Turnstile vs reCAPTCHA vs hCaptcha: Potpuna usporedba (2026.)

Ovom odlukom vladaju tri alata, a većina usporedbi završava na pridjevima: „loše iskustvo", „bolja privatnost", „visoka točnost". Pridjevi su jeftini. Ovaj članak donosi brojke — cijene očitane na stranicama samih pružatelja i težinu stranice izmjerenu u pregledniku na dan pisanja.

Dvije od tih brojki nama su neugodne. Ipak stoje ovdje, u zasebnom odjeljku, jer usporedba u kojoj autor pobjeđuje u svakom retku nije vrijedna čitanja.

Usporedba u brojkama

Cijene provjerene 3. rujna 2026. na stranicama pružatelja. Mijenjaju se — provjerite datum prije nego što se na njih oslonite.

Google reCAPTCHA besplatna je do 10.000 procjena mjesečno u razini Essentials. Iznad toga Standard stoji paušalno 8 $ do 100.000 procjena, a dalje prelazite na Enterprise s 0,001 $ po procjeni. hCaptcha zadržava trajno besplatnu razinu Basic; Pro stoji 99 $ mjesečno uz godišnje plaćanje ili 139 $ mjesečno, uključuje 100.000 procjena i naplaćuje 0,99 $ za svakih sljedećih 1.000. Cloudflare Turnstile besplatan je bez objavljenog ograničenja prometa — besplatni paket ograničava funkcije, a ne promet: do 20 widgeta, 10 naziva domaćina po widgetu, sedam dana statistike, bez jamstva dostupnosti i bez pravila po pojedinoj krajnjoj točki. Besplatni paket SilentShielda pokriva 500 zahtjeva mjesečno na jednoj domeni; Basic stoji 9 € mjesečno za 5.000 zahtjeva, Pro 29 € za 25.000 zahtjeva na pet domena.

Što svaki od njih doista učitava u vašu stranicu

Cijena je tek polovica troška. Druga polovica stiže u preglednik vašeg posjetitelja i rijetko se objavljuje. Zato smo je izmjerili: Chromium, svjež profil, demonstracijska stranica svakog pružatelja i prenesena veličina svakog zahtjeva upućenog tom pružatelju — sažeta, onakva kakva putuje vezom. Mjereno 4. rujna 2026.

Razlika je veća nego što stranice pružatelja daju naslutiti. api.js kod reCAPTCHA-e pokretač je od 1 KB; datoteka koju zatim povuče, recaptcha__en.js, sama teži 345 KB sažeto. Nevidljiva inačica v3 učitava isti jezgreni skript — njezina demonstracijska stranica došla je do 459 KB. „Nevidljivo" dakle ne znači „lagano". Demonstracija hCaptche prenijela je 742 KB, većinom dva paketa s newassets.hcaptcha.com.

Pročitajte to pošteno: Turnstile je najlakši od četvorice, a razmak do nas je jasan. Mi smo drugi, na oko 47 KB — 42,6 KB modul ponašanja plus 3,7 KB učitavač. Naspram reCAPTCHA-e i hCaptche razmak ide u drugom smjeru, devet i šesnaest puta.

Google reCAPTCHA: naslijeđeni div

reCAPTCHA dobro radi dvije stvari: prepoznavanje oslonjeno na Googleovu količinu podataka i raširenost toliku da je nikome ne treba objašnjavati. Raspada se na iskustvu. Slikovne zagonetke su trenje, na telefonu su muka, a posjetitelji odustaju prije nego što dovrše obrazac.

Zatim je tu put podataka. reCAPTCHA učitava Googleove skripte, prati ponašanje kroz web-mjesta i šalje rezultat u Googleovu infrastrukturu — zbog čega su je više europskih nadzornih tijela osporila i zbog čega u pravilu treba privolu prije nego što se učita. Za web-mjesto u EU to samo po sebi rješava pitanje. Ostario je i sam model: počiva na zadatku i odgovoru, dok botovi te zadatke sve češće rješavaju istim strojnim učenjem koje ih treba hvatati.

Ukratko: najšira raširenost, najteži teret i najteži pravni položaj od četvorice.

hCaptcha: privatnost s kvakom

hCaptcha se po pitanju privatnosti postavlja bolje od Googlea i dodaje naknadu — plaćeni ste za zadatke koje riješe vaši posjetitelji. Iskustvo je isto kao kod reCAPTCHA-e: iste mreže slika, ista živciranja, isti odustanci.

Naknada je ono što odaje. Vaši posjetitelji zapravo postaju označivači podataka, a poticaj iza proizvoda jest stvaranje podataka, a ne brz obrazac. U našem mjerenju bila je uz to i najteža od četvorice, sa 742 KB.

Ukratko: zamjenjuje Googleovo praćenje i zadržava zagonetku.

Cloudflare Turnstile: najbolje iz starog svijeta

Turnstile je onaj koji se doista popravio. Vidljivi zadatak pokazuje znatno rjeđe, privatnosti pristupa obzirno i s 27,5 KB je s velikom prednošću najlakši u ovoj usporedbi. Ako je pitanje „koji CAPTCHA", odgovor je Turnstile i ovaj se članak neće pretvarati drukčije.

Dvije stvari ne rješava. Ispod i dalje počiva na zadacima — prepoznaj, posumnjaj i u sumnji pitaj posjetitelja — pa će na loš dan stvarni kupac i dalje biti zaustavljen. A Cloudflare je američka tvrtka: za potrebe GDPR-a bolje od Googlea, ali ne isto što i obrada koja nikada ne napušta EU.

Ukratko: najbolji CAPTCHA — i dalje CAPTCHA.

Srž problema: sustavi sa zadacima su odslužili

Sva tri dijele isti ustroj: prepoznaj — posumnjaj — neka se posjetitelj dokaže. Taj je model imao smisla 2010. Godine 2026. botovi rješavaju slike uz pomoć UI, ljudi napuštaju obrasce kada ih se ispituje, a pravo zaštite podataka traži manje praćenja, ne više.

Ishod spaja najgore iz oba svijeta: automatizirani promet koji je važan prolazi, a dio vaših stvarnih kupaca ne.

Kako izgleda suvremena zaštita

Sljedeći naraštaj posjetitelja ne pita ništa. Promatra kako se obrazac doista ispunjava — vremena, kretanje, ritam tipkanja —, to ocjenjuje u pozadini i pri slanju vraća presudu. Bez zagonetke, bez kolačića, bez prekida.

Upravo to radi SilentShield, i zato u stupcu „vidljivi zadatak" gore ne stoji ništa: nema ničega što bi posjetitelj vidio ni ičega na čemu bi mogao pasti.

Ugradnja: kod o kojem je riječ

Jedna skriptna oznaka u vašoj stranici, jedan poziv na vašem poslužitelju. Ništa se drugo ne mijenja.

Widget ide u stranicu koja nosi obrazac:

<script src="https://api.silentshield.io/client.js?k=VAS_API_KLJUC" crossorigin="anonymous" defer></script>

Pokreće se sam, svoje postavke (izgled, jezik, oznaku) povlači s vaše nadzorne ploče i u obrazac upisuje polje naziva behavior_nonce. Vaš poslužitelj to polje provjerava pri slanju. U PHP-u:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Provjera nije uspjela.');
}
// Covjek — obradi slanje.

U Nodeu:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Provjera nije uspjela");

Jedan detalj vrijedi više od ostatka ovog odjeljka: false ne znači uvijek „bot". Provjera je u sumnji odbijajuća, pa vraća false i onda kada uopće nismo mogli odgovoriti — među ostalim kada je vaša mjesečna kvota potrošena. Oba SDK-a govore vam o kojem je slučaju riječ (lastFailure() u PHP-u, reason u Nodeu). Ako je riječ o kvoti, oslonite se na vlastite provjere umjesto da do prvoga dana sljedećeg mjeseca odbijate svakog stvarnog posjetitelja. Pružatelji to rijetko zapisuju; a upravo taj kvar doista grize.

Postoje SDK-ovi za PHP, Node, Go i rubna okruženja, uz dodatak za WordPress koji oba koraka odradi umjesto vas.

Prelazak s reCAPTCHA-e: što se mijenja, što ostaje

Prijelaz je manji nego što se čini, jer CAPTCHA dodiruje točno tri mjesta u vašem kodu.

Što se zamjenjuje: oznaka <script> u vašoj stranici, poslužiteljski poziv siteverify i naziv polja — g-recaptcha-response postaje behavior_nonce. Što ostaje: vaš obrazac, vaše vlastite provjere, vaša zamka za botove, vaša ograničenja učestalosti. Zaštita od botova je sloj, a ne zamjena za ono što već imate.

Idite ovim redom. Dodajte novu skriptu dok reCAPTCHA još radi i nekoliko dana usporedite presude; vidjet ćete vlastiti promet umjesto da vjerujete tablici. Zatim premjestite provjeru na poslužitelju. I tek onda uklonite skriptu reCAPTCHA-e i unos o Googleu iz svoje politike privatnosti i evidencije aktivnosti obrade — upravo taj posljednji korak timovi zaboravljaju i upravo u njega gleda nadzorno tijelo.

Gdje je SilentShield slabiji izbor

Tri retka u kojima gubimo, rečeno otvoreno.

Naša je skripta veća od Turnstileove. 47 KB naspram 27,5 KB — učitavamo se asinkrono nakon iscrtavanja i ne blokiramo ništa što posjetitelj čeka; ali ako se na vašoj stranici bori za svaki kilobajt, to je stvaran argument protiv nas.

Nismo besplatni na volumenu. Turnstile ne stoji ništa pri bilo kojoj veličini. Naš besplatni paket završava na 500 zahtjeva mjesečno. Ako je cijena vaš jedini kriterij, nismo odgovor.

Mlađi smo. reCAPTCHA radi više od desetljeća i vidjela je obrasce napada koje mi nismo. To nije sitnica i nikakvo pozicioniranje to ne mijenja.

Ono što za tih 9 € dobivate jest druga razmjena: ništa se ne učitava od američkog pružatelja, ne postavlja se nijedan kolačić, nijedan posjetitelj ne mora ništa dokazivati, a procjena ostaje u EU. Vrijedi li vam to više od besplatnog, bolji smo izbor. Ako ne vrijedi, uzmite Turnstile — to je obranjiva odluka i ovaj se članak neće pretvarati drukčije.

Što to znači za vaše poslovanje

Svaki dodatni korak u obrascu stoji prihoda, a zadatak je najskuplji korak koji možete dodati: dolazi točno u trenutku kada je netko odlučio obratiti vam se. Napušteni obrasci, prekinute kupnje, izgubljeni upiti i uporaba na telefonu lošija od one koju ste isprobali za stolom — čak ni Turnstile, najbolji od trojice, taj rizik ne uklanja u cijelosti, jer se i dalje može odlučiti pitati.

Pitanje nije koji CAPTCHA najmanje smeta vašim kupcima. Pitanje je treba li ih uopće ispitivati.

Presuda

• reCAPTCHA — najšira raširenost, 423 KB, podaci u SAD. Za web-mjesto u EU 2026. teško obranjivo.
• hCaptcha — po privatnosti bolja od Googlea, sa 742 KB najteža od četvorice, za posjetitelja ista zagonetka.
• Turnstile — najbolji CAPTCHA: besplatan, 27,5 KB, uglavnom tih. I dalje američka tvrtka i ispod i dalje CAPTCHA.
• SilentShield — bez zadatka, bez kolačića, obrada u EU, 47 KB. 9 € mjesečno čim prijeđete 500 zahtjeva.

Sva tri CAPTCHA dijele istu manu: na dan kada nisu sigurna, problem prosljeđuju vašem kupcu.

Isprobajte SilentShield — zaštitu koju vaši posjetitelji nikad ne vide