнението в числа

Данните са взети от официалните страници на доставчиците, извлечени на 4 октомври 2026 г. (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Те се променят — проверете датата, преди да разчитате на тях.

Google reCAPTCHA е безплатна до 10 000 оценки на месец в ниво Essentials; трябва да добавите метод на плащане. В ниво Premium от 10 001 до 100 000 оценки струват фиксирано 8 $, след това 1 $ на 1000; над това е Enterprise. hCaptcha поддържа безплатно ниво Basic; Pro струва 99 $ на месец при годишно плащане или 139 $ месечно, а Enterprise е по запитване. Пасивният режим без видима задача е наличен само в Pro и Enterprise. Cloudflare Turnstile е безплатен с неограничен брой проверки — безплатният план ограничава функции, а не трафик: до 20 приставки, 10 имена на хостове на приставка, седем дни статистика. Не изисква прокси на Cloudflare пред сайта ви. Безплатният план на SilentShield покрива 500 заявки на месец на един домейн; Basic струва 9 € на месец за 5000 заявки, Pro 29 € за 25 000 заявки на пет домейна.

Какво всеки от тях всъщност зарежда в страницата ви

Цената е само половината от разхода. Другата половина пристига в браузъра на посетителя ви и рядко се публикува. Затова я измерихме: Chromium, нов профил, демонстрационната страница на всеки доставчик и прехвърленият размер на всяка заявка към този доставчик — компресиран, така както пътува по линията. Измерено на 4 септември 2026 г.

Разликата е по-голяма, отколкото подсказват страниците на доставчиците. api.js на reCAPTCHA е стартер от 1 KB; файлът, който той после изтегля, recaptcha__en.js, тежи сам 345 KB компресиран. Невидимият вариант v3 зарежда същия основен скрипт — неговата демонстрационна страница стигна 459 KB. „Невидимо" следователно не значи „леко". Демонстрацията на hCaptcha прехвърли 742 KB, в по-голямата си част два пакета от newassets.hcaptcha.com.

Прочетете това честно: Turnstile е най-лекият от четирите и разстоянието до нас е ясно. Ние сме втори, при 48,9 KB — 45,0 KB за модула за поведение плюс зареждащ файл от 3,9 KB (повторно измерено на 23 септември 2026 г.). Спрямо reCAPTCHA и hCaptcha разстоянието върви в другата посока, около девет и петнадесет пъти.

Google reCAPTCHA: наследеният гигант

reCAPTCHA прави две неща добре: разпознаване, опряно на обема данни на Google, и разпространение толкова широко, че не се налага да се обяснява на никого. Проваля се при преживяването. Пъзелите с картинки са триене, на телефон са мъчение, а посетителите се отказват, преди да довършат формуляра.

После е пътят на данните. reCAPTCHA зарежда скриптове на Google във вашата страница и изпраща резултата към инфраструктурата на Google. От 2 април 2026 г. Google действа за нея като обработващ според собствените си ЧЗВ (docs.cloud.google.com/recaptcha/docs/faq). Дали можете да я зареждате без съгласие, остава въпрос на правна преценка и на практика често се обсъжда. Остаря и самият модел: стъпва на задача и отговор, докато ботовете решават тези задачи със същото машинно обучение, което трябва да ги лови.

Накратко: най-широко разпространение, товар от 423 KB и път на данните към Google, който изисква правна преценка.

hCaptcha: поверителност с уловка

hCaptcha не зарежда скрипт на Google и предлага безплатно ниво Basic. Там ползването е същото като при reCAPTCHA: същите мрежи от картинки, същото раздразнение, същите откази. Пасивният режим без видима задача е наличен само в Pro и Enterprise (hcaptcha.com/pricing).

В нашето измерване освен това беше най-тежкият от четирите, със 742 KB.

Накратко: без скрипт на Google, но в безплатния план остава видима проверка.

Cloudflare Turnstile: най-доброто от стария свят

Turnstile е този, който наистина се подобри. Не иска разчитане на изображения или текст — в режим Managed показва квадратче за отметка, когато види риск —, подхожда щадящо към поверителността и с 27,5 KB е с голяма преднина най-лекият в това сравнение. Ако въпросът е „коя CAPTCHA", отговорът е Turnstile и тази статия няма да се преструва на друго.

Две неща трябва да знаете. При съмнение пита посетителя — разпознай, усъмни се, попитай — така че в лош ден истински клиент ще бъде задържан за кратко; същото важи и за нас, само че ние показваме кратка аритметична задача. А Cloudflare е американска компания — не същото като доставчик, установен в ЕС.

Накратко: най-добрата CAPTCHA — и все пак CAPTCHA.

Ядрото на проблема: системите със задачи изживяха времето си

И трите споделят една и съща заложба: разпознай — усъмни се — накарай посетителя да се докаже. Този модел имаше смисъл през 2010 г. През 2026 г. ботовете решават картинки с ИИ, хората изоставят формуляри, когато ги разпитват, а правото за защита на данните иска по-малко проследяване, не повече.

Рискът събира най-лошото от двата свята: автоматизираният трафик, който има значение, минава, а част от истинските ви клиенти — не.

Как изглежда съвременната защита

Следващото поколение не пита посетителя нищо в нормалния случай. То наблюдава как формулярът наистина се попълва — времена, движение, ритъм на писане —, оценява това на заден план и при изпращане връща присъда. По подразбиране: без пъзел, без бисквитка, без прекъсване.

Точно това прави SilentShield — по подразбиране, не във всеки случай: когато резултатът е неясен, показва кратка аритметична задача. Затова в колоната „видима задача" по-горе стои „по подразбиране няма", а не „няма".

Вграждането: кодът, за който става дума

Един скриптов етикет във вашата страница, едно извикване на вашия сървър. Нищо друго не се променя.

Приставката отива в страницата, която носи формуляра:

<script src="https://api.silentshield.io/client.js?k=VASHIYAT_API_KLYUCH" crossorigin="anonymous" defer></script>

Тя се стартира сама, взема настройките си (облик, език, значка) от вашето табло и вписва във формуляра поле с име behavior_nonce. Вашият сървър проверява това поле при изпращане. В PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Proverkata ne uspya.');
}
// Chovek — obrabotete izprashtaneto.

В Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Proverkata ne uspya");

Един детайл струва повече от останалата част на този раздел: false не значи винаги „бот". Проверката при съмнение отказва, затова връща false и когато изобщо не сме могли да отговорим — включително когато месечната ви квота е изчерпана. И двата SDK ви казват в кой случай сте (lastFailure() в PHP, reason в Node). Ако е квотата, стъпете на собствените си проверки, вместо да отблъсквате всеки истински посетител до първо число на следващия месец. Доставчиците рядко записват това; а именно този отказ хапе наистина.

Има SDK за PHP, Node, Go и периферни среди, а също и приставка за WordPress, която върши и двете стъпки вместо вас.

Преминаване от reCAPTCHA: какво се сменя, какво остава

Преходът е по-малък, отколкото изглежда, защото една CAPTCHA докосва точно три места в кода ви.

Какво се заменя: етикетът <script> във вашата страница, сървърното извикване на siteverify и името на полето — g-recaptcha-response става behavior_nonce. Какво остава: вашият формуляр, вашите собствени проверки, вашият капан за ботове, вашите ограничения на честотата. Защитата от ботове е слой, а не заместител на онова, което вече имате.

Действайте в този ред. Добавете новия скрипт, докато reCAPTCHA още работи, и няколко дни сравнявайте присъдите; ще видите собствения си трафик, вместо да вярвате на таблица. После преместете проверката на сървъра. И едва тогава махнете скрипта на reCAPTCHA и записа за Google от политиката си за поверителност и от регистъра на дейностите по обработване — точно тази последна стъпка екипите забравят и точно към нея гледа надзорният орган.

Къде SilentShield е по-слабият избор

Три реда, на които губим, казани направо.

Нашият скрипт е по-голям от този на Turnstile. 48,9 KB срещу 27,5 KB — зареждаме се асинхронно след изчертаването и не блокираме нищо, което посетителят чака; но ако на вашата страница се воюва за всеки килобайт, това е истински аргумент срещу нас.

Не сме безплатни при обем. Turnstile не струва нищо при всякакъв размер. Нашият безплатен план свършва при 500 заявки на месец. Ако цената е единственият ви критерий, ние не сме отговорът.

По-млади сме. reCAPTCHA работи повече от десетилетие и е виждала модели на атака, които ние не сме. Това не е дреболия и никакво позициониране не го променя.

Онова, което купувате с тези 9 €, е друга сделка: не се зарежда скрипт на Google, не се поставя бисквитка, посетителят по подразбиране не вижда задача — само кратка аритметична задача, когато резултатът е неясен — а с крайната точка за ЕС проверката се извършва директно на нашите сървъри в Германия, без CDN. Ако това струва за вас повече от безплатното, ние сме по-добрият избор. Ако не — вземете Turnstile; това е защитимо решение и тази статия няма да се преструва на друго.

Какво означава това за бизнеса ви

Всяка допълнителна стъпка във формуляр струва приход, а задачата е най-скъпата стъпка, която можете да добавите: тя идва точно в мига, в който някой е решил да се свърже с вас. Изоставени формуляри, прекъснати покупки, изгубени запитвания и ползване на телефон, по-лошо от изпробваното на бюрото — дори Turnstile, най-добрият от трите, не премахва напълно този риск, защото все още може да реши да попита — а и ние питаме, когато резултатът е неясен, с кратка аритметична задача.

Въпросът не е коя CAPTCHA дразни клиентите ви най-малко. Въпросът е колко рядко клиентите ви изобщо трябва да бъдат разпитвани.

Присъдата

• reCAPTCHA — най-широко разпространение, 423 KB, данни към Google. За сайт в ЕС — случай за правна преценка, често включително обсъждане на съгласието.
• hCaptcha — без скрипт на Google, най-тежка от четирите със 742 KB, за посетителя същият пъзел в безплатния план (пасивен режим само в Pro/Enterprise).
• Turnstile — най-добрата CAPTCHA: безплатна, 27,5 KB, най-често тиха. Все още американска компания и отдолу все още CAPTCHA.
• SilentShield — по подразбиране без задача (кратка аритметична задача, когато резултатът е неясен), без бисквитка, съхранение на данните на сървъри в Германия, 48,9 KB. 9 € на месец, щом надхвърлите 500 заявки.

И четирите питат посетителя при съмнение; разликата е колко често и с какво.

Изпробвайте SilentShield — защита от ботове, която остава невидима по подразбиране