Turnstile vs. reCAPTCHA vs. hCaptcha: kompletní srovnání (2026)

Tomuto rozhodnutí vládnou tři nástroje a většina srovnání končí u přídavných jmen: „špatné ovládání", „lepší soukromí", „vysoká přesnost". Přídavná jména jsou laciná. Tento článek uvádí čísla — ceny odečtené na stránkách samotných poskytovatelů a hmotnost stránky změřenou v prohlížeči v den psaní.

Dvě z těch čísel jsou pro nás nepohodlná. Přesto tu jsou, ve vlastní části, protože srovnání, v němž autor vyhrává každý řádek, nestojí za čtení.

Srovnání v číslech

Údaje převzaty z oficiálních stránek poskytovatelů, načteno 4. října 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Mění se — než se na ně spolehnete, zkontrolujte datum.

Google reCAPTCHA je v úrovni Essentials zdarma do 10 000 vyhodnocení měsíčně; musíte přidat platební metodu. V úrovni Premium stojí 10 001 až 100 000 vyhodnocení paušálně 8 $, poté 1 $ za 1 000; nad tím je Enterprise. hCaptcha má bezplatnou úroveň Basic; Pro stojí 99 $ měsíčně při roční platbě nebo 139 $ měsíčně a Enterprise je na dotaz. Pasivní režim bez viditelného úkolu je k dispozici jen v Pro a Enterprise. Cloudflare Turnstile je zdarma s neomezeným počtem ověření — bezplatný tarif omezuje funkce, nikoli provoz: až 20 widgetů, 10 názvů hostitelů na widget, sedm dní statistik. Nevyžaduje proxy Cloudflare před vaším webem. Bezplatný tarif SilentShield pokrývá 500 požadavků měsíčně na jedné doméně; Basic stojí 9 € měsíčně za 5 000 požadavků, Pro 29 € za 25 000 požadavků na pěti doménách.

Co každý z nich do vaší stránky skutečně nahraje

Cena je jen polovina nákladů. Druhá polovina dorazí do prohlížeče vašeho návštěvníka a bývá jen zřídka zveřejněna. Změřili jsme ji tedy: Chromium, čistý profil, ukázková stránka každého poskytovatele a přenesená velikost každého požadavku mířícího k tomuto poskytovateli — komprimovaná, tak jak putuje po lince. Měřeno 4. září 2026.

Rozdíl je větší, než stránky poskytovatelů naznačují. api.js od reCAPTCHA je zavaděč o velikosti 1 KB; soubor, který pak stáhne, recaptcha__en.js, váží sám 345 KB komprimovaně. Neviditelná varianta v3 nahrává tentýž jádrový skript — její ukázková stránka došla na 459 KB. „Neviditelné" tedy neznamená „lehké". Ukázka hCaptcha přenesla 742 KB, převážně dva balíky z newassets.hcaptcha.com.

Přečtěte si to poctivě: Turnstile je z těch čtyř nejlehčí a odstup od nás je zřetelný. Jsme druzí, 48,9 KB — 45,0 KB modul chování plus zavaděč 3,9 KB (znovu změřeno 23. září 2026). Vůči reCAPTCHA a hCaptcha běží odstup opačným směrem, zhruba devětkrát, respektive patnáctkrát.

Google reCAPTCHA: zavedený obr

reCAPTCHA umí dvě věci dobře: rozpoznávání opřené o objem dat Googlu a rozšíření tak široké, že je nikomu netřeba vysvětlovat. Rozpadá se na zážitku. Obrázkové hádanky jsou tření, na telefonu jsou trápením a návštěvníci odcházejí dřív, než formulář dokončí.

Pak je tu cesta dat. reCAPTCHA nahrává do vaší stránky skripty Googlu a posílá výsledek do infrastruktury Googlu. Od 2. dubna 2026 pro ni Google podle vlastních FAQ vystupuje jako zpracovatel (docs.cloud.google.com/recaptcha/docs/faq). Zda ji smíte nahrát bez souhlasu, zůstává věcí právního posouzení a v praxi se o tom často diskutuje. Zestárl i samotný model: stojí na úkolu a odpovědi, zatímco boti tyto úkoly stále častěji řeší týmž strojovým učením, které je má chytat.

Shrnuto: nejširší rozšíření, náklad 423 KB a cesta dat ke Googlu, která vyžaduje právní posouzení.

hCaptcha: soukromí s háčkem

hCaptcha nenahrává žádný skript Googlu a nabízí bezplatnou úroveň Basic. Tam je ovládání totéž jako u reCAPTCHA: stejné mřížky obrázků, stejná otrava, stejné odchody. Pasivní režim bez viditelného úkolu je k dispozici jen v Pro a Enterprise (hcaptcha.com/pricing).

V našem měření to byl navíc nejtěžší ze čtyř, se 742 KB.

Shrnuto: žádný skript Googlu, ale v bezplatném tarifu zůstává viditelná kontrola.

Cloudflare Turnstile: to nejlepší ze starého světa

Turnstile je ten, který se skutečně zlepšil. Nežádá luštění obrázků ani textu — v režimu Managed zobrazí zaškrtávací políčko, když vidí riziko —, k soukromí přistupuje ohleduplně a s 27,5 KB je s velkým náskokem nejlehčí v tomto srovnání. Zní-li otázka „která CAPTCHA", odpověď je Turnstile a tento článek nebude předstírat opak.

Dvě věci byste měli vědět. V pochybnostech se návštěvníka zeptá — rozpoznat, zapochybovat, zeptat se — takže ve špatný den bude skutečný zákazník krátce zdržen; totéž platí i pro nás, jen my zobrazíme krátkou početní úlohu. A Cloudflare je americká společnost — ne totéž co poskytovatel se sídlem v EU.

Shrnuto: nejlepší CAPTCHA — a stále CAPTCHA.

Jádro problému: systémy postavené na úkolech dosloužily

Všechny tři sdílejí stejnou výbavu: rozpoznat — zapochybovat — nechat návštěvníka prokázat se. Ten model dával smysl v roce 2010. V roce 2026 boti řeší obrázky pomocí UI, lidé formuláře opouštějí, když jsou vyslýcháni, a právo ochrany údajů žádá méně sledování, ne více.

Rizikem je nejhorší z obou světů: automatizovaný provoz, na kterém záleží, projde — a část vašich skutečných zákazníků ne.

Jak vypadá moderní ochrana

Další generace se návštěvníka v běžném případě na nic neptá. Sleduje, jak je formulář skutečně vyplňován — časování, pohyb, rytmus psaní —, vyhodnotí to na pozadí a při odeslání vrátí verdikt. Standardně: žádná hádanka, žádná cookie, žádné přerušení.

Přesně to dělá SilentShield — standardně, ne v každém případě: když je výsledek nejasný, zobrazí krátkou početní úlohu. Proto ve sloupci „viditelný úkol" výše stojí „standardně žádný", a ne „žádný".

Nasazení: kód, o který jde

Jedna značka skriptu ve vaší stránce, jedno volání na vašem serveru. Nic dalšího se nemění.

Widget patří do stránky, která nese formulář:

<script src="https://api.silentshield.io/client.js?k=VAS_API_KLIC" crossorigin="anonymous" defer></script>

Spustí se sám, načte si nastavení (vzhled, jazyk, odznak) z vašeho panelu a do formuláře zapíše pole s názvem behavior_nonce. Váš server toto pole při odeslání ověří. V PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Overeni selhalo.');
}
// Clovek — zpracovat odeslani.

V Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Overeni selhalo");

Jeden detail má větší cenu než zbytek této části: false neznamená vždy „bot". Ověření je v pochybnostech odmítavé, takže false vrátí i tehdy, když jsme vůbec nemohli odpovědět — mimo jiné když je vyčerpána vaše měsíční kvóta. Obě SDK vám řeknou, o který případ jde (lastFailure() v PHP, reason v Node). Jde-li o kvótu, spolehněte se na vlastní kontroly, místo abyste do prvního dne dalšího měsíce odmítali každého skutečného návštěvníka. Poskytovatelé to zapisují jen zřídka; přitom právě tento druh selhání skutečně kouše.

Existují SDK pro PHP, Node, Go a edge prostředí, k tomu zásuvný modul pro WordPress, který za vás udělá oba kroky.

Přechod z reCAPTCHA: co se mění, co zůstává

Přechod je menší, než vypadá, protože CAPTCHA se dotýká přesně tří míst ve vašem kódu.

Co se nahrazuje: značka <script> ve stránce, serverové volání siteverify a název pole — z g-recaptcha-response se stává behavior_nonce. Co zůstává: váš formulář, vaše vlastní kontroly, vaše past na boty, vaše omezení četnosti. Ochrana proti botům je vrstva, ne náhrada toho, co už máte.

Postupujte v tomto pořadí. Přidejte nový skript, zatímco reCAPTCHA ještě běží, a několik dní porovnávejte verdikty; uvidíte vlastní provoz místo toho, abyste věřili tabulce. Pak přesuňte kontrolu na straně serveru. A teprve potom odstraňte skript reCAPTCHA a záznam o Googlu ze zásad ochrany osobních údajů a ze záznamů o činnostech zpracování — právě tento poslední krok týmy zapomínají a právě na něj se dozorový úřad dívá.

Kde je SilentShield slabší volbou

Tři řádky, na nichž prohráváme, řečeno bez obalu.

Náš skript je větší než ten od Turnstile. 48,9 KB proti 27,5 KB — nahráváme se asynchronně po vykreslení a neblokujeme nic, na co návštěvník čeká; pokud se ale na vaší stránce bojuje o každý kilobajt, je to skutečný argument proti nám.

V objemu nejsme zdarma. Turnstile nestojí nic při jakékoli velikosti. Náš bezplatný tarif končí u 500 požadavků měsíčně. Je-li cena vaším jediným kritériem, nejsme odpovědí.

Jsme mladší. reCAPTCHA běží přes deset let a viděla vzorce útoků, které jsme neviděli. To není maličkost a žádné umístění na trhu to nezmění.

Co si za těch 9 € koupíte, je jiný obchod: nenahrává se žádný skript Googlu, nenastavuje se žádná cookie, návštěvník standardně nevidí žádný úkol — jen krátkou početní úlohu, když je výsledek nejasný — a s koncovým bodem EU probíhá ověření přímo na našich serverech v Německu, bez CDN. Má-li to pro vás větší cenu než „zdarma", jsme lepší volbou. Pokud ne, vezměte Turnstile — je to obhajitelné rozhodnutí a tento článek nebude předstírat opak.

Co to znamená pro vaše podnikání

Každý krok navíc ve formuláři stojí tržby a úkol je nejdražší krok, který můžete přidat: přichází přesně ve chvíli, kdy se někdo rozhodl vás oslovit. Opuštěné formuláře, nedokončené nákupy, ztracené poptávky a ovládání na telefonu horší než to, které jste zkoušeli u stolu — ani Turnstile, nejlepší ze tří, toto riziko zcela neodstraní, protože se stále může rozhodnout zeptat — a i my se ptáme, když je výsledek nejasný, krátkou početní úlohou.

Otázka nezní, která CAPTCHA vaše zákazníky obtěžuje nejméně. Otázka zní, jak zřídka je vůbec třeba se jich ptát.

Verdikt

• reCAPTCHA — nejširší rozšíření, 423 KB, data ke Googlu. Pro web v EU věc právního posouzení, často včetně diskuse o souhlasu.
• hCaptcha — žádný skript Googlu, se 742 KB nejtěžší ze čtyř, pro návštěvníka v bezplatném tarifu tatáž hádanka (pasivní režim jen v Pro/Enterprise).
• Turnstile — nejlepší CAPTCHA: zdarma, 27,5 KB, většinou tichá. Stále americká společnost a pod povrchem stále CAPTCHA.
• SilentShield — standardně žádný úkol (krátká početní úloha, když je výsledek nejasný), žádná cookie, uchovávání dat na serverech v Německu, 48,9 KB. 9 € měsíčně, jakmile překročíte 500 požadavků.

Všechny čtyři se v pochybnostech ptají návštěvníka; rozdíl je v tom, jak často a čím.

Vyzkoušet SilentShield — ochranu proti botům, která zůstává standardně neviditelná