Turnstile vs reCAPTCHA vs hCaptcha: confronto completo (2026)

Tre strumenti dominano questa decisione, e la maggior parte dei confronti finisce in aggettivi: «esperienza scadente», «privacy migliore», «alta precisione». Gli aggettivi costano poco. Questo articolo porta numeri: prezzi letti sulle pagine degli stessi fornitori e un peso di pagina misurato nel browser il giorno stesso in cui è stato scritto.

Due di quei numeri sono scomodi per noi. Sono qui lo stesso, in una sezione dedicata, perché un confronto in cui l'autore vince ogni riga non merita di essere letto.

Il confronto in numeri

Informazioni tratte dalle pagine ufficiali dei fornitori, consultate il 4 ottobre 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Cambiano: controlli la data prima di farci affidamento.

Google reCAPTCHA è gratuito fino a 10.000 valutazioni al mese nel livello Essentials; è necessario registrare un metodo di pagamento. Nel livello Premium, da 10.001 a 100.000 valutazioni costano 8 $ forfettari, poi 1 $ ogni 1.000; sopra c'è Enterprise. hCaptcha mantiene un livello Basic gratuito; Pro costa 99 $ al mese con pagamento annuale oppure 139 $ mensili, ed Enterprise è su richiesta. La modalità passiva senza compito visibile è disponibile solo in Pro ed Enterprise. Cloudflare Turnstile è gratuito con verifiche illimitate: il piano gratuito limita le funzioni, non il traffico — fino a 20 widget, 10 nomi host per widget, sette giorni di statistiche. Non richiede un proxy Cloudflare davanti al suo sito. Il piano gratuito di SilentShield copre 500 richieste al mese su un dominio; Basic costa 9 € al mese per 5.000 richieste, Pro 29 € per 25.000 richieste su cinque domini.

Che cosa carica davvero ciascuno nella sua pagina

Il prezzo è solo metà del costo. L'altra metà arriva nel browser del suo visitatore, e viene pubblicata di rado. Perciò l'abbiamo misurata: Chromium, profilo pulito, la pagina dimostrativa di ogni fornitore e la dimensione trasferita di ogni richiesta diretta a quel fornitore — compressa, così come viaggia. Misurazione del 4 settembre 2026.

La distanza è maggiore di quanto lascino intendere le pagine dei fornitori. L'api.js di reCAPTCHA è un avviatore da 1 KB; il file che richiama, recaptcha__en.js, pesa da solo 345 KB compressi. La variante invisibile v3 carica lo stesso script principale: la sua pagina dimostrativa è arrivata a 459 KB. «Invisibile» non significa dunque «leggero». La dimostrazione di hCaptcha ha trasferito 742 KB, in gran parte due pacchetti da newassets.hcaptcha.com.

Lo legga con onestà: Turnstile è il più leggero dei quattro, e il distacco su di noi è netto. Siamo secondi, a 48,9 KB — 45,0 KB per il modulo comportamentale più 3,9 KB di caricatore (misurato di nuovo il 23 settembre 2026). Rispetto a reCAPTCHA e hCaptcha il rapporto si rovescia, di circa nove e quindici volte.

Google reCAPTCHA: il gigante di ieri

reCAPTCHA fa bene due cose: un riconoscimento sostenuto dalla mole di dati di Google e una diffusione così ampia che non va spiegata a nessun cliente. È sull'esperienza che crolla. I rompicapo con immagini sono attrito, su telefono sono una pena, e i visitatori abbandonano prima di finire il modulo.

Poi c'è il percorso dei dati. reCAPTCHA carica script di Google nella sua pagina e invia il risultato all'infrastruttura di Google. Dal 2 aprile 2026 Google agisce, secondo le sue stesse FAQ, come responsabile del trattamento (docs.cloud.google.com/recaptcha/docs/faq). Se possa caricarlo senza consenso resta una questione di valutazione legale, e in pratica se ne discute spesso. Anche il modello è invecchiato: si regge su sfida e risposta, mentre i bot risolvono quelle sfide con lo stesso apprendimento automatico che dovrebbe fermarli.

In sintesi: la diffusione più ampia, un carico di 423 KB e un percorso dei dati verso Google che richiede una valutazione legale.

hCaptcha: privacy, con un rovescio

hCaptcha non carica alcuno script di Google e offre un livello Basic gratuito. Lì l'esperienza è quella di reCAPTCHA: le stesse griglie di immagini, lo stesso fastidio, gli stessi abbandoni. La modalità passiva senza compito visibile è disponibile solo in Pro ed Enterprise (hcaptcha.com/pricing).

Nella nostra misurazione è inoltre risultato il più pesante dei quattro, con 742 KB.

In sintesi: nessuno script di Google, ma nel piano gratuito resta una verifica visibile.

Cloudflare Turnstile: il meglio del vecchio mondo

Turnstile è quello che è davvero migliorato. Non chiede immagini o testi da decifrare — in modalità Managed mostra una casella di controllo quando rileva un rischio —, adotta un approccio rispettoso della privacy e, con 27,5 KB, è di gran lunga il più leggero di questo confronto. Se la domanda è «quale CAPTCHA», la risposta è Turnstile, e questo articolo non farà finta del contrario.

Due cose deve saperle. Nel dubbio interroga il visitatore — rilevare, dubitare, chiedere — quindi in una giornata storta un cliente vero viene brevemente trattenuto; lo stesso vale per noi, solo che noi mostriamo un breve calcolo aritmetico. E Cloudflare è un'azienda statunitense — non la stessa cosa di un fornitore con sede nell'UE.

In sintesi: il miglior CAPTCHA — e pur sempre un CAPTCHA.

Il problema di fondo: i sistemi a sfide sono fuori tempo

Tutti e tre condividono lo stesso DNA: rilevare — dubitare — mettere alla prova il visitatore. Quel modello aveva senso nel 2010. Nel 2026 i bot risolvono le immagini con l'IA, le persone abbandonano i moduli quando vengono interrogate, e la normativa sulla protezione dei dati chiede meno tracciamento, non di più.

Il rischio è di mettere insieme il peggio dei due mondi: il traffico automatizzato che conta passa, e una parte dei suoi clienti veri no.

Come si presenta una protezione moderna

La generazione successiva, nel caso normale, non chiede nulla al visitatore. Osserva come il modulo viene realmente compilato — tempi, movimento, ritmo della digitazione —, lo valuta in secondo piano e restituisce un verdetto all'invio. Per impostazione predefinita: nessun rompicapo, nessun cookie, nessuna interruzione.

È ciò che fa SilentShield — per impostazione predefinita, non in ogni caso: quando il risultato non è chiaro, mostra un breve calcolo aritmetico. Per questo nella colonna «compito visibile» qui sopra c'è scritto «nessuno per impostazione predefinita» e non «nessuno».

L'integrazione: il codice, in concreto

Un tag di script nella sua pagina, una chiamata sul suo server. Nient'altro cambia.

Il widget va nella pagina che contiene il modulo:

<script src="https://api.silentshield.io/client.js?k=LA_SUA_CHIAVE_API" crossorigin="anonymous" defer></script>

Si avvia da solo, recupera la sua configurazione (tema, lingua, distintivo) dal suo pannello e scrive nel modulo un campo chiamato behavior_nonce. Il suo server verifica quel campo all'invio. In PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Verifica non riuscita.');
}
// Umano — elaborare l'invio.

In Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Verifica non riuscita");

Un dettaglio vale più del resto di questa sezione: false non significa sempre «bot». La verifica è prudente per costruzione, quindi restituisce false anche quando non abbiamo potuto rispondere affatto — compreso il caso in cui la sua quota mensile sia esaurita. Entrambi gli SDK le dicono in quale caso si trova (lastFailure() in PHP, reason in Node). Se è la quota, ricada sui suoi controlli invece di respingere ogni visitatore reale fino al primo del mese successivo. I fornitori lo scrivono di rado; è il guasto che morde davvero.

Esistono SDK per PHP, Node, Go e ambienti edge, oltre a un plugin WordPress che esegue entrambi i passaggi al posto suo.

Migrare da reCAPTCHA: che cosa cambia, che cosa resta

Il passaggio è più piccolo di quanto sembri, perché un CAPTCHA tocca esattamente tre punti del suo codice.

Che cosa viene sostituito: il tag <script> nella sua pagina, la chiamata lato server a siteverify e il nome del campo — g-recaptcha-response diventa behavior_nonce. Che cosa resta: il suo modulo, le sue convalide, il suo campo trappola, i suoi limiti di frequenza. La protezione dai bot è uno strato, non un sostituto di ciò che ha già.

Proceda in questo ordine. Aggiunga il nuovo script mentre reCAPTCHA è ancora attivo e confronti i verdetti per qualche giorno: vedrà il suo traffico invece di fidarsi di una tabella. Poi sposti la verifica lato server. E solo allora rimuova lo script di reCAPTCHA e la voce Google dall'informativa privacy e dal registro dei trattamenti: è l'ultimo passo quello che i team dimenticano, ed è quello che un'autorità guarda.

Dove SilentShield è la scelta più debole

Tre righe in cui perdiamo, dette apertamente.

Il nostro script è più grande di quello di Turnstile. 48,9 KB contro 27,5 KB: carichiamo in modo asincrono dopo il rendering e non blocchiamo nulla che il visitatore stia aspettando, ma se sulla sua pagina si combatte per ogni kilobyte, è un argomento reale contro di noi.

Non siamo gratuiti sul volume. Turnstile non costa nulla a nessuna dimensione. Il nostro piano gratuito finisce a 500 richieste al mese. Se il prezzo è il suo unico criterio, non siamo la risposta.

Siamo più giovani. reCAPTCHA gira da oltre un decennio e ha visto schemi di attacco che noi non abbiamo visto. Non è poca cosa, e nessun posizionamento lo cambia.

Ciò che quei 9 € comprano è un altro scambio: non si carica alcuno script di Google, non viene impostato alcun cookie, il visitatore non vede alcun compito per impostazione predefinita — solo un breve calcolo aritmetico quando il risultato non è chiaro — e con l'endpoint UE la verifica avviene direttamente sui nostri server in Germania, senza CDN. Se per lei vale più del gratuito, siamo la scelta migliore. Se non vale, prenda Turnstile: è una decisione difendibile, e questo articolo non farà finta del contrario.

Che cosa significa per la sua attività

Ogni passaggio in più in un modulo costa fatturato, e una sfida è il passaggio più caro che possa aggiungere: arriva esattamente nel momento in cui qualcuno ha deciso di contattarla. Moduli abbandonati, acquisti interrotti, richieste perse e un'esperienza su telefono peggiore di quella provata alla scrivania. Perfino Turnstile, il migliore dei tre, non elimina del tutto questo rischio, perché può sempre decidere di chiedere — e anche noi chiediamo quando il risultato non è chiaro, con un breve calcolo aritmetico.

La domanda non è quale CAPTCHA infastidisca meno i suoi clienti. La domanda è quanto raramente i suoi clienti debbano essere interrogati.

Il verdetto

• reCAPTCHA — diffusione massima, 423 KB, dati verso Google. Per un sito UE un caso da sottoporre a valutazione legale, spesso con una discussione sul consenso.
• hCaptcha — nessuno script di Google, il più pesante dei quattro con 742 KB, nel piano gratuito lo stesso rompicapo per il visitatore (passivo solo in Pro/Enterprise).
• Turnstile — il miglior CAPTCHA: gratuito, 27,5 KB, quasi sempre silenzioso. Resta un'azienda statunitense e resta, sotto, un CAPTCHA.
• SilentShield — nessun compito per impostazione predefinita (un breve calcolo aritmetico quando il risultato non è chiaro), nessun cookie, dati conservati su server in Germania, 48,9 KB. 9 € al mese non appena supera le 500 richieste.

Tutti e quattro, nel dubbio, interrogano il visitatore; la differenza sta in quanto spesso e con che cosa.

Provare SilentShield — protezione dai bot che resta invisibile per impostazione predefinita