Turnstile vs reCAPTCHA vs hCaptcha: fuld sammenligning (2026)

Tre værktøjer dominerer denne beslutning, og de fleste sammenligninger ender i tillægsord: „dårlig oplevelse", „bedre privatliv", „høj præcision". Tillægsord er billige. Denne artikel bringer tal — priser aflæst på udbydernes egne sider og en sidevægt målt i en browser samme dag, som teksten blev skrevet.

To af de tal er ubehagelige for os. De står her alligevel, i deres eget afsnit, for en sammenligning, hvor forfatteren vinder hver eneste linje, er ikke værd at læse.

Sammenligningen i tal

Oplysningerne er hentet fra udbydernes officielle sider den 4. oktober 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). De ændrer sig — tjek datoen, før De stoler på dem.

Google reCAPTCHA er gratis op til 10.000 vurderinger om måneden på Essentials-niveauet; De skal tilføje en betalingsmetode. På Premium-niveauet koster 10.001 til 100.000 vurderinger fast 8 $, derefter 1 $ pr. 1.000; Enterprise ligger derover. hCaptcha har et gratis Basic-niveau; Pro koster 99 $ om måneden ved årlig betaling eller 139 $ månedligt, og Enterprise er efter aftale. Passiv tilstand uden synlig opgave findes kun i Pro og Enterprise. Cloudflare Turnstile er gratis med ubegrænsede verificeringer — den gratis plan begrænser funktioner, ikke trafik: op til 20 widgets, 10 værtsnavne pr. widget, syv dages statistik. Den kræver ingen Cloudflare-proxy foran Deres websted. SilentShields gratis plan dækker 500 forespørgsler om måneden på ét domæne; Basic koster 9 € om måneden for 5.000 forespørgsler, Pro 29 € for 25.000 forespørgsler på fem domæner.

Hvad hver af dem faktisk henter ind i Deres side

Prisen er kun den halve omkostning. Den anden halvdel lander i Deres besøgendes browser, og den bliver sjældent offentliggjort. Så vi målte den: Chromium, en frisk profil, hver udbyders egen demoside og den overførte størrelse på hver forespørgsel til den pågældende udbyder — komprimeret, som den rejser over linjen. Målt den 4. september 2026.

Spredningen er større, end udbydernes sider lader ane. reCAPTCHAs api.js er en starter på 1 KB; filen, den derefter henter, recaptcha__en.js, vejer alene 345 KB komprimeret. Den usynlige v3-variant henter det samme kernescript — dens demoside nåede 459 KB. „Usynlig" betyder altså ikke „let". hCaptchas demo overførte 742 KB, hovedsagelig to pakker fra newassets.hcaptcha.com.

Læs det ærligt: Turnstile er den letteste af de fire, og afstanden til os er tydelig. Vi er nummer to med 48,9 KB — 45,0 KB til adfærdsmodulet plus en indlæser på 3,9 KB (målt igen den 23. september 2026). Over for reCAPTCHA og hCaptcha løber afstanden den anden vej, med en faktor på omkring ni og femten.

Google reCAPTCHA: den arvede kæmpe

reCAPTCHA gør to ting godt: en genkendelse, der hviler på Googles datamængde, og en udbredelse så stor, at den ikke skal forklares for nogen. Den falder fra hinanden på oplevelsen. Billedgåder er friktion, på telefonen er de en plage, og besøgende falder fra, før formularen er færdig.

Så er der datavejen. reCAPTCHA henter Google-scripts ind på Deres side og sender resultatet til Googles infrastruktur. Siden den 2. april 2026 optræder Google ifølge sin egen FAQ som databehandler for den (docs.cloud.google.com/recaptcha/docs/faq). Om De må indlæse den uden samtykke, er stadig et spørgsmål om juridisk vurdering, og i praksis diskuteres det ofte. Modellen er også blevet gammel: den hviler på opgave og svar, mens bots i stigende grad løser opgaverne med den samme maskinlæring, der skulle fange dem.

Kort sagt: den bredeste udbredelse, en last på 423 KB og en datavej til Google, der kræver en juridisk vurdering.

hCaptcha: privatliv med en hage

hCaptcha henter intet Google-script og tilbyder et gratis Basic-niveau. Dér er betjeningen den samme som reCAPTCHAs: de samme billedgitre, den samme irritation, de samme frafald. Passiv tilstand uden synlig opgave findes kun i Pro og Enterprise (hcaptcha.com/pricing).

I vores måling var den desuden den tungeste af de fire med 742 KB.

Kort sagt: intet Google-script, men i gratisniveauet er der fortsat et synligt tjek.

Cloudflare Turnstile: det bedste fra den gamle verden

Turnstile er den, der faktisk blev bedre. Den beder ikke om at tyde billeder eller tekst — i Managed-tilstand viser den et afkrydsningsfelt, når den ser en risiko — går privatlivsvenligt til værks og er med 27,5 KB med god margin den letteste i denne sammenligning. Er spørgsmålet „hvilken CAPTCHA", er svaret Turnstile, og denne artikel vil ikke lade som noget andet.

To ting bør De vide. I tvivlstilfælde spørger den den besøgende — opdag, tvivl, spørg — så på en dårlig dag bliver en rigtig kunde kortvarigt holdt op; det samme gælder for os, bortset fra at vi viser en kort regneopgave. Og Cloudflare er et amerikansk selskab — ikke det samme som en udbyder med hjemsted i EU.

Kort sagt: den bedste CAPTCHA — og stadig en CAPTCHA.

Kernen i problemet: systemer med opgaver har udspillet deres rolle

Alle tre deler samme arv: opdag — tvivl — lad den besøgende bevise sig. Den model gav mening i 2010. I 2026 løser bots billeder med AI, mennesker forlader formularer, når de bliver udspurgt, og databeskyttelsesretten beder om mindre sporing, ikke mere.

Risikoen er det værste fra begge verdener: den automatiserede trafik, der betyder noget, kommer igennem — og en del af Deres rigtige kunder gør ikke.

Sådan ser moderne beskyttelse ud

Den næste generation spørger i normaltilfældet ikke den besøgende om noget. Den ser på, hvordan formularen faktisk udfyldes — timing, bevægelse, tastningens rytme — vurderer det i baggrunden og afgiver en dom ved indsendelsen. Som standard: ingen gåde, ingen cookie, ingen afbrydelse.

Det er, hvad SilentShield gør — som standard, ikke i alle tilfælde: når resultatet er uklart, viser det en kort regneopgave. Derfor står der „ingen som standard" og ikke „ingen" i kolonnen „synlig opgave" ovenfor.

Indbygningen: koden, det handler om

Ét scripttag i Deres side, ét kald på Deres server. Andet ændrer sig ikke.

Widgetten hører til på den side, der bærer formularen:

<script src="https://api.silentshield.io/client.js?k=DIN_API_NOEGLE" crossorigin="anonymous" defer></script>

Den starter sig selv, henter sine indstillinger (udseende, sprog, mærke) fra Deres kontrolpanel og skriver et felt ved navn behavior_nonce i Deres formular. Deres server kontrollerer feltet ved indsendelse. I PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Kontrollen mislykkedes.');
}
// Menneske — behandl indsendelsen.

I Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Kontrollen mislykkedes");

Én detalje er mere værd end resten af dette afsnit: false betyder ikke altid „bot". Kontrollen afviser i tvivlstilfælde, så den svarer også false, når vi slet ikke kunne svare — blandt andet når Deres månedlige kvote er brugt op. Begge SDK'er fortæller Dem, hvilket tilfælde De står i (lastFailure() i PHP, reason i Node). Er det kvoten, så fald tilbage på Deres egne kontroller frem for at afvise enhver rigtig besøgende indtil den første i næste måned. Udbydere skriver det sjældent ned; og det er netop den fejl, der for alvor bider.

Der findes SDK'er til PHP, Node, Go og edge-miljøer samt et WordPress-plugin, der klarer begge trin for Dem.

Skift fra reCAPTCHA: hvad udskiftes, hvad bliver

Skiftet er mindre, end det ser ud, for en CAPTCHA rører præcis tre steder i Deres kode.

Hvad udskiftes: <script>-tagget i Deres side, serverkaldet til siteverify og feltnavnet — g-recaptcha-response bliver til behavior_nonce. Hvad bliver: Deres formular, Deres egne kontroller, Deres honningkrukke, Deres hastighedsgrænser. Botbeskyttelse er et lag, ikke en erstatning for det, De allerede har.

Gør det i denne rækkefølge. Læg det nye script ind, mens reCAPTCHA stadig kører, og sammenlign dommene i nogle dage; så ser De Deres egen trafik i stedet for at tro på en tabel. Flyt derefter kontrollen på serveren. Og først da fjerner De reCAPTCHA-scriptet og Google-posten fra Deres privatlivspolitik og Deres fortegnelse over behandlingsaktiviteter — det er det sidste trin, teams glemmer, og det er det, en myndighed ser på.

Hvor SilentShield er det svagere valg

Tre linjer, hvor vi taber, sagt lige ud.

Vores script er større end Turnstiles. 48,9 KB mod 27,5 KB — vi indlæses asynkront efter opbygningen og blokerer intet, en besøgende venter på; men kæmpes der på Deres side om hver kilobyte, er det et reelt argument imod os.

Vi er ikke gratis på mængde. Turnstile koster intet ved enhver størrelse. Vores gratis plan slutter ved 500 forespørgsler om måneden. Er prisen Deres eneste kriterium, er vi ikke svaret.

Vi er yngre. reCAPTCHA har kørt i over et årti og har set angrebsmønstre, vi ikke har set. Det er ikke en bagatel, og ingen positionering ændrer det.

Det, de 9 € køber i stedet, er en anden handel: intet Google-script hentes, ingen cookie sættes, den besøgende ser som standard ingen opgave — kun en kort regneopgave, når resultatet er uklart — og med EU-endepunktet kører verificeringen direkte på vores servere i Tyskland, uden CDN. Er det mere værd for Dem end gratis, er vi det bedre valg. Er det ikke, så tag Turnstile — det er en forsvarlig beslutning, og denne artikel vil ikke lade som noget andet.

Hvad det betyder for Deres forretning

Hvert ekstra trin i en formular koster omsætning, og en opgave er det dyreste trin, De kan tilføje: den kommer præcis i det øjeblik, nogen har besluttet at kontakte Dem. Forladte formularer, tabte køb, mistede henvendelser og en betjening på telefonen, der er ringere end den, De testede ved skrivebordet — selv Turnstile, den bedste af de tre, fjerner ikke risikoen helt, for den kan stadig vælge at spørge — og vi spørger også, når resultatet er uklart, med en kort regneopgave.

Spørgsmålet er ikke, hvilken CAPTCHA der irriterer Deres kunder mindst. Spørgsmålet er, hvor sjældent Deres kunder overhovedet skal udspørges.

Dommen

• reCAPTCHA — størst udbredelse, 423 KB, data til Google. For et EU-websted en sag for juridisk vurdering, ofte inklusive en diskussion om samtykke.
• hCaptcha — intet Google-script, tungest af de fire med 742 KB, samme gåde for den besøgende i gratisniveauet (passiv kun i Pro/Enterprise).
• Turnstile — den bedste CAPTCHA: gratis, 27,5 KB, oftest tavs. Stadig et amerikansk selskab og nedenunder stadig en CAPTCHA.
• SilentShield — ingen opgave som standard (en kort regneopgave, når resultatet er uklart), ingen cookie, datalagring på servere i Tyskland, 48,9 KB. 9 € om måneden, så snart De passerer 500 forespørgsler.

Alle fire spørger den besøgende i tvivlstilfælde; forskellen er hvor ofte og med hvad.

Prøv SilentShield — botbeskyttelse, der forbliver usynlig som standard