Turnstile vs reCAPTCHA vs hCaptcha: täielik võrdlus (2026)

Selle otsuse üle valitsevad kolm tööriista ja enamik võrdlusi lõpeb omadussõnadega: „halb kasutuskogemus", „parem privaatsus", „suur täpsus". Omadussõnad on odavad. See artikkel toob arvud — hinnad loetuna teenusepakkujate endi lehtedelt ja lehe kaal mõõdetuna brauseris kirjutamise päeval.

Kaks neist arvudest on meile ebamugavad. Nad on siin sellegipoolest, omaette osas, sest võrdlus, milles autor võidab igal real, ei vääri lugemist.

Võrdlus arvudes

Hinnad kontrollitud 3. septembril 2026 teenusepakkujate lehtedel. Need muutuvad — kontrollige kuupäeva, enne kui neile tuginete.

Google reCAPTCHA on Essentialsi tasemel tasuta kuni 10 000 hinnanguni kuus. Sellest üle maksab Standard ühtse tasuna 8 $ kuni 100 000 hinnanguni ja edasi liigute Enterprise'i hinnaga 0,001 $ hinnangu kohta. hCaptchal on püsivalt tasuta Basic-tase; Pro maksab aastamaksega 99 $ kuus või 139 $ kuukaupa, sisaldab 100 000 hinnangut ja võtab 0,99 $ iga järgmise 1000 eest. Cloudflare Turnstile on tasuta ilma avaldatud mahupiiranguta — tasuta pakett piirab funktsioone, mitte liiklust: kuni 20 vidinat, 10 hostinime vidina kohta, seitse päeva statistikat, kättesaadavuse tagatiseta ja ilma lõpp-punktipõhiste reegliteta. SilentShieldi tasuta pakett katab 500 päringut kuus ühel domeenil; Basic maksab 9 € kuus 5000 päringu eest ja Pro 29 € 25 000 päringu eest viiel domeenil.

Mida igaüks neist tegelikult teie lehele laadib

Hind on vaid pool kulust. Teine pool jõuab teie külastaja brauserisse ja seda avaldatakse harva. Nii et me mõõtsime selle ära: Chromium, värske profiil, iga teenusepakkuja oma näidisleht ja igale sellele pakkujale suunatud päringu ülekantud maht — pakituna, nii nagu see liinil liigub. Mõõdetud 4. septembril 2026.

Vahe on suurem, kui teenusepakkujate lehed aimata lasevad. reCAPTCHA api.js on 1 KB suurune käivitaja; fail, mille see seejärel tõmbab, recaptcha__en.js, kaalub üksi 345 KB pakituna. Nähtamatu v3-variant laadib sama tuumskripti — selle näidisleht ulatus 459 KB-ni. „Nähtamatu" ei tähenda seega „kerget". hCaptcha näidis kandis üle 742 KB, valdavas osas kaks paketti aadressilt newassets.hcaptcha.com.

Lugege seda ausalt: Turnstile on neljast kõige kergem ja vahe meieni on selge. Meie oleme teised, umbes 47 KB juures — 42,6 KB käitumismoodulit pluss 3,7 KB laadurit. reCAPTCHA ja hCaptcha suhtes jookseb vahe teistpidi, üheksa- ja kuueteistkordselt.

Google reCAPTCHA: päritud hiiglane

reCAPTCHA teeb kahte asja hästi: tuvastust, mis toetub Google'i andmemahule, ja levikut, mida ei pea kellelegi selgitama. Kogemuse juures ta laguneb. Pildimõistatused on hõõrdumine, telefonis on need piin ja külastajad loobuvad enne vormi lõpetamist.

Siis on andmete tee. reCAPTCHA laadib Google'i skripte, jälgib käitumist saitide üleselt ja saadab tulemuse Google'i taristusse — seetõttu on mitu Euroopa järelevalveasutust selle kahtluse alla seadnud ja seetõttu vajab see reeglina nõusolekut, enne kui laeb. ELi saidi jaoks otsustab see küsimuse juba iseenesest. Ka mudel on vananenud: see toetub ülesandele ja vastusele, samal ajal kui robotid lahendavad neid ülesandeid üha enam sama masinõppega, mis peaks nad kinni püüdma.

Lühidalt: kõige laiem levik, kõige raskem koorem ja neljast kõige raskem õiguslik seis.

hCaptcha: privaatsus, aga konksuga

hCaptcha positsioneerib end privaatsuse osas Google'ist paremini ja lisab tasu — teile makstakse ülesannete eest, mille teie külastajad lahendavad. Kasutuskogemus on sama mis reCAPTCHA-l: samad pildiruudustikud, sama tüütus, samad loobumised.

Tasu on see, mis reedab. Teie külastajad muutuvad tegelikult andmete märgistajateks ja toote taga olev ajend on andmete tootmine, mitte kiire vorm. Meie mõõtmises oli see pealegi neljast kõige raskem, 742 KB.

Lühidalt: see asendab Google'i jälgimise ja jätab mõistatuse alles.

Cloudflare Turnstile: vana maailma parim

Turnstile on see, mis tõesti paranes. Ta näitab nähtavat ülesannet tunduvalt harvemini, suhtub privaatsusesse hoolivalt ja on 27,5 KB-ga selges ülekaalus selle võrdluse kergeim. Kui küsimus on „milline CAPTCHA", on vastus Turnstile, ja see artikkel ei teeskle teisiti.

Kahte asja ta ei lahenda. All põhineb ta endiselt ülesannetel — tuvasta, kahtle ja kahtluse korral küsi külastajalt — nii et halval päeval peatatakse tõeline klient ikkagi. Ja Cloudflare on USA ettevõte: GDPRi mõttes parem kui Google, kuid mitte sama mis töötlus, mis ELi kunagi ei lahku.

Lühidalt: parim CAPTCHA — ja ikka veel CAPTCHA.

Probleemi tuum: ülesannetel põhinevad süsteemid on aegunud

Kõigil kolmel on sama pärand: tuvasta — kahtle — lase külastajal end tõestada. See mudel oli mõistlik 2010. aastal. 2026. aastal lahendavad robotid pilte tehisintellektiga, inimesed jätavad vormid pooleli, kui neid üle kuulatakse, ja andmekaitseõigus palub vähem jälgimist, mitte rohkem.

Tulemus koondab halvima mõlemast maailmast: oluline automaatne liiklus pääseb läbi — ja osa teie tõelistest klientidest mitte.

Milline näeb välja tänapäevane kaitse

Järgmine põlvkond ei küsi külastajalt midagi. Ta vaatab, kuidas vormi tegelikult täidetakse — ajastused, liikumine, kirjutamise rütm —, hindab seda taustal ja annab saatmisel otsuse. Ei mõistatust, ei küpsist, ei katkestust.

Just seda SilentShield teebki, ja seepärast ei seisa ülal veerus „nähtav ülesanne" midagi: pole midagi, mida külastaja näeks, ega midagi, milles ta läbi kukkuda saaks.

Paigaldus: kood, millest jutt käib

Üks skriptisilt teie lehel, üks kutse teie serveris. Muud ei muutu.

Vidin kuulub lehele, mis kannab vormi:

<script src="https://api.silentshield.io/client.js?k=TEIE_API_VOTI" crossorigin="anonymous" defer></script>

Ta käivitub ise, võtab oma seaded (välimus, keel, märgis) teie juhtpaneelist ja kirjutab vormi välja nimega behavior_nonce. Teie server kontrollib seda välja saatmisel. PHP-s:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Kontroll ebaonnestus.');
}
// Inimene — tootle esitus.

Node'is:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Kontroll ebaonnestus");

Üks üksikasi on väärt rohkem kui selle osa ülejäänud tekst: false ei tähenda alati „robotit". Kontroll on kahtluse korral tõrjuv, seega vastab ta false ka siis, kui me üldse vastata ei saanud — muu hulgas siis, kui teie kuukvoot on otsas. Mõlemad SDK-d ütlevad teile, millise juhtumiga on tegu (lastFailure() PHP-s, reason Node'is). Kui asi on kvoodis, toetuge oma kontrollidele, selle asemel et tõrjuda järgmise kuu esimeseni iga tõelist külastajat. Teenusepakkujad kirjutavad seda harva välja; ometi on just see tõrge see, mis päriselt hammustab.

Olemas on SDK-d PHP, Node'i, Go ja äärekeskkondade jaoks ning WordPressi lisa, mis teeb mõlemad sammud teie eest ära.

Üleminek reCAPTCHA-lt: mis muutub, mis jääb

Üleminek on väiksem, kui paistab, sest CAPTCHA puudutab teie koodis täpselt kolme kohta.

Mis asendatakse: <script>-silt teie lehel, serveripoolne kutse siteverify-le ja välja nimi — g-recaptcha-response asemele tuleb behavior_nonce. Mis jääb: teie vorm, teie enda kontrollid, teie meepott, teie sagedusepiirangud. Robotikaitse on kiht, mitte asendus sellele, mis teil juba on.

Toimige selles järjekorras. Lisage uus skript, kui reCAPTCHA veel töötab, ja võrrelge otsuseid mõne päeva jooksul; siis näete oma liiklust, selle asemel et tabelit uskuda. Seejärel viige üle serveripoolne kontroll. Ja alles siis eemaldage reCAPTCHA skript ning Google'i kanne oma privaatsuspoliitikast ja isikuandmete töötlemise toimingute registrist — just selle viimase sammu unustavad meeskonnad ära ja just seda vaatab järelevalveasutus.

Kus SilentShield on nõrgem valik

Kolm rida, kus me kaotame, otse välja öeldud.

Meie skript on Turnstile omast suurem. 47 KB vastu 27,5 KB — me laadime end asünkroonselt pärast kuvamist ega blokeeri midagi, mida külastaja ootab; kui aga teie lehel võideldakse iga kilobaidi eest, on see tõeline argument meie vastu.

Mahu poolest ei ole me tasuta. Turnstile ei maksa mingi suuruse juures midagi. Meie tasuta pakett lõpeb 500 päringu juures kuus. Kui hind on teie ainus kriteerium, ei ole meie vastus.

Me oleme nooremad. reCAPTCHA on töötanud üle kümne aasta ja näinud ründemustreid, mida meie näinud ei ole. See pole pisiasi ja ükski positsioneering seda ei muuda.

See, mida need 9 € ostavad, on teistsugune tehing: midagi ei laadita USA teenusepakkujalt, ühtki küpsist ei seata, ükski külastaja ei pea midagi tõestama ja hinnang jääb ELi. Kui see on teie jaoks väärt rohkem kui tasuta, oleme parem valik. Kui ei ole — võtke Turnstile; see on kaitstav otsus ja see artikkel ei teeskle teisiti.

Mida see teie ärile tähendab

Iga lisasamm vormis maksab käivet ja ülesanne on kõige kallim samm, mille lisada saate: see tuleb täpselt hetkel, mil keegi on otsustanud teiega ühendust võtta. Pooleli jäetud vormid, katkenud ostud, kaotatud päringud ja telefonis kasutuskogemus, mis on halvem kui lauaarvutis katsetatu — isegi Turnstile, kolmest parim, ei kõrvalda seda riski täielikult, sest ta võib ikka otsustada küsida.

Küsimus ei ole selles, milline CAPTCHA teie kliente kõige vähem tüütab. Küsimus on selles, kas teie kliente üldse on vaja üle kuulata.

Otsus

• reCAPTCHA — suurim levik, 423 KB, andmed USA-sse. ELi saidi jaoks 2026. aastal raskesti kaitstav.
• hCaptcha — privaatsuses Google'ist parem, neljast raskeim 742 KB-ga, külastajale sama mõistatus.
• Turnstile — parim CAPTCHA: tasuta, 27,5 KB, enamasti vaikne. Endiselt USA ettevõte ja all endiselt CAPTCHA.
• SilentShield — ülesandeta, küpsiseta, töötlus ELis, 47 KB. 9 € kuus niipea, kui ületate 500 päringut.

Kõigil kolmel CAPTCHA-l on üks ühine viga: päeval, mil nad kahtlevad, annavad nad probleemi edasi teie kliendile.

Proovige SilentShieldi — kaitse, mida teie külastajad kunagi ei näe