Tre strumenti dominano questa decisione, e la maggior parte dei confronti finisce in aggettivi: «esperienza scadente», «privacy migliore», «alta precisione». Gli aggettivi costano poco. Questo articolo porta numeri: prezzi letti sulle pagine degli stessi fornitori e un peso di pagina misurato nel browser il giorno stesso in cui è stato scritto.
Due di quei numeri sono scomodi per noi. Sono qui lo stesso, in una sezione dedicata, perché un confronto in cui l'autore vince ogni riga non merita di essere letto.
Il confronto in numeri
Prezzi verificati il 3 settembre 2026 sulle pagine dei fornitori. Cambiano: controlli la data prima di farci affidamento.
| Strumento | Prezzo d'ingresso | Piano gratuito | Compito visibile | Dove vanno i dati |
|---|---|---|---|---|
| reCAPTCHA | gratuito, poi 8 $ al mese | 10.000 valutazioni al mese | Rompicapo con immagini | USA |
| hCaptcha | gratuito, poi 99 $ al mese | Basic, gratuito in permanenza | Rompicapo con immagini | misto |
| Turnstile | gratuito | nessun limite pubblicato | di norma nessuno | USA |
| SilentShield | gratuito, poi 9 € al mese | 500 richieste al mese | nessuno | UE |
Google reCAPTCHA è gratuito fino a 10.000 valutazioni al mese nel livello Essentials. Oltre, Standard costa 8 $ forfettari fino a 100.000 valutazioni, e più su si passa a Enterprise con 0,001 $ per valutazione. hCaptcha mantiene un livello Basic gratuito in permanenza; Pro costa 99 $ al mese con pagamento annuale oppure 139 $ mensili, comprende 100.000 valutazioni e addebita 0,99 $ ogni 1.000 aggiuntive. Cloudflare Turnstile è gratuito senza limiti di volume pubblicati: il piano gratuito limita le funzioni, non il traffico — fino a 20 widget, 10 nomi host per widget, sette giorni di statistiche, nessuna garanzia di disponibilità e nessuna regola per singolo endpoint. Il piano gratuito di SilentShield copre 500 richieste al mese su un dominio; Basic costa 9 € al mese per 5.000 richieste, Pro 29 € per 25.000 richieste su cinque domini.
Che cosa carica davvero ciascuno nella sua pagina
Il prezzo è solo metà del costo. L'altra metà arriva nel browser del suo visitatore, e viene pubblicata di rado. Perciò l'abbiamo misurata: Chromium, profilo pulito, la pagina dimostrativa di ogni fornitore e la dimensione trasferita di ogni richiesta diretta a quel fornitore — compressa, così come viaggia. Misurazione del 4 settembre 2026.
| Strumento | Caricato dal fornitore | di cui JavaScript |
|---|---|---|
| Turnstile | 27,5 KB | 27,5 KB |
| SilentShield | 47 KB | 47 KB |
| reCAPTCHA (v2, casella) | 423 KB | 346 KB |
| hCaptcha | 742 KB | 544 KB |
La distanza è maggiore di quanto lascino intendere le pagine dei fornitori. L'api.js di reCAPTCHA è un avviatore da 1 KB; il file che richiama, recaptcha__en.js, pesa da solo 345 KB compressi. La variante invisibile v3 carica lo stesso script principale: la sua pagina dimostrativa è arrivata a 459 KB. «Invisibile» non significa dunque «leggero». La dimostrazione di hCaptcha ha trasferito 742 KB, in gran parte due pacchetti da newassets.hcaptcha.com.
Lo legga con onestà: Turnstile è il più leggero dei quattro, e il distacco su di noi è netto. Siamo secondi, intorno ai 47 KB — 42,6 KB per il modulo comportamentale più 3,7 KB di caricatore. Rispetto a reCAPTCHA e hCaptcha il rapporto si rovescia, di nove e sedici volte.
Google reCAPTCHA: il gigante di ieri
reCAPTCHA fa bene due cose: un riconoscimento sostenuto dalla mole di dati di Google e una diffusione così ampia che non va spiegata a nessun cliente. È sull'esperienza che crolla. I rompicapo con immagini sono attrito, su telefono sono una pena, e i visitatori abbandonano prima di finire il modulo.
Poi c'è il percorso dei dati. reCAPTCHA carica script di Google, segue il comportamento da un sito all'altro e invia il risultato all'infrastruttura di Google: per questo diverse autorità di controllo europee lo hanno contestato e per questo, di regola, serve un consenso prima che venga caricato. Per un sito nell'UE questo decide già la questione. Anche il modello è invecchiato: si regge su sfida e risposta, mentre i bot risolvono quelle sfide con lo stesso apprendimento automatico che dovrebbe fermarli.
In sintesi: la diffusione più ampia, il carico più pesante e la posizione giuridica più difficile dei quattro.
hCaptcha: privacy, con un rovescio
hCaptcha si posiziona meglio di Google sulla privacy e aggiunge una remunerazione: viene pagato per i compiti che risolvono i suoi visitatori. L'esperienza è quella di reCAPTCHA: le stesse griglie di immagini, lo stesso fastidio, gli stessi abbandoni.
La remunerazione è il segnale. I suoi visitatori diventano di fatto etichettatori di dati, e l'incentivo dietro il prodotto è produrre dati, non un modulo veloce. Nella nostra misurazione è inoltre risultato il più pesante dei quattro, con 742 KB.
In sintesi: sostituisce il tracciamento di Google e tiene il rompicapo.
Cloudflare Turnstile: il meglio del vecchio mondo
Turnstile è quello che è davvero migliorato. Mostra molto più di rado un compito visibile, adotta un approccio rispettoso della privacy e, con 27,5 KB, è di gran lunga il più leggero di questo confronto. Se la domanda è «quale CAPTCHA», la risposta è Turnstile, e questo articolo non farà finta del contrario.
Due cose non le risolve. Sotto resta basato su sfide — rilevare, dubitare e, nel dubbio, interrogare il visitatore — quindi in una giornata storta un cliente vero verrà comunque fermato. E Cloudflare è un'azienda statunitense: meglio di Google ai fini del GDPR, ma non la stessa cosa di un trattamento che non lascia mai l'UE.
In sintesi: il miglior CAPTCHA — e pur sempre un CAPTCHA.
Il problema di fondo: i sistemi a sfide sono fuori tempo
- Enigmi testualiCaratteri distorti, digitati a mano
- Enigmi con immaginiSemafori, strisce pedonali, autobus
- Punteggio con ripiegoQuasi sempre silenzioso — finché non chiede
- Basata sul comportamentoVerificato in secondo piano, senza compiti
Tutti e tre condividono lo stesso DNA: rilevare — dubitare — mettere alla prova il visitatore. Quel modello aveva senso nel 2010. Nel 2026 i bot risolvono le immagini con l'IA, le persone abbandonano i moduli quando vengono interrogate, e la normativa sulla protezione dei dati chiede meno tracciamento, non di più.
Il risultato mette insieme il peggio dei due mondi: il traffico automatizzato che conta passa, e una parte dei suoi clienti veri no.
Come si presenta una protezione moderna
La generazione successiva non chiede nulla al visitatore. Osserva come il modulo viene realmente compilato — tempi, movimento, ritmo della digitazione —, lo valuta in secondo piano e restituisce un verdetto all'invio. Nessun rompicapo, nessun cookie, nessuna interruzione.
È ciò che fa SilentShield, ed è il motivo per cui nella colonna «compito visibile» qui sopra non c'è nulla: non c'è niente che il visitatore veda e niente in cui possa sbagliare.
L'integrazione: il codice, in concreto
Un tag di script nella sua pagina, una chiamata sul suo server. Nient'altro cambia.
Il widget va nella pagina che contiene il modulo:
<script src="https://api.silentshield.io/client.js?k=LA_SUA_CHIAVE_API" crossorigin="anonymous" defer></script>
Si avvia da solo, recupera la sua configurazione (tema, lingua, distintivo) dal suo pannello e scrive nel modulo un campo chiamato behavior_nonce. Il suo server verifica quel campo all'invio. In PHP:
use SilentShield\Client;
$client = new Client(getenv('SILENTSHIELD_API_KEY'));
if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
http_response_code(403);
exit('Verifica non riuscita.');
}
// Umano — elaborare l'invio.
In Node:
const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Verifica non riuscita");
Un dettaglio vale più del resto di questa sezione: false non significa sempre «bot». La verifica è prudente per costruzione, quindi restituisce false anche quando non abbiamo potuto rispondere affatto — compreso il caso in cui la sua quota mensile sia esaurita. Entrambi gli SDK le dicono in quale caso si trova (lastFailure() in PHP, reason in Node). Se è la quota, ricada sui suoi controlli invece di respingere ogni visitatore reale fino al primo del mese successivo. I fornitori lo scrivono di rado; è il guasto che morde davvero.
Esistono SDK per PHP, Node, Go e ambienti edge, oltre a un plugin WordPress che esegue entrambi i passaggi al posto suo.
Migrare da reCAPTCHA: che cosa cambia, che cosa resta
Il passaggio è più piccolo di quanto sembri, perché un CAPTCHA tocca esattamente tre punti del suo codice.
Che cosa viene sostituito: il tag <script> nella sua pagina, la chiamata lato server a siteverify e il nome del campo — g-recaptcha-response diventa behavior_nonce. Che cosa resta: il suo modulo, le sue convalide, il suo campo trappola, i suoi limiti di frequenza. La protezione dai bot è uno strato, non un sostituto di ciò che ha già.
Proceda in questo ordine. Aggiunga il nuovo script mentre reCAPTCHA è ancora attivo e confronti i verdetti per qualche giorno: vedrà il suo traffico invece di fidarsi di una tabella. Poi sposti la verifica lato server. E solo allora rimuova lo script di reCAPTCHA e la voce Google dall'informativa privacy e dal registro dei trattamenti: è l'ultimo passo quello che i team dimenticano, ed è quello che un'autorità guarda.
Dove SilentShield è la scelta più debole
Tre righe in cui perdiamo, dette apertamente.
Il nostro script è più grande di quello di Turnstile. 47 KB contro 27,5 KB: carichiamo in modo asincrono dopo il rendering e non blocchiamo nulla che il visitatore stia aspettando, ma se sulla sua pagina si combatte per ogni kilobyte, è un argomento reale contro di noi.
Non siamo gratuiti sul volume. Turnstile non costa nulla a nessuna dimensione. Il nostro piano gratuito finisce a 500 richieste al mese. Se il prezzo è il suo unico criterio, non siamo la risposta.
Siamo più giovani. reCAPTCHA gira da oltre un decennio e ha visto schemi di attacco che noi non abbiamo visto. Non è poca cosa, e nessun posizionamento lo cambia.
Ciò che quei 9 € comprano è un altro scambio: non si carica nulla da un fornitore statunitense, non viene impostato alcun cookie, nessun visitatore deve dimostrare qualcosa e la valutazione resta nell'UE. Se per lei vale più del gratuito, siamo la scelta migliore. Se non vale, prenda Turnstile: è una decisione difendibile, e questo articolo non farà finta del contrario.
Che cosa significa per la sua attività
Ogni passaggio in più in un modulo costa fatturato, e una sfida è il passaggio più caro che possa aggiungere: arriva esattamente nel momento in cui qualcuno ha deciso di contattarla. Moduli abbandonati, acquisti interrotti, richieste perse e un'esperienza su telefono peggiore di quella provata alla scrivania. Perfino Turnstile, il migliore dei tre, non elimina del tutto questo rischio, perché può sempre decidere di chiedere.
La domanda non è quale CAPTCHA infastidisca meno i suoi clienti. La domanda è se i suoi clienti debbano essere interrogati.
Il verdetto
- reCAPTCHA — diffusione massima, 423 KB, dati verso gli USA. Difficile da difendere per un sito UE nel 2026.
- hCaptcha — migliore di Google sulla privacy, il più pesante dei quattro con 742 KB, per il visitatore lo stesso rompicapo.
- Turnstile — il miglior CAPTCHA: gratuito, 27,5 KB, quasi sempre silenzioso. Resta un'azienda statunitense e resta, sotto, un CAPTCHA.
- SilentShield — nessun compito, nessun cookie, trattamento nell'UE, 47 KB. 9 € al mese non appena supera le 500 richieste.
Tutti e tre i CAPTCHA condividono un difetto: il giorno in cui dubitano, passano il problema al suo cliente.
Provare SilentShield — protezione che i suoi visitatori non vedono mai