Trois outils dominent cette décision, et la plupart des comparatifs se terminent en adjectifs : « mauvaise expérience », « meilleure confidentialité », « grande précision ». Les adjectifs ne coûtent rien. Cet article donne des chiffres — des tarifs relevés sur les pages des éditeurs eux-mêmes et un poids de page mesuré dans un navigateur le jour même de la rédaction.
Deux de ces chiffres nous dérangent. Ils figurent quand même ici, dans une section dédiée, car un comparatif dont l'auteur gagne à chaque ligne ne mérite pas d'être lu.
Le comparatif en chiffres
Informations issues des pages officielles des éditeurs, consultées le 4 octobre 2026 (reCAPTCHA : docs.cloud.google.com/recaptcha/docs/compare-tiers ; hCaptcha : hcaptcha.com/pricing ; Turnstile : developers.cloudflare.com/turnstile/plans/). Elles évoluent : vérifiez la date avant de vous y fier.
| Outil | Prix d'entrée | Offre gratuite | Tâche visible | Où vont les données |
|---|---|---|---|---|
| reCAPTCHA | gratuit, puis 8 $ par mois | 10 000 évaluations par mois | Tâche d'images possible | |
| hCaptcha | gratuit, puis 99 $ par mois (annuel) | Basic, gratuit | Casse-tête visuel ; passif uniquement Pro/Enterprise | non vérifié |
| Turnstile | gratuit | vérifications illimitées | le plus souvent aucune ; case à cocher en cas de risque | Cloudflare (entreprise américaine) |
| SilentShield | gratuit, puis 9 € par mois | 500 requêtes par mois | aucune par défaut ; petit calcul en cas de résultat incertain | Serveurs en Allemagne ; sans CDN avec le point de terminaison UE |
Google reCAPTCHA est gratuit jusqu'à 10 000 évaluations par mois dans son offre Essentials ; vous devez enregistrer un moyen de paiement. Dans l'offre Premium, 10 001 à 100 000 évaluations coûtent 8 $ forfaitaires, puis 1 $ par tranche de 1 000 ; Enterprise vient au-dessus. hCaptcha conserve une offre Basic gratuite ; Pro coûte 99 $ par mois en paiement annuel ou 139 $ au mois, et Enterprise est sur demande. Le mode passif sans tâche visible n'est disponible qu'en Pro et Enterprise. Cloudflare Turnstile est gratuit, avec des vérifications illimitées — l'offre gratuite limite les fonctions, pas le trafic : jusqu'à 20 widgets, 10 noms d'hôtes par widget, sept jours de statistiques. Il ne nécessite pas de proxy Cloudflare devant votre site. L'offre gratuite de SilentShield couvre 500 requêtes par mois sur un domaine ; Basic coûte 9 € par mois pour 5 000 requêtes, Pro 29 € pour 25 000 requêtes sur cinq domaines.
Ce que chacun charge réellement dans votre page
Le prix n'est que la moitié du coût. L'autre moitié arrive dans le navigateur de votre visiteur, et elle est rarement publiée. Nous l'avons donc mesurée : Chromium, un profil neuf, la page de démonstration de chaque éditeur, et la taille transférée de chaque requête vers cet éditeur — compressée, telle qu'elle circule. Mesure du 4 septembre 2026.
| Outil | Chargé depuis l'éditeur | dont JavaScript |
|---|---|---|
| Turnstile | 27,5 Ko | 27,5 Ko |
| SilentShield | 48,9 Ko | 48,9 Ko |
| reCAPTCHA (v2, case à cocher) | 423 Ko | 346 Ko |
| hCaptcha | 742 Ko | 544 Ko |
L'écart est plus grand que ne le laissent penser les pages des éditeurs. Le api.js de reCAPTCHA est un amorceur de 1 Ko ; le fichier qu'il appelle, recaptcha__en.js, pèse à lui seul 345 Ko compressés. La variante invisible v3 charge le même script central — sa page de démonstration atteint 459 Ko. « Invisible » ne veut donc pas dire « léger ». La démonstration de hCaptcha a transféré 742 Ko, pour l'essentiel deux paquets venus de newassets.hcaptcha.com.
Lisez cela honnêtement : Turnstile est le plus léger des quatre, et l'écart avec nous est net. Nous arrivons deuxièmes, à 48,9 Ko — 45,0 Ko pour le module comportemental et un chargeur de 3,9 Ko (nouvelle mesure du 23 septembre 2026). Face à reCAPTCHA et hCaptcha, l'écart s'inverse, d'un facteur d'environ neuf et quinze.
Google reCAPTCHA : le géant historique
reCAPTCHA fait deux choses bien : une détection adossée aux données de Google, et une diffusion si large que personne n'a besoin de l'expliquer à un client. C'est sur l'expérience qu'il s'effondre. Les casse-têtes visuels créent des frictions, l'usage mobile est pénible, et les visiteurs abandonnent avant la fin du formulaire.
Vient ensuite le chemin des données. reCAPTCHA charge des scripts Google dans votre page et envoie le résultat vers l'infrastructure de Google. Depuis le 2 avril 2026, Google agit pour ce service en tant que sous-traitant selon sa propre FAQ (docs.cloud.google.com/recaptcha/docs/faq). Savoir si vous pouvez le charger sans consentement reste une question d'évaluation juridique, et en pratique le sujet est souvent débattu. Le modèle a vieilli lui aussi : il repose sur défi et réponse, alors que les robots résolvent ces défis avec l'apprentissage automatique censé les attraper.
En résumé : la plus large diffusion, une charge de 423 Ko et un chemin de données vers Google qui demande une évaluation juridique.
hCaptcha : la confidentialité, avec un revers
hCaptcha ne charge aucun script Google et propose une offre Basic gratuite. L'expérience y est celle de reCAPTCHA : mêmes grilles d'images, même agacement, mêmes abandons. Le mode passif sans tâche visible n'est disponible qu'en Pro et Enterprise (hcaptcha.com/pricing).
C'est en outre le plus lourd des quatre dans notre mesure, à 742 Ko.
En résumé : pas de script Google, mais une vérification visible demeure dans l'offre gratuite.
Cloudflare Turnstile : le meilleur de l'ancien monde
Turnstile est celui qui s'est réellement amélioré. Il ne demande de déchiffrer ni images ni textes — en mode Managed, il affiche une case à cocher en cas de risque —, adopte une approche respectueuse de la vie privée, et avec 27,5 Ko il est de loin le plus léger de ce comparatif. Si la question est « quel CAPTCHA », la réponse est Turnstile, et cet article ne prétendra pas le contraire.
Deux choses à savoir. En cas de doute, il interroge le visiteur — détecter, douter, demander —, donc un mauvais jour, un vrai client est brièvement retenu ; c'est aussi vrai chez nous, à ceci près que nous affichons un petit calcul. Et Cloudflare est une entreprise américaine — pas équivalente à un fournisseur établi dans l'UE.
En résumé : le meilleur CAPTCHA — et toujours un CAPTCHA.
Le problème de fond : les systèmes à défis ont fait leur temps
- Énigmes textuellesCaractères déformés, saisis à la main
- Énigmes visuellesFeux, passages piétons, bus
- Score avec repliDiscret — jusqu'à ce qu'il demande quand même
- Basée sur le comportementVérifié en arrière-plan, sans tâche
Tous trois partagent le même patrimoine : détecter — douter — faire passer un test au visiteur. Ce modèle avait du sens en 2010. En 2026, les robots résolvent les images grâce à l'IA, les humains abandonnent les formulaires quand on les interroge, et le droit de la protection des données demande moins de pistage, pas plus.
Le risque cumule les inconvénients : le trafic automatisé qui compte passe, et une part de vos vrais clients, non.
À quoi ressemble une protection moderne
Dans le cas normal, la génération suivante ne demande rien au visiteur. Elle observe la façon dont le formulaire est réellement rempli — rythme, mouvements, cadence de frappe —, l'évalue en arrière-plan et rend un verdict à l'envoi. Par défaut : pas de casse-tête, pas de cookie, pas d'interruption.
C'est ce que fait SilentShield — par défaut, pas dans tous les cas : lorsque le résultat est incertain, il affiche un petit calcul. C'est pourquoi la colonne « tâche visible » indique ci-dessus « aucune par défaut » et non « aucune ».
L'intégration : le code, concrètement
Une balise de script dans votre page, un appel sur votre serveur. Rien d'autre ne change.
Le widget se place dans la page qui porte le formulaire :
<script src="https://api.silentshield.io/client.js?k=VOTRE_CLE_API" crossorigin="anonymous" defer></script>
Il s'initialise seul, récupère sa configuration (thème, langue, badge) depuis votre tableau de bord et écrit dans votre formulaire un champ nommé behavior_nonce. Votre serveur vérifie ce champ à l'envoi. En PHP :
use SilentShield\Client;
$client = new Client(getenv('SILENTSHIELD_API_KEY'));
if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
http_response_code(403);
exit('Vérification échouée.');
}
// Humain — traiter l'envoi.
En Node :
const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Vérification échouée");
Un détail vaut plus que le reste de cette section : false ne signifie pas toujours « robot ». La vérification est prudente par défaut : elle renvoie aussi false lorsque nous n'avons pas pu répondre du tout — notamment quand votre quota mensuel est épuisé. Les deux SDK vous disent dans quel cas vous êtes (lastFailure() en PHP, reason en Node). S'il s'agit du quota, repliez-vous sur vos propres contrôles plutôt que d'écarter tous vos visiteurs réels jusqu'au premier du mois suivant. Les éditeurs l'écrivent rarement ; c'est pourtant le mode de défaillance qui mord vraiment.
Des SDK existent pour PHP, Node, Go et les environnements edge, ainsi qu'une extension WordPress qui fait les deux étapes pour vous.
Migrer depuis reCAPTCHA : ce qui change, ce qui reste
Le passage est plus simple qu'il n'y paraît, car un CAPTCHA touche exactement trois endroits dans votre code.
Ce qui est remplacé : la balise <script> dans votre page, l'appel serveur à siteverify et le nom du champ — g-recaptcha-response devient behavior_nonce. Ce qui reste : votre formulaire, vos propres validations, votre pot de miel, vos limitations de débit. Une protection anti-robots est une couche, pas un remplacement de ce que vous avez déjà.
Procédez dans cet ordre. Ajoutez le nouveau script pendant que reCAPTCHA tourne encore et comparez les verdicts quelques jours ; vous verrez votre propre trafic au lieu de croire un tableau. Déplacez ensuite la vérification côté serveur. Puis seulement, retirez le script reCAPTCHA et l'entrée Google de votre politique de confidentialité et de votre registre des traitements — c'est cette dernière étape qu'on oublie, et celle qu'une autorité examine.
Là où SilentShield est le choix le plus faible
Trois lignes où nous perdons, dites franchement.
Notre script est plus gros que celui de Turnstile. 48,9 Ko contre 27,5 Ko — nous chargeons de façon asynchrone après le rendu et ne bloquons rien que le visiteur attende ; mais si chaque kilo-octet compte sur votre page, c'est un vrai argument contre nous.
Nous ne sommes pas gratuits en volume. Turnstile ne coûte rien, quelle que soit la taille. Notre offre gratuite s'arrête à 500 requêtes par mois. Si le prix est votre seul critère, nous ne sommes pas la réponse.
Nous sommes plus jeunes. reCAPTCHA tourne depuis plus de dix ans et a vu des schémas d'attaque que nous n'avons pas vus. Ce n'est pas rien, et aucun positionnement n'y change quoi que ce soit.
Ce que ces 9 € achètent, c'est un autre marché : aucun script Google ne se charge, aucun cookie n'est posé, le visiteur ne voit par défaut aucune tâche — seulement un petit calcul lorsque le résultat est incertain — et, avec le point de terminaison UE, la vérification s'effectue directement sur nos serveurs en Allemagne, sans CDN. Si cela vaut plus pour vous que la gratuité, nous sommes le meilleur choix. Sinon, prenez Turnstile — c'est une décision défendable, et cet article ne prétendra pas l'inverse.
Ce que cela signifie pour votre activité
Chaque étape supplémentaire dans un formulaire coûte du chiffre d'affaires, et un test est l'étape la plus chère que vous puissiez ajouter : il tombe au moment précis où quelqu'un a décidé de vous contacter. Formulaires abandonnés, paniers perdus, demandes manquées, et une expérience mobile pire que celle testée au bureau — même Turnstile, le meilleur des trois, ne supprime pas entièrement ce risque, puisqu'il peut toujours décider de demander — et nous aussi, nous demandons lorsque le résultat est incertain, avec un petit calcul.
La question n'est pas de savoir quel CAPTCHA agace le moins vos clients. Elle est de savoir à quel point il est rarement nécessaire de les interroger.
Le verdict
- reCAPTCHA — diffusion maximale, 423 Ko, données vers Google. Pour un site européen, un cas d'évaluation juridique, souvent avec une discussion sur le consentement.
- hCaptcha — pas de script Google, le plus lourd des quatre à 742 Ko, le même casse-tête pour le visiteur dans l'offre gratuite (passif uniquement en Pro/Enterprise).
- Turnstile — le meilleur CAPTCHA : gratuit, 27,5 Ko, discret la plupart du temps. Toujours une entreprise américaine, et toujours un CAPTCHA en dessous.
- SilentShield — aucune tâche par défaut (un petit calcul lorsque le résultat est incertain), aucun cookie, stockage des données sur des serveurs en Allemagne, 48,9 Ko. 9 € par mois dès que vous dépassez 500 requêtes.
Les quatre interrogent le visiteur en cas de doute ; la différence tient à la fréquence et au moyen.
Essayer SilentShield — la protection anti-bots qui reste invisible par défaut