Turnstile vs. reCAPTCHA vs. hCaptcha: täysi vertailu (2026)

Kolme työkalua hallitsee tätä päätöstä, ja useimmat vertailut päättyvät adjektiiveihin: ”huono käytettävyys”, ”parempi yksityisyys”, ”korkea tarkkuus”. Adjektiivit ovat halpoja. Tämä artikkeli antaa lukuja — hinnat luettuina palveluntarjoajien omilta sivuilta ja sivun painon selaimessa mitattuna kirjoituspäivänä.

Kaksi näistä luvuista on meille epämukavia. Ne ovat silti tässä, omassa osiossaan, sillä vertailu, jossa kirjoittaja voittaa jokaisen rivin, ei ansaitse tulla luetuksi.

Vertailu lukuina

Tiedot toimittajien virallisilta sivuilta, haettu 4. lokakuuta 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Ne muuttuvat — päivämäärä kannattaa tarkistaa ennen kuin niihin luottaa.

Google reCAPTCHA on ilmainen 10 000 arviointiin kuukaudessa Essentials-tasolla; maksutapa on lisättävä. Premium-tasolla 10 001–100 000 arviointia maksaa kiinteästi 8 $, sen jälkeen 1 $ jokaista 1 000:ta kohti; sen yläpuolella on Enterprise. hCaptchalla on ilmainen Basic-taso; Pro maksaa 99 $ kuussa vuosilaskutuksella tai 139 $ kuukausittain, ja Enterprise on saatavilla pyynnöstä. Passiivinen tila ilman näkyvää tehtävää on saatavilla vain Pro- ja Enterprise-tasoilla. Cloudflare Turnstile on ilmainen ja tarkistuksia on rajattomasti — ilmainen taso rajoittaa toimintoja, ei liikennettä: enintään 20 vimpainta, 10 isäntänimeä vimpainta kohti, seitsemän päivän tilastot. Se ei edellytä Cloudflare-välityspalvelinta sivuston edessä. SilentShieldin ilmainen taso kattaa 500 pyyntöä kuukaudessa yhdellä verkkotunnuksella; Basic maksaa 9 € kuussa 5 000 pyynnöstä ja Pro 29 € 25 000 pyynnöstä viidellä verkkotunnuksella.

Mitä kukin todella lataa sivullenne

Hinta on vain puolet kustannuksesta. Toinen puoli saapuu kävijänne selaimeen, ja se julkaistaan harvoin. Siksi mittasimme sen: Chromium, tuore profiili, kunkin palveluntarjoajan oma esittelysivu ja jokaisen kyseiselle tarjoajalle menevän pyynnön siirretty koko — pakattuna, sellaisena kuin se kulkee linjalla. Mitattu 4. syyskuuta 2026.

Ero on suurempi kuin palveluntarjoajien sivut antavat ymmärtää. reCAPTCHAn api.js on 1 kt:n käynnistin; tiedosto, jonka se sitten hakee, recaptcha__en.js, painaa yksinään 345 kt pakattuna. Näkymätön v3-muunnos lataa saman ydinskriptin — sen esittelysivu ylsi 459 kt:hen. ”Näkymätön” ei siis tarkoita ”kevyttä”. hCaptchan esittely siirsi 742 kt, suurimmaksi osaksi kaksi pakettia osoitteesta newassets.hcaptcha.com.

Lukekaa tämä rehellisesti: Turnstile on neljästä kevyin, ja ero meihin on selvä. Me olemme toisena, 48,9 kt:ssa — 45,0 kt käyttäytymismoduulia ja 3,9 kt latainta (mitattu uudelleen 23. syyskuuta 2026). reCAPTCHAan ja hCaptchaan nähden ero kulkee toiseen suuntaan, noin yhdeksän- ja viisitoistakertaisena.

Google reCAPTCHA: peritty jättiläinen

reCAPTCHA tekee kaksi asiaa hyvin: tunnistuksen, joka nojaa Googlen datamäärään, ja levinneisyyden, jota ei tarvitse kenellekään selittää. Kokemuksessa se hajoaa. Kuvapulmat ovat kitkaa, puhelimessa ne ovat vaiva, ja kävijät luopuvat ennen kuin lomake on valmis.

Sitten on tiedon reitti. reCAPTCHA lataa Googlen skriptejä sivulle ja lähettää tuloksen Googlen infrastruktuuriin. Googlen oman FAQ-sivun (docs.cloud.google.com/recaptcha/docs/faq) mukaan Google toimii 2. huhtikuuta 2026 alkaen sen osalta henkilötietojen käsittelijänä. Saako sen ladata ilman suostumusta, on silti oikeudellisen arvioinnin asia, ja käytännössä siitä kiistellään usein. Myös malli on vanhentunut: se nojaa tehtävään ja vastaukseen, kun robotit ratkaisevat näitä tehtäviä yhä useammin samalla koneoppimisella, jonka pitäisi napata ne.

Lyhyesti: laajin levinneisyys, 423 kt:n kuorma ja tiedon reitti Googlelle, joka vaatii oikeudellisen arvioinnin.

hCaptcha: yksityisyys, mutta koukun kera

hCaptcha ei lataa Google-skriptiä ja tarjoaa ilmaisen Basic-tason. Siellä käyttökokemus on sama kuin reCAPTCHAssa: samat kuvaruudukot, sama ärsytys, samat keskeytykset. Passiivinen tila ilman näkyvää tehtävää on saatavilla vain Pro- ja Enterprise-tasoilla (hcaptcha.com/pricing).

Mittauksessamme se oli lisäksi neljästä raskain, 742 kt.

Lyhyesti: ei Google-skriptiä, mutta ilmaisella tasolla näkyvä tarkistus säilyy.

Cloudflare Turnstile: vanhan maailman paras

Turnstile on se, joka todella parani. Se ei pyydä tulkitsemaan kuvia tai tekstejä — Managed-tilassa se näyttää valintaruudun, kun se havaitsee riskin —, suhtautuu yksityisyyteen hienovaraisesti ja on 27,5 kt:lla selvästi tämän vertailun kevyin. Jos kysymys on ”mikä CAPTCHA”, vastaus on Turnstile, eikä tämä artikkeli teeskentele muuta.

Kaksi asiaa on hyvä tietää. Epäselvässä tilanteessa se kysyy kävijältä — havaitse, epäile, kysy — joten huonona päivänä oikea asiakas pysäytetään hetkeksi; sama pätee meihin, sillä erotuksella, että me näytämme lyhyen laskutehtävän. Ja Cloudflare on yhdysvaltalainen yritys — ei sama asia kuin palveluntarjoaja, jonka kotipaikka on EU:ssa.

Lyhyesti: paras CAPTCHA — ja yhä CAPTCHA.

Ongelman ydin: tehtäviin perustuvat järjestelmät ovat aikansa eläneet

Kaikilla kolmella on sama perimä: havaitse — epäile — pane kävijä todistamaan. Malli oli järkevä vuonna 2010. Vuonna 2026 robotit ratkaisevat kuvia tekoälyllä, ihmiset hylkäävät lomakkeita kun heitä kuulustellaan, ja tietosuojaoikeus pyytää vähemmän seurantaa, ei enempää.

Riskinä on huonoin kummastakin maailmasta: merkityksellinen automatisoitu liikenne pääsee läpi — ja osa oikeista asiakkaista ei.

Miltä nykyaikainen suojaus näyttää

Seuraava sukupolvi ei tavallisesti kysy kävijältä mitään. Se katsoo, miten lomake todella täytetään — ajoitukset, liike, kirjoituksen rytmi —, arvioi sen taustalla ja antaa tuomion lähetyksen yhteydessä. Oletuksena: ei pulmaa, ei evästettä, ei keskeytystä.

Juuri tätä SilentShield tekee — oletuksena, ei jokaisessa tapauksessa: kun tulos on epäselvä, se näyttää lyhyen laskutehtävän. Siksi yllä olevassa sarakkeessa ”näkyvä tehtävä” lukee ”oletuksena ei mitään” eikä ”ei mitään”.

Käyttöönotto: koodi, josta on kyse

Yksi skriptitunniste sivullenne, yksi kutsu palvelimellanne. Muu ei muutu.

Vimpain kuuluu sivulle, joka kantaa lomakkeen:

<script src="https://api.silentshield.io/client.js?k=API_AVAIMESI" crossorigin="anonymous" defer></script>

Se käynnistyy itse, hakee asetuksensa (ulkoasu, kieli, merkki) hallintapaneelistanne ja kirjoittaa lomakkeeseen kentän nimeltä behavior_nonce. Palvelimenne tarkistaa kentän lähetyksen yhteydessä. PHP:ssä:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Tarkistus epaonnistui.');
}
// Ihminen — kasittele lahetys.

Nodessa:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Tarkistus epaonnistui");

Yksi yksityiskohta on arvokkaampi kuin tämän osion loppu: false ei aina tarkoita ”robottia”. Tarkistus hylkää epäselvässä tilanteessa, joten se vastaa false myös silloin, kun emme voineet vastata lainkaan — muun muassa kun kuukausikiintiönne on käytetty. Molemmat SDK:t kertovat, kummasta tapauksesta on kyse (lastFailure() PHP:ssä, reason Nodessa). Jos kyse on kiintiöstä, nojatkaa omiin tarkistuksiinne sen sijaan, että hylkäisitte jokaisen oikean kävijän seuraavan kuun ensimmäiseen asti. Palveluntarjoajat kirjoittavat tämän harvoin auki; juuri tämä vikatila puree oikeasti.

Saatavilla on SDK:t PHP:lle, Nodelle, Golle ja edge-ympäristöille sekä WordPress-lisäosa, joka hoitaa molemmat vaiheet puolestanne.

Siirtyminen reCAPTCHAsta: mikä vaihtuu, mikä jää

Siirtymä on pienempi kuin miltä näyttää, sillä CAPTCHA koskettaa täsmälleen kolmea kohtaa koodissanne.

Mikä korvataan: <script>-tunniste sivullanne, palvelinpuolen kutsu siteverify-osoitteeseen ja kentän nimi — g-recaptcha-response muuttuu muotoon behavior_nonce. Mikä jää: lomakkeenne, omat tarkistuksenne, hunajapurkkinne, taajuusrajoituksenne. Bottisuojaus on kerros, ei korvike sille, mitä teillä jo on.

Edetkää tässä järjestyksessä. Lisätkää uusi skripti samalla kun reCAPTCHA on vielä käytössä ja verratkaa tuomioita muutaman päivän ajan; näette oman liikenteenne sen sijaan, että uskoisitte taulukkoa. Siirtäkää sitten palvelinpuolen tarkistus. Ja vasta sitten poistakaa reCAPTCHA-skripti ja Google-merkintä tietosuojaselosteestanne ja käsittelytoimien luettelostanne — juuri tämän viimeisen vaiheen tiimit unohtavat, ja juuri siihen viranomainen katsoo.

Missä SilentShield on heikompi valinta

Kolme riviä, joilla häviämme, suoraan sanottuna.

Skriptimme on Turnstilea suurempi. 48,9 kt vastaan 27,5 kt — latautumme asynkronisesti piirron jälkeen emmekä estä mitään, mitä kävijä odottaa; mutta jos sivullanne taistellaan jokaisesta kilotavusta, se on todellinen argumentti meitä vastaan.

Emme ole volyymissa ilmaisia. Turnstile ei maksa mitään millään koolla. Ilmainen tasomme päättyy 500 pyyntöön kuukaudessa. Jos hinta on ainoa kriteerinne, emme ole vastaus.

Olemme nuorempia. reCAPTCHA on ollut käytössä yli vuosikymmenen ja nähnyt hyökkäysmalleja, joita me emme ole nähneet. Se ei ole pikkuasia, eikä mikään asemointi muuta sitä.

Se, mitä näillä 9 eurolla saa, on toisenlainen kauppa: Google-skriptiä ei ladata, evästettä ei aseteta, kävijä ei oletuksena näe tehtävää — vain lyhyen laskutehtävän, kun tulos on epäselvä — ja EU-päätepisteellä tarkistus suoritetaan suoraan palvelimillamme Saksassa ilman CDN:ää. Jos se on teille enemmän arvoista kuin ilmainen, olemme parempi valinta. Jos ei — ottakaa Turnstile; se on puolustettava päätös, eikä tämä artikkeli teeskentele muuta.

Mitä tämä merkitsee liiketoiminnallenne

Jokainen ylimääräinen askel lomakkeessa maksaa liikevaihtoa, ja tehtävä on kallein askel, jonka voitte lisätä: se tulee juuri sillä hetkellä, kun joku on päättänyt ottaa teihin yhteyttä. Hylättyjä lomakkeita, katkenneita ostoja, menetettyjä yhteydenottoja ja puhelimessa käyttökokemus, joka on huonompi kuin työpöydällä testattu — edes Turnstile, kolmesta paras, ei poista tätä riskiä kokonaan, koska se voi yhä päättää kysyä — ja mekin kysymme, kun tulos on epäselvä, lyhyellä laskutehtävällä.

Kysymys ei ole siitä, mikä CAPTCHA ärsyttää asiakkaita vähiten. Kysymys on siitä, kuinka harvoin asiakkaita ylipäätään tarvitsee kuulustella.

Tuomio

• reCAPTCHA — laajin levinneisyys, 423 kt, tiedot Googlelle. EU-sivustolle oikeudellisen arvioinnin paikka, johon liittyy usein keskustelu suostumuksesta.
• hCaptcha — ei Google-skriptiä, neljästä raskain 742 kt:lla, ilmaisella tasolla kävijälle sama pulma (passiivinen vain Pro/Enterprise).
• Turnstile — paras CAPTCHA: ilmainen, 27,5 kt, useimmiten hiljainen. Yhä yhdysvaltalainen yritys ja pinnan alla yhä CAPTCHA.
• SilentShield — oletuksena ei tehtävää (lyhyt laskutehtävä, kun tulos on epäselvä), ei evästettä, tietojen säilytys palvelimilla Saksassa, 48,9 kt. 9 € kuussa heti kun 500 pyynnön raja ylittyy.

Kaikki neljä kysyvät kävijältä epäselvässä tilanteessa; ero on siinä, kuinka usein ja millä.

Kokeile SilentShieldiä — bottisuojaus, joka pysyy oletuksena näkymättömänä