Turnstile vs. reCAPTCHA vs. hCaptcha: kompletní srovnání (2026)

Tomuto rozhodnutí vládnou tři nástroje a většina srovnání končí u přídavných jmen: „špatné ovládání", „lepší soukromí", „vysoká přesnost". Přídavná jména jsou laciná. Tento článek uvádí čísla — ceny odečtené na stránkách samotných poskytovatelů a hmotnost stránky změřenou v prohlížeči v den psaní.

Dvě z těch čísel jsou pro nás nepohodlná. Přesto tu jsou, ve vlastní části, protože srovnání, v němž autor vyhrává každý řádek, nestojí za čtení.

Srovnání v číslech

Ceny ověřeny 3. září 2026 na stránkách poskytovatelů. Mění se — než se na ně spolehnete, zkontrolujte datum.

Google reCAPTCHA je v úrovni Essentials zdarma do 10 000 vyhodnocení měsíčně. Nad tuto hranici stojí Standard paušálně 8 $ do 100 000 vyhodnocení a dále přecházíte na Enterprise s 0,001 $ za vyhodnocení. hCaptcha má trvale bezplatnou úroveň Basic; Pro stojí 99 $ měsíčně při roční platbě nebo 139 $ měsíčně, obsahuje 100 000 vyhodnocení a účtuje 0,99 $ za každých dalších 1 000. Cloudflare Turnstile je zdarma bez zveřejněného objemového limitu — bezplatný tarif omezuje funkce, nikoli provoz: až 20 widgetů, 10 názvů hostitelů na widget, sedm dní statistik, žádná záruka dostupnosti a žádná pravidla pro jednotlivé koncové body. Bezplatný tarif SilentShield pokrývá 500 požadavků měsíčně na jedné doméně; Basic stojí 9 € měsíčně za 5 000 požadavků, Pro 29 € za 25 000 požadavků na pěti doménách.

Co každý z nich do vaší stránky skutečně nahraje

Cena je jen polovina nákladů. Druhá polovina dorazí do prohlížeče vašeho návštěvníka a bývá jen zřídka zveřejněna. Změřili jsme ji tedy: Chromium, čistý profil, ukázková stránka každého poskytovatele a přenesená velikost každého požadavku mířícího k tomuto poskytovateli — komprimovaná, tak jak putuje po lince. Měřeno 4. září 2026.

Rozdíl je větší, než stránky poskytovatelů naznačují. api.js od reCAPTCHA je zavaděč o velikosti 1 KB; soubor, který pak stáhne, recaptcha__en.js, váží sám 345 KB komprimovaně. Neviditelná varianta v3 nahrává tentýž jádrový skript — její ukázková stránka došla na 459 KB. „Neviditelné" tedy neznamená „lehké". Ukázka hCaptcha přenesla 742 KB, převážně dva balíky z newassets.hcaptcha.com.

Přečtěte si to poctivě: Turnstile je z těch čtyř nejlehčí a odstup od nás je zřetelný. Jsme druzí, kolem 47 KB — 42,6 KB modul chování plus 3,7 KB zavaděč. Vůči reCAPTCHA a hCaptcha běží odstup opačným směrem, devět a šestnáctkrát.

Google reCAPTCHA: zavedený obr

reCAPTCHA umí dvě věci dobře: rozpoznávání opřené o objem dat Googlu a rozšíření tak široké, že je nikomu netřeba vysvětlovat. Rozpadá se na zážitku. Obrázkové hádanky jsou tření, na telefonu jsou trápením a návštěvníci odcházejí dřív, než formulář dokončí.

Pak je tu cesta dat. reCAPTCHA nahrává skripty Googlu, sleduje chování napříč weby a posílá výsledek do infrastruktury Googlu — proto ji několik evropských dozorových úřadů zpochybnilo a proto zpravidla potřebuje souhlas dříve, než se nahraje. Pro web v EU to otázku rozhoduje samo o sobě. Zestárl i samotný model: stojí na úkolu a odpovědi, zatímco boti tyto úkoly stále častěji řeší týmž strojovým učením, které je má chytat.

Shrnuto: nejširší rozšíření, nejtěžší náklad a nejtěžší právní pozice ze čtyř.

hCaptcha: soukromí s háčkem

hCaptcha se v oblasti soukromí staví lépe než Google a přidává odměnu — dostáváte zaplaceno za úkoly, které vaši návštěvníci vyřeší. Ovládání je totéž jako u reCAPTCHA: stejné mřížky obrázků, stejná otrava, stejné odchody.

Odměna je tím prozrazujícím prvkem. Vaši návštěvníci se fakticky stávají popisovači dat a pobídkou za produktem je tvorba dat, ne rychlý formulář. V našem měření to byl navíc nejtěžší ze čtyř, se 742 KB.

Shrnuto: nahrazuje sledování Googlu a ponechává hádanku.

Cloudflare Turnstile: to nejlepší ze starého světa

Turnstile je ten, který se skutečně zlepšil. Viditelný úkol ukazuje mnohem méně často, k soukromí přistupuje ohleduplně a s 27,5 KB je s velkým náskokem nejlehčí v tomto srovnání. Zní-li otázka „která CAPTCHA", odpověď je Turnstile a tento článek nebude předstírat opak.

Dvě věci neřeší. Pod povrchem stále staví na úkolech — rozpoznat, zapochybovat a v pochybnosti se návštěvníka zeptat — takže ve špatný den bude skutečný zákazník i nadále zastaven. A Cloudflare je americká společnost: pro účely GDPR lepší než Google, ale ne totéž co zpracování, které EU nikdy neopustí.

Shrnuto: nejlepší CAPTCHA — a stále CAPTCHA.

Jádro problému: systémy postavené na úkolech dosloužily

Všechny tři sdílejí stejnou výbavu: rozpoznat — zapochybovat — nechat návštěvníka prokázat se. Ten model dával smysl v roce 2010. V roce 2026 boti řeší obrázky pomocí UI, lidé formuláře opouštějí, když jsou vyslýcháni, a právo ochrany údajů žádá méně sledování, ne více.

Výsledkem je nejhorší z obou světů: automatizovaný provoz, na kterém záleží, projde — a část vašich skutečných zákazníků ne.

Jak vypadá moderní ochrana

Další generace se návštěvníka na nic neptá. Sleduje, jak je formulář skutečně vyplňován — časování, pohyb, rytmus psaní —, vyhodnotí to na pozadí a při odeslání vrátí verdikt. Žádná hádanka, žádná cookie, žádné přerušení.

Přesně to dělá SilentShield, a proto je ve sloupci „viditelný úkol" výše prázdno: není nic, co by návštěvník viděl, a nic, na čem by mohl selhat.

Nasazení: kód, o který jde

Jedna značka skriptu ve vaší stránce, jedno volání na vašem serveru. Nic dalšího se nemění.

Widget patří do stránky, která nese formulář:

<script src="https://api.silentshield.io/client.js?k=VAS_API_KLIC" crossorigin="anonymous" defer></script>

Spustí se sám, načte si nastavení (vzhled, jazyk, odznak) z vašeho panelu a do formuláře zapíše pole s názvem behavior_nonce. Váš server toto pole při odeslání ověří. V PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Overeni selhalo.');
}
// Clovek — zpracovat odeslani.

V Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Overeni selhalo");

Jeden detail má větší cenu než zbytek této části: false neznamená vždy „bot". Ověření je v pochybnostech odmítavé, takže false vrátí i tehdy, když jsme vůbec nemohli odpovědět — mimo jiné když je vyčerpána vaše měsíční kvóta. Obě SDK vám řeknou, o který případ jde (lastFailure() v PHP, reason v Node). Jde-li o kvótu, spolehněte se na vlastní kontroly, místo abyste do prvního dne dalšího měsíce odmítali každého skutečného návštěvníka. Poskytovatelé to zapisují jen zřídka; přitom právě tento druh selhání skutečně kouše.

Existují SDK pro PHP, Node, Go a edge prostředí, k tomu zásuvný modul pro WordPress, který za vás udělá oba kroky.

Přechod z reCAPTCHA: co se mění, co zůstává

Přechod je menší, než vypadá, protože CAPTCHA se dotýká přesně tří míst ve vašem kódu.

Co se nahrazuje: značka <script> ve stránce, serverové volání siteverify a název pole — z g-recaptcha-response se stává behavior_nonce. Co zůstává: váš formulář, vaše vlastní kontroly, vaše past na boty, vaše omezení četnosti. Ochrana proti botům je vrstva, ne náhrada toho, co už máte.

Postupujte v tomto pořadí. Přidejte nový skript, zatímco reCAPTCHA ještě běží, a několik dní porovnávejte verdikty; uvidíte vlastní provoz místo toho, abyste věřili tabulce. Pak přesuňte kontrolu na straně serveru. A teprve potom odstraňte skript reCAPTCHA a záznam o Googlu ze zásad ochrany osobních údajů a ze záznamů o činnostech zpracování — právě tento poslední krok týmy zapomínají a právě na něj se dozorový úřad dívá.

Kde je SilentShield slabší volbou

Tři řádky, na nichž prohráváme, řečeno bez obalu.

Náš skript je větší než ten od Turnstile. 47 KB proti 27,5 KB — nahráváme se asynchronně po vykreslení a neblokujeme nic, na co návštěvník čeká; pokud se ale na vaší stránce bojuje o každý kilobajt, je to skutečný argument proti nám.

V objemu nejsme zdarma. Turnstile nestojí nic při jakékoli velikosti. Náš bezplatný tarif končí u 500 požadavků měsíčně. Je-li cena vaším jediným kritériem, nejsme odpovědí.

Jsme mladší. reCAPTCHA běží přes deset let a viděla vzorce útoků, které jsme neviděli. To není maličkost a žádné umístění na trhu to nezmění.

Co si za těch 9 € koupíte, je jiný obchod: nic se nenahrává od amerického poskytovatele, nenastavuje se žádná cookie, žádný návštěvník nemusí nic dokazovat a vyhodnocení zůstává v EU. Má-li to pro vás větší cenu než „zdarma", jsme lepší volbou. Pokud ne, vezměte Turnstile — je to obhajitelné rozhodnutí a tento článek nebude předstírat opak.

Co to znamená pro vaše podnikání

Každý krok navíc ve formuláři stojí tržby a úkol je nejdražší krok, který můžete přidat: přichází přesně ve chvíli, kdy se někdo rozhodl vás oslovit. Opuštěné formuláře, nedokončené nákupy, ztracené poptávky a ovládání na telefonu horší než to, které jste zkoušeli u stolu — ani Turnstile, nejlepší ze tří, toto riziko zcela neodstraní, protože se stále může rozhodnout zeptat.

Otázka nezní, která CAPTCHA vaše zákazníky obtěžuje nejméně. Otázka zní, zda je vůbec třeba se jich ptát.

Verdikt

• reCAPTCHA — nejširší rozšíření, 423 KB, data do USA. Pro web v EU v roce 2026 těžko obhajitelné.
• hCaptcha — v soukromí lepší než Google, se 742 KB nejtěžší ze čtyř, pro návštěvníka tatáž hádanka.
• Turnstile — nejlepší CAPTCHA: zdarma, 27,5 KB, většinou tichá. Stále americká společnost a pod povrchem stále CAPTCHA.
• SilentShield — žádný úkol, žádná cookie, zpracování v EU, 47 KB. 9 € měsíčně, jakmile překročíte 500 požadavků.

Všechny tři CAPTCHA sdílejí jednu vadu: v den, kdy si nejsou jisté, předají problém vašemu zákazníkovi.

Vyzkoušet SilentShield — ochranu, kterou vaši návštěvníci nikdy nevidí