Turnstile vs reCAPTCHA vs hCaptcha: fuld sammenligning (2026)

Tre værktøjer dominerer denne beslutning, og de fleste sammenligninger ender i tillægsord: „dårlig oplevelse", „bedre privatliv", „høj præcision". Tillægsord er billige. Denne artikel bringer tal — priser aflæst på udbydernes egne sider og en sidevægt målt i en browser samme dag, som teksten blev skrevet.

To af de tal er ubehagelige for os. De står her alligevel, i deres eget afsnit, for en sammenligning, hvor forfatteren vinder hver eneste linje, er ikke værd at læse.

Sammenligningen i tal

Priserne er kontrolleret den 3. september 2026 på udbydernes sider. De ændrer sig — tjek datoen, før De stoler på dem.

Google reCAPTCHA er gratis op til 10.000 vurderinger om måneden på Essentials-niveauet. Derover koster Standard fast 8 $ op til 100.000 vurderinger, og længere oppe skifter De til Enterprise med 0,001 $ pr. vurdering. hCaptcha har et permanent gratis Basic-niveau; Pro koster 99 $ om måneden ved årlig betaling eller 139 $ månedligt, indeholder 100.000 vurderinger og opkræver 0,99 $ pr. yderligere 1.000. Cloudflare Turnstile er gratis uden offentliggjort mængdegrænse — den gratis plan begrænser funktioner, ikke trafik: op til 20 widgets, 10 værtsnavne pr. widget, syv dages statistik, ingen tilgængelighedsgaranti og ingen regler pr. endepunkt. SilentShields gratis plan dækker 500 forespørgsler om måneden på ét domæne; Basic koster 9 € om måneden for 5.000 forespørgsler, Pro 29 € for 25.000 forespørgsler på fem domæner.

Hvad hver af dem faktisk henter ind i Deres side

Prisen er kun den halve omkostning. Den anden halvdel lander i Deres besøgendes browser, og den bliver sjældent offentliggjort. Så vi målte den: Chromium, en frisk profil, hver udbyders egen demoside og den overførte størrelse på hver forespørgsel til den pågældende udbyder — komprimeret, som den rejser over linjen. Målt den 4. september 2026.

Spredningen er større, end udbydernes sider lader ane. reCAPTCHAs api.js er en starter på 1 KB; filen, den derefter henter, recaptcha__en.js, vejer alene 345 KB komprimeret. Den usynlige v3-variant henter det samme kernescript — dens demoside nåede 459 KB. „Usynlig" betyder altså ikke „let". hCaptchas demo overførte 742 KB, hovedsagelig to pakker fra newassets.hcaptcha.com.

Læs det ærligt: Turnstile er den letteste af de fire, og afstanden til os er tydelig. Vi er nummer to med omkring 47 KB — 42,6 KB til adfærdsmodulet plus 3,7 KB indlæser. Over for reCAPTCHA og hCaptcha løber afstanden den anden vej, med en faktor ni og seksten.

Google reCAPTCHA: den arvede kæmpe

reCAPTCHA gør to ting godt: en genkendelse, der hviler på Googles datamængde, og en udbredelse så stor, at den ikke skal forklares for nogen. Den falder fra hinanden på oplevelsen. Billedgåder er friktion, på telefonen er de en plage, og besøgende falder fra, før formularen er færdig.

Så er der datavejen. reCAPTCHA henter Google-scripts, følger adfærd på tværs af websteder og sender resultatet til Googles infrastruktur — derfor har flere europæiske tilsynsmyndigheder haft indvendinger, og derfor kræver den som regel samtykke, før den indlæses. For et websted i EU afgør det allerede sagen. Modellen er også blevet gammel: den hviler på opgave og svar, mens bots i stigende grad løser opgaverne med den samme maskinlæring, der skulle fange dem.

Kort sagt: den bredeste udbredelse, den tungeste last og den vanskeligste juridiske position af de fire.

hCaptcha: privatliv med en hage

hCaptcha placerer sig bedre end Google på privatliv og tilføjer betaling — De får penge for de opgaver, Deres besøgende løser. Betjeningen er den samme som reCAPTCHAs: de samme billedgitre, den samme irritation, de samme frafald.

Betalingen er det afslørende. Deres besøgende bliver reelt til datamærkere, og incitamentet bag produktet er at frembringe data, ikke en hurtig formular. I vores måling var den desuden den tungeste af de fire med 742 KB.

Kort sagt: den erstatter Googles sporing og beholder gåden.

Cloudflare Turnstile: det bedste fra den gamle verden

Turnstile er den, der faktisk blev bedre. Den viser en synlig opgave langt sjældnere, går privatlivsvenligt til værks og er med 27,5 KB med god margin den letteste i denne sammenligning. Er spørgsmålet „hvilken CAPTCHA", er svaret Turnstile, og denne artikel vil ikke lade som noget andet.

To ting løser den ikke. Nedenunder bygger den fortsat på opgaver — opdag, tvivl og spørg i tvivlstilfælde den besøgende — så på en dårlig dag bliver en rigtig kunde stadig standset. Og Cloudflare er et amerikansk selskab: bedre end Google i GDPR-øjemed, men ikke det samme som en behandling, der aldrig forlader EU.

Kort sagt: den bedste CAPTCHA — og stadig en CAPTCHA.

Kernen i problemet: systemer med opgaver har udspillet deres rolle

Alle tre deler samme arv: opdag — tvivl — lad den besøgende bevise sig. Den model gav mening i 2010. I 2026 løser bots billeder med AI, mennesker forlader formularer, når de bliver udspurgt, og databeskyttelsesretten beder om mindre sporing, ikke mere.

Resultatet er det værste fra begge verdener: den automatiserede trafik, der betyder noget, kommer igennem — og en del af Deres rigtige kunder gør ikke.

Sådan ser moderne beskyttelse ud

Den næste generation spørger ikke den besøgende om noget. Den ser på, hvordan formularen faktisk udfyldes — timing, bevægelse, tastningens rytme — vurderer det i baggrunden og afgiver en dom ved indsendelsen. Ingen gåde, ingen cookie, ingen afbrydelse.

Det er, hvad SilentShield gør, og derfor står der intet i kolonnen „synlig opgave" ovenfor: der er intet, en besøgende ser, og intet, hun kan fejle i.

Indbygningen: koden, det handler om

Ét scripttag i Deres side, ét kald på Deres server. Andet ændrer sig ikke.

Widgetten hører til på den side, der bærer formularen:

<script src="https://api.silentshield.io/client.js?k=DIN_API_NOEGLE" crossorigin="anonymous" defer></script>

Den starter sig selv, henter sine indstillinger (udseende, sprog, mærke) fra Deres kontrolpanel og skriver et felt ved navn behavior_nonce i Deres formular. Deres server kontrollerer feltet ved indsendelse. I PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Kontrollen mislykkedes.');
}
// Menneske — behandl indsendelsen.

I Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Kontrollen mislykkedes");

Én detalje er mere værd end resten af dette afsnit: false betyder ikke altid „bot". Kontrollen afviser i tvivlstilfælde, så den svarer også false, når vi slet ikke kunne svare — blandt andet når Deres månedlige kvote er brugt op. Begge SDK'er fortæller Dem, hvilket tilfælde De står i (lastFailure() i PHP, reason i Node). Er det kvoten, så fald tilbage på Deres egne kontroller frem for at afvise enhver rigtig besøgende indtil den første i næste måned. Udbydere skriver det sjældent ned; og det er netop den fejl, der for alvor bider.

Der findes SDK'er til PHP, Node, Go og edge-miljøer samt et WordPress-plugin, der klarer begge trin for Dem.

Skift fra reCAPTCHA: hvad udskiftes, hvad bliver

Skiftet er mindre, end det ser ud, for en CAPTCHA rører præcis tre steder i Deres kode.

Hvad udskiftes: <script>-tagget i Deres side, serverkaldet til siteverify og feltnavnet — g-recaptcha-response bliver til behavior_nonce. Hvad bliver: Deres formular, Deres egne kontroller, Deres honningkrukke, Deres hastighedsgrænser. Botbeskyttelse er et lag, ikke en erstatning for det, De allerede har.

Gør det i denne rækkefølge. Læg det nye script ind, mens reCAPTCHA stadig kører, og sammenlign dommene i nogle dage; så ser De Deres egen trafik i stedet for at tro på en tabel. Flyt derefter kontrollen på serveren. Og først da fjerner De reCAPTCHA-scriptet og Google-posten fra Deres privatlivspolitik og Deres fortegnelse over behandlingsaktiviteter — det er det sidste trin, teams glemmer, og det er det, en myndighed ser på.

Hvor SilentShield er det svagere valg

Tre linjer, hvor vi taber, sagt lige ud.

Vores script er større end Turnstiles. 47 KB mod 27,5 KB — vi indlæses asynkront efter opbygningen og blokerer intet, en besøgende venter på; men kæmpes der på Deres side om hver kilobyte, er det et reelt argument imod os.

Vi er ikke gratis på mængde. Turnstile koster intet ved enhver størrelse. Vores gratis plan slutter ved 500 forespørgsler om måneden. Er prisen Deres eneste kriterium, er vi ikke svaret.

Vi er yngre. reCAPTCHA har kørt i over et årti og har set angrebsmønstre, vi ikke har set. Det er ikke en bagatel, og ingen positionering ændrer det.

Det, de 9 € køber i stedet, er en anden handel: intet hentes fra en amerikansk udbyder, ingen cookie sættes, ingen besøgende skal bevise noget, og vurderingen bliver i EU. Er det mere værd for Dem end gratis, er vi det bedre valg. Er det ikke, så tag Turnstile — det er en forsvarlig beslutning, og denne artikel vil ikke lade som noget andet.

Hvad det betyder for Deres forretning

Hvert ekstra trin i en formular koster omsætning, og en opgave er det dyreste trin, De kan tilføje: den kommer præcis i det øjeblik, nogen har besluttet at kontakte Dem. Forladte formularer, tabte køb, mistede henvendelser og en betjening på telefonen, der er ringere end den, De testede ved skrivebordet — selv Turnstile, den bedste af de tre, fjerner ikke risikoen helt, for den kan stadig vælge at spørge.

Spørgsmålet er ikke, hvilken CAPTCHA der irriterer Deres kunder mindst. Spørgsmålet er, om Deres kunder overhovedet skal udspørges.

Dommen

• reCAPTCHA — størst udbredelse, 423 KB, data til USA. Svær at forsvare for et EU-websted i 2026.
• hCaptcha — bedre end Google på privatliv, tungest af de fire med 742 KB, samme gåde for den besøgende.
• Turnstile — den bedste CAPTCHA: gratis, 27,5 KB, oftest tavs. Stadig et amerikansk selskab og nedenunder stadig en CAPTCHA.
• SilentShield — ingen opgave, ingen cookie, behandling i EU, 47 KB. 9 € om måneden, så snart De passerer 500 forespørgsler.

Alle tre CAPTCHA'er deler én fejl: den dag, de er i tvivl, sender de problemet videre til Deres kunde.

Prøv SilentShield — beskyttelse, Deres besøgende aldrig ser