Turnstile vs reCAPTCHA vs hCaptcha: täielik võrdlus (2026)

Selle otsuse üle valitsevad kolm tööriista ja enamik võrdlusi lõpeb omadussõnadega: „halb kasutuskogemus", „parem privaatsus", „suur täpsus". Omadussõnad on odavad. See artikkel toob arvud — hinnad loetuna teenusepakkujate endi lehtedelt ja lehe kaal mõõdetuna brauseris kirjutamise päeval.

Kaks neist arvudest on meile ebamugavad. Nad on siin sellegipoolest, omaette osas, sest võrdlus, milles autor võidab igal real, ei vääri lugemist.

Võrdlus arvudes

Andmed pärinevad teenusepakkujate ametlikelt lehtedelt, vaadatud 4. oktoobril 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Need muutuvad — kontrollige kuupäeva, enne kui neile tuginete.

Google reCAPTCHA on Essentialsi tasemel tasuta kuni 10 000 hinnanguni kuus; peate lisama makseviisi. Premium tasemel maksavad 10 001 kuni 100 000 hinnangut ühtse tasuna 8 $, edasi 1 $ iga 1000 eest; selle kohal on Enterprise. hCaptchal on tasuta Basic-tase; Pro maksab aastamaksega 99 $ kuus või 139 $ kuukaupa ja Enterprise on saadaval päringu peale. Passiivne režiim ilma nähtava ülesandeta on saadaval ainult Pro ja Enterprise tasemel. Cloudflare Turnstile on tasuta, piiramatu arvu kontrollidega — tasuta pakett piirab funktsioone, mitte liiklust: kuni 20 vidinat, 10 hostinime vidina kohta, seitse päeva statistikat. Cloudflare'i proksit teie saidi ees see ei nõua. SilentShieldi tasuta pakett katab 500 päringut kuus ühel domeenil; Basic maksab 9 € kuus 5000 päringu eest ja Pro 29 € 25 000 päringu eest viiel domeenil.

Mida igaüks neist tegelikult teie lehele laadib

Hind on vaid pool kulust. Teine pool jõuab teie külastaja brauserisse ja seda avaldatakse harva. Nii et me mõõtsime selle ära: Chromium, värske profiil, iga teenusepakkuja oma näidisleht ja igale sellele pakkujale suunatud päringu ülekantud maht — pakituna, nii nagu see liinil liigub. Mõõdetud 4. septembril 2026.

Vahe on suurem, kui teenusepakkujate lehed aimata lasevad. reCAPTCHA api.js on 1 KB suurune käivitaja; fail, mille see seejärel tõmbab, recaptcha__en.js, kaalub üksi 345 KB pakituna. Nähtamatu v3-variant laadib sama tuumskripti — selle näidisleht ulatus 459 KB-ni. „Nähtamatu" ei tähenda seega „kerget". hCaptcha näidis kandis üle 742 KB, valdavas osas kaks paketti aadressilt newassets.hcaptcha.com.

Lugege seda ausalt: Turnstile on neljast kõige kergem ja vahe meieni on selge. Meie oleme teised, 48,9 KB juures — 45,0 KB käitumismoodulit pluss 3,9 KB laadurit (uuesti mõõdetud 23. septembril 2026). reCAPTCHA ja hCaptcha suhtes jookseb vahe teistpidi, umbes üheksa- ja viieteistkordselt.

Google reCAPTCHA: päritud hiiglane

reCAPTCHA teeb kahte asja hästi: tuvastust, mis toetub Google'i andmemahule, ja levikut, mida ei pea kellelegi selgitama. Kogemuse juures ta laguneb. Pildimõistatused on hõõrdumine, telefonis on need piin ja külastajad loobuvad enne vormi lõpetamist.

Siis on andmete tee. reCAPTCHA laadib teie lehele Google'i skripte ja saadab tulemuse Google'i taristusse. Alates 2. aprillist 2026 tegutseb Google oma KKK järgi selle puhul volitatud töötlejana (docs.cloud.google.com/recaptcha/docs/faq). Kas te tohite seda ilma nõusolekuta laadida, jääb õigusliku hindamise küsimuseks, ja praktikas vaieldakse selle üle sageli. Ka mudel on vananenud: see toetub ülesandele ja vastusele, samal ajal kui robotid lahendavad neid ülesandeid üha enam sama masinõppega, mis peaks nad kinni püüdma.

Lühidalt: kõige laiem levik, 423 KB koormat ja andmete tee Google'isse, mis vajab õiguslikku hindamist.

hCaptcha: privaatsus, aga konksuga

hCaptcha ei laadi Google'i skripti ja pakub tasuta Basic-taset. Seal on kasutuskogemus sama mis reCAPTCHA-l: samad pildiruudustikud, sama tüütus, samad loobumised. Passiivne režiim ilma nähtava ülesandeta on saadaval ainult Pro ja Enterprise tasemel (hcaptcha.com/pricing).

Meie mõõtmises oli see pealegi neljast kõige raskem, 742 KB.

Lühidalt: Google'i skriptita, kuid tasuta tasemel jääb nähtav kontroll alles.

Cloudflare Turnstile: vana maailma parim

Turnstile on see, mis tõesti paranes. Ta ei nõua pilte ega teksti dešifreerimiseks — Managed-režiimis näitab ta riski korral märkeruutu —, suhtub privaatsusesse hoolivalt ja on 27,5 KB-ga selges ülekaalus selle võrdluse kergeim. Kui küsimus on „milline CAPTCHA", on vastus Turnstile, ja see artikkel ei teeskle teisiti.

Kahte asja peaksite teadma. Kahtluse korral küsib ta külastajalt — tuvasta, kahtle, küsi —, nii et halval päeval peetakse tõeline klient korraks kinni; sama kehtib ka meie kohta, ainult et meie näitame lühikest arvutusülesannet. Ja Cloudflare on USA ettevõte — mitte sama mis ELis asuv teenusepakkuja.

Lühidalt: parim CAPTCHA — ja ikka veel CAPTCHA.

Probleemi tuum: ülesannetel põhinevad süsteemid on aegunud

Kõigil kolmel on sama pärand: tuvasta — kahtle — lase külastajal end tõestada. See mudel oli mõistlik 2010. aastal. 2026. aastal lahendavad robotid pilte tehisintellektiga, inimesed jätavad vormid pooleli, kui neid üle kuulatakse, ja andmekaitseõigus palub vähem jälgimist, mitte rohkem.

Risk koondab halvima mõlemast maailmast: oluline automaatne liiklus pääseb läbi — ja osa teie tõelistest klientidest mitte.

Milline näeb välja tänapäevane kaitse

Järgmine põlvkond ei küsi külastajalt tavaolukorras midagi. Ta vaatab, kuidas vormi tegelikult täidetakse — ajastused, liikumine, kirjutamise rütm —, hindab seda taustal ja annab saatmisel otsuse. Vaikimisi ei mõistatust, ei küpsist, ei katkestust.

Just seda SilentShield teebki — vaikimisi, mitte igal juhul: kui tulemus on ebaselge, näitab see lühikest arvutusülesannet. Seepärast seisab ülal veerus „nähtav ülesanne" „vaikimisi puudub", mitte „puudub".

Paigaldus: kood, millest jutt käib

Üks skriptisilt teie lehel, üks kutse teie serveris. Muud ei muutu.

Vidin kuulub lehele, mis kannab vormi:

<script src="https://api.silentshield.io/client.js?k=TEIE_API_VOTI" crossorigin="anonymous" defer></script>

Ta käivitub ise, võtab oma seaded (välimus, keel, märgis) teie juhtpaneelist ja kirjutab vormi välja nimega behavior_nonce. Teie server kontrollib seda välja saatmisel. PHP-s:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Kontroll ebaonnestus.');
}
// Inimene — tootle esitus.

Node'is:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Kontroll ebaonnestus");

Üks üksikasi on väärt rohkem kui selle osa ülejäänud tekst: false ei tähenda alati „robotit". Kontroll on kahtluse korral tõrjuv, seega vastab ta false ka siis, kui me üldse vastata ei saanud — muu hulgas siis, kui teie kuukvoot on otsas. Mõlemad SDK-d ütlevad teile, millise juhtumiga on tegu (lastFailure() PHP-s, reason Node'is). Kui asi on kvoodis, toetuge oma kontrollidele, selle asemel et tõrjuda järgmise kuu esimeseni iga tõelist külastajat. Teenusepakkujad kirjutavad seda harva välja; ometi on just see tõrge see, mis päriselt hammustab.

Olemas on SDK-d PHP, Node'i, Go ja äärekeskkondade jaoks ning WordPressi lisa, mis teeb mõlemad sammud teie eest ära.

Üleminek reCAPTCHA-lt: mis muutub, mis jääb

Üleminek on väiksem, kui paistab, sest CAPTCHA puudutab teie koodis täpselt kolme kohta.

Mis asendatakse: <script>-silt teie lehel, serveripoolne kutse siteverify-le ja välja nimi — g-recaptcha-response asemele tuleb behavior_nonce. Mis jääb: teie vorm, teie enda kontrollid, teie meepott, teie sagedusepiirangud. Robotikaitse on kiht, mitte asendus sellele, mis teil juba on.

Toimige selles järjekorras. Lisage uus skript, kui reCAPTCHA veel töötab, ja võrrelge otsuseid mõne päeva jooksul; siis näete oma liiklust, selle asemel et tabelit uskuda. Seejärel viige üle serveripoolne kontroll. Ja alles siis eemaldage reCAPTCHA skript ning Google'i kanne oma privaatsuspoliitikast ja isikuandmete töötlemise toimingute registrist — just selle viimase sammu unustavad meeskonnad ära ja just seda vaatab järelevalveasutus.

Kus SilentShield on nõrgem valik

Kolm rida, kus me kaotame, otse välja öeldud.

Meie skript on Turnstile omast suurem. 48,9 KB vastu 27,5 KB — me laadime end asünkroonselt pärast kuvamist ega blokeeri midagi, mida külastaja ootab; kui aga teie lehel võideldakse iga kilobaidi eest, on see tõeline argument meie vastu.

Mahu poolest ei ole me tasuta. Turnstile ei maksa mingi suuruse juures midagi. Meie tasuta pakett lõpeb 500 päringu juures kuus. Kui hind on teie ainus kriteerium, ei ole meie vastus.

Me oleme nooremad. reCAPTCHA on töötanud üle kümne aasta ja näinud ründemustreid, mida meie näinud ei ole. See pole pisiasi ja ükski positsioneering seda ei muuda.

See, mida need 9 € ostavad, on teistsugune tehing: ühtegi Google'i skripti ei laadita, ühtki küpsist ei seata, külastaja ei näe vaikimisi ühtegi ülesannet — ainult ebaselge tulemuse korral lühikest arvutusülesannet — ja ELi lõpp-punktiga toimub kontroll otse meie serverites Saksamaal, ilma CDN-ita. Kui see on teie jaoks väärt rohkem kui tasuta, oleme parem valik. Kui ei ole — võtke Turnstile; see on kaitstav otsus ja see artikkel ei teeskle teisiti.

Mida see teie ärile tähendab

Iga lisasamm vormis maksab käivet ja ülesanne on kõige kallim samm, mille lisada saate: see tuleb täpselt hetkel, mil keegi on otsustanud teiega ühendust võtta. Pooleli jäetud vormid, katkenud ostud, kaotatud päringud ja telefonis kasutuskogemus, mis on halvem kui lauaarvutis katsetatu — isegi Turnstile, kolmest parim, ei kõrvalda seda riski täielikult, sest ta võib ikka otsustada küsida — ja ka meie küsime ebaselge tulemuse korral, lühikese arvutusülesandega.

Küsimus ei ole selles, milline CAPTCHA teie kliente kõige vähem tüütab. Küsimus on selles, kui harva on teie kliente üldse vaja üle kuulata.

Otsus

• reCAPTCHA — suurim levik, 423 KB, andmed Google'ile. ELi saidi jaoks õigusliku hindamise juhtum, sageli koos aruteluga nõusoleku üle.
• hCaptcha — Google'i skriptita, neljast raskeim 742 KB-ga, tasuta tasemel külastajale sama mõistatus (passiivne ainult Pro/Enterprise tasemel).
• Turnstile — parim CAPTCHA: tasuta, 27,5 KB, enamasti vaikne. Endiselt USA ettevõte ja all endiselt CAPTCHA.
• SilentShield — vaikimisi ülesandeta (ebaselge tulemuse korral lühike arvutusülesanne), küpsiseta, andmete hoidmine serverites Saksamaal, 48,9 KB. 9 € kuus niipea, kui ületate 500 päringut.

Kõik neli küsivad kahtluse korral külastajalt; erinevus on selles, kui sageli ja millega.

Proovige SilentShieldi — robotitõrje, mis jääb vaikimisi nähtamatuks