Tres herramientas dominan esta decisión, y la mayoría de las comparativas terminan en adjetivos: «mala experiencia», «mejor privacidad», «alta precisión». Los adjetivos son baratos. Este artículo da cifras: precios tomados de las páginas de los propios proveedores y un peso de página medido en un navegador el mismo día en que se escribió.
Dos de esas cifras nos resultan incómodas. Aparecen aquí igualmente, en una sección propia, porque una comparativa en la que el autor gana todas las filas no merece lectura.
La comparativa en cifras
Datos tomados de las páginas oficiales de los proveedores, consultadas el 4 de octubre de 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Cambian: compruebe la fecha antes de confiar en ellos.
| Herramienta | Precio de entrada | Plan gratuito | Tarea visible | Adónde van los datos |
|---|---|---|---|---|
| reCAPTCHA | gratis, luego 8 $ al mes | 10.000 evaluaciones al mes | Tarea de imágenes posible | |
| hCaptcha | gratis, luego 99 $ al mes (anual) | Basic, gratuito | Rompecabezas de imágenes; pasivo solo Pro/Enterprise | no verificado |
| Turnstile | gratis | verificaciones ilimitadas | normalmente ninguna; casilla ante riesgo | Cloudflare (empresa estadounidense) |
| SilentShield | gratis, luego 9 € al mes | 500 solicitudes al mes | ninguna por defecto; breve tarea aritmética si el resultado no es claro | Servidores en Alemania; sin CDN con el endpoint de la UE |
Google reCAPTCHA es gratuito hasta 10.000 evaluaciones al mes en su nivel Essentials; debe registrar un medio de pago. En el nivel Premium, de 10.001 a 100.000 evaluaciones cuestan 8 $ fijos, y a partir de ahí 1 $ por cada 1.000; por encima está Enterprise. hCaptcha mantiene un nivel Basic gratuito; Pro cuesta 99 $ al mes con pago anual o 139 $ mensuales, y Enterprise se ofrece bajo petición. El modo pasivo sin tarea visible solo está disponible en Pro y Enterprise. Cloudflare Turnstile es gratuito, con verificaciones ilimitadas: el plan gratuito limita funciones, no tráfico — hasta 20 widgets, 10 nombres de host por widget, siete días de analítica. No requiere un proxy de Cloudflare delante de su sitio. El plan gratuito de SilentShield cubre 500 solicitudes al mes en un dominio; Basic cuesta 9 € al mes por 5.000 solicitudes y Pro 29 € por 25.000 solicitudes en cinco dominios.
Qué carga realmente cada uno en su página
El precio es solo la mitad del coste. La otra mitad llega al navegador de su visitante y rara vez se publica. Así que la medimos: Chromium, un perfil nuevo, la página de demostración de cada proveedor y el tamaño transferido de cada petición dirigida a ese proveedor, comprimido, tal como viaja. Medición del 4 de septiembre de 2026.
| Herramienta | Cargado desde el proveedor | de ello, JavaScript |
|---|---|---|
| Turnstile | 27,5 KB | 27,5 KB |
| SilentShield | 48,9 KB | 48,9 KB |
| reCAPTCHA (v2, casilla) | 423 KB | 346 KB |
| hCaptcha | 742 KB | 544 KB |
La diferencia es mayor de lo que sugieren las páginas de los proveedores. El api.js de reCAPTCHA es un arrancador de 1 KB; el archivo que trae después, recaptcha__en.js, pesa por sí solo 345 KB comprimidos. La variante invisible v3 carga el mismo script central: su página de demostración llegó a 459 KB. «Invisible» no significa, por tanto, «ligero». La demostración de hCaptcha transfirió 742 KB, en su mayor parte dos paquetes de newassets.hcaptcha.com.
Léalo con honestidad: Turnstile es el más ligero de los cuatro, y la distancia con nosotros es clara. Quedamos segundos, con 48,9 KB — 45,0 KB del módulo de comportamiento más 3,9 KB del cargador (medido de nuevo el 23 de septiembre de 2026). Frente a reCAPTCHA y hCaptcha la distancia se invierte, por un factor de aproximadamente nueve y quince.
Google reCAPTCHA: el gigante heredado
reCAPTCHA hace dos cosas bien: una detección respaldada por los datos de Google y una difusión tan amplia que no hay que explicársela a ningún cliente. Donde se rompe es en la experiencia. Los rompecabezas de imágenes son fricción, en el móvil resultan penosos y los visitantes abandonan antes de terminar el formulario.
Luego está el camino de los datos. reCAPTCHA carga scripts de Google en su página y envía el resultado a la infraestructura de Google. Desde el 2 de abril de 2026, Google actúa como encargado del tratamiento según sus propias FAQ (docs.cloud.google.com/recaptcha/docs/faq). Si puede cargarlo sin consentimiento sigue siendo una cuestión de evaluación jurídica, y en la práctica se debate a menudo. El modelo también ha envejecido: se apoya en desafío y respuesta mientras los bots resuelven esos desafíos con el mismo aprendizaje automático que debería atraparlos.
En resumen: la mayor difusión, una carga de 423 KB y un camino de datos hacia Google que requiere una evaluación jurídica.
hCaptcha: privacidad, con truco
hCaptcha no carga ningún script de Google y ofrece un nivel Basic gratuito. Allí, la experiencia es la de reCAPTCHA: las mismas cuadrículas de imágenes, la misma irritación, los mismos abandonos. El modo pasivo sin tarea visible solo está disponible en Pro y Enterprise (hcaptcha.com/pricing).
Además, en nuestra medición resultó el más pesado de los cuatro, con 742 KB.
En resumen: sin script de Google, pero en el plan gratuito se mantiene una comprobación visible.
Cloudflare Turnstile: lo mejor del mundo antiguo
Turnstile es el que realmente mejoró. No pide imágenes ni textos que descifrar — en el modo Managed muestra una casilla cuando detecta riesgo —, adopta un enfoque respetuoso con la privacidad y, con 27,5 KB, es con diferencia el más ligero de esta comparativa. Si la pregunta es «qué CAPTCHA», la respuesta es Turnstile, y este artículo no fingirá lo contrario.
Dos cosas que debe saber. En la duda pregunta al visitante —detectar, dudar, preguntar—, de modo que en un mal día un cliente real se ve retenido brevemente; lo mismo ocurre con nosotros, solo que nosotros mostramos una breve tarea aritmética. Y Cloudflare es una empresa estadounidense: no es lo mismo que un proveedor establecido en la UE.
En resumen: el mejor CAPTCHA, y aun así un CAPTCHA.
El problema de fondo: los sistemas basados en desafíos han quedado atrás
- Acertijos de textoCaracteres distorsionados, escritos a mano
- Acertijos de imágenesSemáforos, pasos de peatones, autobuses
- Puntuación con respaldoCasi siempre callado — hasta que pregunta
- Basada en el comportamientoVerificado en segundo plano, sin tarea
Los tres comparten el mismo ADN: detectar — dudar — poner a prueba al visitante. Ese modelo tenía sentido en 2010. En 2026 los bots resuelven imágenes con IA, las personas abandonan los formularios cuando se las interroga y la normativa de protección de datos pide menos rastreo, no más.
El riesgo reúne lo peor de ambos mundos: el tráfico automatizado que importa pasa, y una parte de sus clientes reales no.
Qué aspecto tiene la protección moderna
La siguiente generación no pregunta nada al visitante en el caso normal. Observa cómo se rellena realmente el formulario —tiempos, movimiento, ritmo de escritura—, lo evalúa en segundo plano y emite un veredicto al enviar. Por defecto: sin rompecabezas, sin cookie, sin interrupción.
Eso es lo que hace SilentShield — por defecto, no en todos los casos: cuando el resultado no es claro, muestra una breve tarea aritmética. Por eso la columna «tarea visible» de arriba dice «ninguna por defecto» y no «ninguna».
La integración: el código, en concreto
Una etiqueta de script en su página y una llamada en su servidor. Nada más cambia.
El widget va en la página que contiene el formulario:
<script src="https://api.silentshield.io/client.js?k=SU_CLAVE_API" crossorigin="anonymous" defer></script>
Se inicializa solo, obtiene su configuración (tema, idioma, distintivo) desde su panel y escribe en su formulario un campo llamado behavior_nonce. Su servidor comprueba ese campo al enviar. En PHP:
use SilentShield\Client;
$client = new Client(getenv('SILENTSHIELD_API_KEY'));
if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
http_response_code(403);
exit('Verificación fallida.');
}
// Humano — procesar el envío.
En Node:
const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Verificación fallida");
Un detalle vale más que el resto de esta sección: false no siempre significa «bot». La comprobación es prudente por diseño, así que también devuelve false cuando no hemos podido responder en absoluto, incluido el caso en que su cuota mensual se ha agotado. Ambos SDK le dicen en qué caso se encuentra (lastFailure() en PHP, reason en Node). Si es la cuota, recurra a sus propias comprobaciones en lugar de rechazar a todos los visitantes reales hasta el día uno del mes siguiente. Los proveedores rara vez lo escriben; es el fallo que de verdad muerde.
Hay SDK para PHP, Node, Go y entornos edge, además de un plugin de WordPress que hace ambos pasos por usted.
Migrar desde reCAPTCHA: qué cambia y qué se queda
El cambio es menor de lo que parece, porque un CAPTCHA toca exactamente tres puntos de su código.
Qué se sustituye: la etiqueta <script> de su página, la llamada del servidor a siteverify y el nombre del campo — g-recaptcha-response pasa a ser behavior_nonce. Qué se queda: su formulario, sus propias validaciones, su campo trampa, sus límites de frecuencia. La protección contra bots es una capa, no un sustituto de lo que ya tiene.
Hágalo en este orden. Añada el nuevo script mientras reCAPTCHA sigue funcionando y compare los veredictos durante unos días; verá su propio tráfico en lugar de creer una tabla. Después traslade la comprobación del servidor. Y solo entonces retire el script de reCAPTCHA y la entrada de Google de su política de privacidad y de su registro de actividades de tratamiento: ese último paso es el que los equipos olvidan y el que mira una autoridad.
Dónde SilentShield es la opción más débil
Tres filas en las que perdemos, dichas con claridad.
Nuestro script es mayor que el de Turnstile. 48,9 KB frente a 27,5 KB. Cargamos de forma asíncrona tras el renderizado y no bloqueamos nada que el visitante esté esperando, pero si en su página se pelea por cada kilobyte, ese es un argumento real en nuestra contra.
No somos gratuitos en volumen. Turnstile no cuesta nada a ningún tamaño. Nuestro plan gratuito termina en 500 solicitudes al mes. Si el precio es su único criterio, no somos la respuesta.
Somos más jóvenes. reCAPTCHA lleva más de una década en marcha y ha visto patrones de ataque que nosotros no hemos visto. No es poca cosa, y ningún posicionamiento lo cambia.
Lo que compran esos 9 € es otro trato: no se carga ningún script de Google, no se pone ninguna cookie, el visitante no ve ninguna tarea por defecto — solo una breve tarea aritmética cuando el resultado no es claro — y, con el endpoint de la UE, la verificación se ejecuta directamente en nuestros servidores de Alemania, sin CDN. Si eso vale para usted más que lo gratuito, somos la mejor opción. Si no, tome Turnstile: es una decisión defendible, y este artículo no fingirá lo contrario.
Qué significa esto para su negocio
Cada paso adicional en un formulario cuesta ingresos, y un desafío es el paso más caro que puede añadir: llega justo en el momento en que alguien ha decidido ponerse en contacto con usted. Formularios abandonados, compras caídas, oportunidades perdidas y una experiencia móvil peor que la que probó en el escritorio. Incluso Turnstile, el mejor de los tres, no elimina del todo ese riesgo, porque puede seguir decidiendo preguntar — y nosotros también preguntamos cuando el resultado no es claro, con una breve tarea aritmética.
La pregunta no es qué CAPTCHA molesta menos a sus clientes. La pregunta es cuán pocas veces hay que interrogarlos.
El veredicto
- reCAPTCHA — máxima difusión, 423 KB, datos a Google. Para un sitio de la UE, un caso de evaluación jurídica, a menudo con debate sobre el consentimiento.
- hCaptcha — sin script de Google, el más pesado de los cuatro con 742 KB, el mismo rompecabezas para el visitante en el plan gratuito (pasivo solo en Pro/Enterprise).
- Turnstile — el mejor CAPTCHA: gratuito, 27,5 KB, casi siempre silencioso. Sigue siendo una empresa estadounidense y, por debajo, sigue siendo un CAPTCHA.
- SilentShield — ninguna tarea por defecto (una breve tarea aritmética cuando el resultado no es claro), sin cookie, almacenamiento de datos en servidores de Alemania, 48,9 KB. 9 € al mes en cuanto supere las 500 solicitudes.
Los cuatro preguntan al visitante en caso de duda; la diferencia está en con qué frecuencia y con qué.
Probar SilentShield — protección contra bots que permanece invisible por defecto