Turnstile vs reCAPTCHA vs hCaptcha: Potpuna usporedba (2026.)

Ovom odlukom vladaju tri alata, a većina usporedbi završava na pridjevima: „loše iskustvo", „bolja privatnost", „visoka točnost". Pridjevi su jeftini. Ovaj članak donosi brojke — cijene očitane na stranicama samih pružatelja i težinu stranice izmjerenu u pregledniku na dan pisanja.

Dvije od tih brojki nama su neugodne. Ipak stoje ovdje, u zasebnom odjeljku, jer usporedba u kojoj autor pobjeđuje u svakom retku nije vrijedna čitanja.

Usporedba u brojkama

Podaci sa službenih stranica pružatelja, preuzeti 4. listopada 2026. (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Mijenjaju se — provjerite datum prije nego što se na njih oslonite.

Google reCAPTCHA besplatna je do 10.000 procjena mjesečno u razini Essentials; morate unijeti sredstvo plaćanja. U razini Premium 10.001 do 100.000 procjena stoji paušalno 8 $, a iznad toga 1 $ za svakih 1.000; uz to postoji Enterprise. hCaptcha zadržava besplatnu razinu Basic; Pro stoji 99 $ mjesečno uz godišnje plaćanje ili 139 $ mjesečno, a Enterprise je dostupan na upit. Pasivni način bez vidljivog zadatka dostupan je samo u razinama Pro i Enterprise. Cloudflare Turnstile besplatan je, s neograničenim provjerama — besplatni paket ograničava funkcije, a ne promet: do 20 widgeta, 10 naziva domaćina po widgetu, sedam dana statistike. Cloudflare proxy ispred vašeg web-mjesta za to nije potreban. Besplatni paket SilentShielda pokriva 500 zahtjeva mjesečno na jednoj domeni; Basic stoji 9 € mjesečno za 5.000 zahtjeva, Pro 29 € za 25.000 zahtjeva na pet domena.

Što svaki od njih doista učitava u vašu stranicu

Cijena je tek polovica troška. Druga polovica stiže u preglednik vašeg posjetitelja i rijetko se objavljuje. Zato smo je izmjerili: Chromium, svjež profil, demonstracijska stranica svakog pružatelja i prenesena veličina svakog zahtjeva upućenog tom pružatelju — sažeta, onakva kakva putuje vezom. Mjereno 4. rujna 2026.

Razlika je veća nego što stranice pružatelja daju naslutiti. api.js kod reCAPTCHA-e pokretač je od 1 KB; datoteka koju zatim povuče, recaptcha__en.js, sama teži 345 KB sažeto. Nevidljiva inačica v3 učitava isti jezgreni skript — njezina demonstracijska stranica došla je do 459 KB. „Nevidljivo" dakle ne znači „lagano". Demonstracija hCaptche prenijela je 742 KB, većinom dva paketa s newassets.hcaptcha.com.

Pročitajte to pošteno: Turnstile je najlakši od četvorice, a razmak do nas je jasan. Mi smo drugi, na 48,9 KB — 45,0 KB modul ponašanja plus učitavač od 3,9 KB (ponovno izmjereno 23. rujna 2026.). Naspram reCAPTCHA-e i hCaptche razmak ide u drugom smjeru, otprilike devet i petnaest puta.

Google reCAPTCHA: naslijeđeni div

reCAPTCHA dobro radi dvije stvari: prepoznavanje oslonjeno na Googleovu količinu podataka i raširenost toliku da je nikome ne treba objašnjavati. Raspada se na iskustvu. Slikovne zagonetke su trenje, na telefonu su muka, a posjetitelji odustaju prije nego što dovrše obrazac.

Zatim je tu put podataka. reCAPTCHA učitava Googleove skripte u vašu stranicu i šalje rezultat u Googleovu infrastrukturu. Od 2. travnja 2026. Google prema vlastitim čestim pitanjima (docs.cloud.google.com/recaptcha/docs/faq) pritom djeluje kao izvršitelj obrade. Smijete li je učitati bez privole, ostaje pitanje pravne procjene, a u praksi se o tome često raspravlja. Ostario je i sam model: počiva na zadatku i odgovoru, dok botovi te zadatke sve češće rješavaju istim strojnim učenjem koje ih treba hvatati.

Ukratko: najšira raširenost, teret od 423 KB i put podataka do Googlea koji zahtijeva pravnu procjenu.

hCaptcha: privatnost s kvakom

hCaptcha ne učitava Googleovu skriptu i nudi besplatnu razinu Basic. Ondje je iskustvo isto kao kod reCAPTCHA-e: iste mreže slika, ista živciranja, isti odustanci. Pasivni način bez vidljivog zadatka dostupan je samo u razinama Pro i Enterprise (hcaptcha.com/pricing).

U našem mjerenju bila je uz to i najteža od četvorice, sa 742 KB.

Ukratko: bez Googleove skripte, ali u besplatnoj razini i dalje vidljiva provjera.

Cloudflare Turnstile: najbolje iz starog svijeta

Turnstile je onaj koji se doista popravio. Ne traži odgonetavanje slika ni teksta — u načinu Managed pri riziku prikazuje potvrdni okvir —, privatnosti pristupa obzirno i s 27,5 KB je s velikom prednošću najlakši u ovoj usporedbi. Ako je pitanje „koji CAPTCHA", odgovor je Turnstile i ovaj se članak neće pretvarati drukčije.

Dvije stvari trebate znati. U sumnji pita posjetitelja — prepoznaj, posumnjaj, pitaj — pa će na loš dan stvarni kupac biti nakratko zadržan; to vrijedi i za nas, samo što mi prikazujemo kratak računski zadatak. A Cloudflare je američka tvrtka — nije isto što i pružatelj sa sjedištem u EU-u.

Ukratko: najbolji CAPTCHA — i dalje CAPTCHA.

Srž problema: sustavi sa zadacima su odslužili

Sva tri dijele isti ustroj: prepoznaj — posumnjaj — neka se posjetitelj dokaže. Taj je model imao smisla 2010. Godine 2026. botovi rješavaju slike uz pomoć UI, ljudi napuštaju obrasce kada ih se ispituje, a pravo zaštite podataka traži manje praćenja, ne više.

Rizik je spoj najgoreg iz oba svijeta: automatizirani promet koji je važan prolazi, a dio vaših stvarnih kupaca ne.

Kako izgleda suvremena zaštita

Sljedeći naraštaj posjetitelja u uobičajenom slučaju ne pita ništa. Promatra kako se obrazac doista ispunjava — vremena, kretanje, ritam tipkanja —, to ocjenjuje u pozadini i pri slanju vraća presudu. Po zadanom: bez zagonetke, bez kolačića, bez prekida.

Upravo to radi SilentShield — po zadanom, ne u svakom slučaju: kad je rezultat nejasan, prikazuje kratak računski zadatak. Zato u stupcu „vidljivi zadatak“ gore stoji „po zadanom nikakav“, a ne „nikakav“.

Ugradnja: kod o kojem je riječ

Jedna skriptna oznaka u vašoj stranici, jedan poziv na vašem poslužitelju. Ništa se drugo ne mijenja.

Widget ide u stranicu koja nosi obrazac:

<script src="https://api.silentshield.io/client.js?k=VAS_API_KLJUC" crossorigin="anonymous" defer></script>

Pokreće se sam, svoje postavke (izgled, jezik, oznaku) povlači s vaše nadzorne ploče i u obrazac upisuje polje naziva behavior_nonce. Vaš poslužitelj to polje provjerava pri slanju. U PHP-u:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Provjera nije uspjela.');
}
// Covjek — obradi slanje.

U Nodeu:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Provjera nije uspjela");

Jedan detalj vrijedi više od ostatka ovog odjeljka: false ne znači uvijek „bot". Provjera je u sumnji odbijajuća, pa vraća false i onda kada uopće nismo mogli odgovoriti — među ostalim kada je vaša mjesečna kvota potrošena. Oba SDK-a govore vam o kojem je slučaju riječ (lastFailure() u PHP-u, reason u Nodeu). Ako je riječ o kvoti, oslonite se na vlastite provjere umjesto da do prvoga dana sljedećeg mjeseca odbijate svakog stvarnog posjetitelja. Pružatelji to rijetko zapisuju; a upravo taj kvar doista grize.

Postoje SDK-ovi za PHP, Node, Go i rubna okruženja, uz dodatak za WordPress koji oba koraka odradi umjesto vas.

Prelazak s reCAPTCHA-e: što se mijenja, što ostaje

Prijelaz je manji nego što se čini, jer CAPTCHA dodiruje točno tri mjesta u vašem kodu.

Što se zamjenjuje: oznaka <script> u vašoj stranici, poslužiteljski poziv siteverify i naziv polja — g-recaptcha-response postaje behavior_nonce. Što ostaje: vaš obrazac, vaše vlastite provjere, vaša zamka za botove, vaša ograničenja učestalosti. Zaštita od botova je sloj, a ne zamjena za ono što već imate.

Idite ovim redom. Dodajte novu skriptu dok reCAPTCHA još radi i nekoliko dana usporedite presude; vidjet ćete vlastiti promet umjesto da vjerujete tablici. Zatim premjestite provjeru na poslužitelju. I tek onda uklonite skriptu reCAPTCHA-e i unos o Googleu iz svoje politike privatnosti i evidencije aktivnosti obrade — upravo taj posljednji korak timovi zaboravljaju i upravo u njega gleda nadzorno tijelo.

Gdje je SilentShield slabiji izbor

Tri retka u kojima gubimo, rečeno otvoreno.

Naša je skripta veća od Turnstileove. 48,9 KB naspram 27,5 KB — učitavamo se asinkrono nakon iscrtavanja i ne blokiramo ništa što posjetitelj čeka; ali ako se na vašoj stranici bori za svaki kilobajt, to je stvaran argument protiv nas.

Nismo besplatni na volumenu. Turnstile ne stoji ništa pri bilo kojoj veličini. Naš besplatni paket završava na 500 zahtjeva mjesečno. Ako je cijena vaš jedini kriterij, nismo odgovor.

Mlađi smo. reCAPTCHA radi više od desetljeća i vidjela je obrasce napada koje mi nismo. To nije sitnica i nikakvo pozicioniranje to ne mijenja.

Ono što za tih 9 € dobivate jest druga razmjena: ne učitava se nijedna Googleova skripta, ne postavlja se nijedan kolačić, posjetitelj po zadanom ne vidi nikakav zadatak — samo kratak računski zadatak kad je rezultat nejasan — a s EU krajnjom točkom provjera se odvija izravno na našim poslužiteljima u Njemačkoj, bez CDN-a. Vrijedi li vam to više od besplatnog, bolji smo izbor. Ako ne vrijedi, uzmite Turnstile — to je obranjiva odluka i ovaj se članak neće pretvarati drukčije.

Što to znači za vaše poslovanje

Svaki dodatni korak u obrascu stoji prihoda, a zadatak je najskuplji korak koji možete dodati: dolazi točno u trenutku kada je netko odlučio obratiti vam se. Napušteni obrasci, prekinute kupnje, izgubljeni upiti i uporaba na telefonu lošija od one koju ste isprobali za stolom — čak ni Turnstile, najbolji od trojice, taj rizik ne uklanja u cijelosti, jer se i dalje može odlučiti pitati — a i mi pitamo kad je rezultat nejasan, kratkim računskim zadatkom.

Pitanje nije koji CAPTCHA najmanje smeta vašim kupcima. Pitanje je koliko ih rijetko uopće treba ispitivati.

Presuda

• reCAPTCHA — najšira raširenost, 423 KB, podaci Googleu. Za web-mjesto u EU slučaj za pravnu procjenu, često uz raspravu o privoli.
• hCaptcha — bez Googleove skripte, sa 742 KB najteža od četvorice, u besplatnoj razini za posjetitelja ista zagonetka (pasivno samo u Pro/Enterprise).
• Turnstile — najbolji CAPTCHA: besplatan, 27,5 KB, uglavnom tih. I dalje američka tvrtka i ispod i dalje CAPTCHA.
• SilentShield — po zadanom bez zadatka (kratak računski zadatak kad je rezultat nejasan), bez kolačića, pohrana podataka na poslužiteljima u Njemačkoj, 48,9 KB. 9 € mjesečno čim prijeđete 500 zahtjeva.

Sva četiri u sumnji pitaju posjetitelja; razlika je u tome koliko često i čime.

Isprobajte SilentShield — zaštitu od botova koja po zadanom ostaje nevidljiva