Turnstile vs reCAPTCHA vs hCaptcha：完全比較（2026年）

この選択を支配しているのは三つのツールですが、比較記事のほとんどは形容詞で終わります。「使い勝手が悪い」「プライバシーに配慮している」「精度が高い」。形容詞は安価です。本記事が示すのは数字です。価格は各社自身のページから読み取ったもの、ページの重さは執筆当日にブラウザーで実測したものです。

そのうち二つの数字は、私たちにとって都合の悪いものです。それでも独立した節に置いています。書き手がすべての行で勝つ比較は、読む価値がないからです。

数字で見る比較

情報は各社の公式ページから2026年10月4日に取得しました（reCAPTCHA：docs.cloud.google.com/recaptcha/docs/compare-tiers、hCaptcha：hcaptcha.com/pricing、Turnstile：developers.cloudflare.com/turnstile/plans/）。内容は変わりますので、参照される前に日付をご確認ください。

Google reCAPTCHAはEssentialsの段階で月10,000件の判定まで無料ですが、支払い方法の登録が必要です。Premiumの段階では10,001件から10万件まで一律8ドル、それを超えると1,000件ごとに1ドルで、その上にEnterpriseがあります。hCaptchaは無料のBasicを維持しています。Proは年額払いで月99ドル、月払いなら139ドルで、Enterpriseは個別見積もりです。目に見える作業のないパッシブモードはProとEnterpriseのみです。Cloudflare Turnstileは無料で、検証回数に上限はありません。無料枠が制限するのは機能であって流量ではなく、ウィジェットは最大20個、ウィジェットごとのホスト名は10件、分析は7日分です。サイトの前にCloudflareのプロキシを置く必要もありません。SilentShieldの無料枠は1ドメインで月500リクエストを対象とし、Basicは月9ユーロで5,000リクエスト、Proは月29ユーロで5ドメイン・25,000リクエストです。

それぞれが実際にページへ読み込むもの

価格は費用の半分にすぎません。もう半分は訪問者のブラウザーに届くもので、これはめったに公表されません。そこで実測しました。Chromium、新規プロファイル、各社自身のデモページを開き、その事業者宛ての全リクエストの転送量を、回線を流れる圧縮後の大きさで測っています。測定日は2026年9月4日です。

差は各社のページから想像されるよりも大きいものでした。reCAPTCHAの api.js は1 KBの起動用ファイルにすぎず、その後に読み込まれる recaptcha__en.js だけで圧縮後345 KBあります。目に見えないv3も同じ中核スクリプトを読み込み、そのデモページは459 KBに達しました。「見えない」は「軽い」を意味しません。hCaptchaのデモは742 KBを転送し、その大半は newassets.hcaptcha.com からの二つのバンドルでした。

正直に読んでください。 四つのうち最も軽いのはTurnstileであり、私たちとの差は明らかです。私たちは二番目で、48.9 KB — 挙動モジュールが45.0 KB、読み込み用が3.9 KBです（2026年9月23日再測定）。reCAPTCHAとhCaptchaに対しては差が逆向きになり、それぞれ約9倍と約15倍の開きがあります。

Google reCAPTCHA：受け継がれた巨人

reCAPTCHAは二つの点で優れています。Googleの規模のデータに支えられた検知と、誰にも説明する必要がないほどの普及です。崩れるのは体験の側です。画像パズルは摩擦であり、スマートフォンでは苦行で、訪問者はフォームを終える前に離脱します。

次にデータの経路です。reCAPTCHAはページにGoogleのスクリプトを読み込み、その結果をGoogleの基盤へ送ります。Google自身のFAQ（docs.cloud.google.com/recaptcha/docs/faq）によれば、2026年4月2日以降、Googleはその処理者として行動します。同意なしに読み込んでよいかどうかは法的な評価の問題であり続け、実務ではしばしば議論になっています。仕組み自体も古びました。課題と応答に依存する一方で、ボットはそれを捕まえるはずの機械学習を使って、その課題を解いてしまいます。

要点： 四つのうち最も普及し、423 KBの転送量があり、Googleへのデータの経路には法的な評価が必要です。

hCaptcha：プライバシー、ただし裏がある

hCaptchaはGoogleのスクリプトを読み込まず、無料のBasicを提供しています。そこでの使い勝手はreCAPTCHAと同じで、同じ画像の格子、同じ苛立ち、同じ離脱があります。目に見える作業のないパッシブモードはProとEnterpriseのみです（hcaptcha.com/pricing）。

しかも私たちの測定では、742 KBと四つのうち最も重いものでした。

要点： Googleのスクリプトはないものの、無料プランでは目に見えるチェックが残ります。

Cloudflare Turnstile：旧世界の最良

本当に良くなったのはTurnstileです。判読すべき画像や文字を求めることはなく（Managedモードではリスクを検知するとチェックボックスを表示します）、プライバシーへの姿勢も配慮があり、27.5 KBという軽さはこの比較で群を抜いています。「どのCAPTCHAか」という問いであれば、答えはTurnstileです。本記事はそれを否定しません。

知っておくべき点が二つあります。迷ったときは訪問者に尋ねます — 検知し、疑い、尋ねる。したがって運の悪い日には本物の顧客が少しの間止められます。これは私たちも同じで、違いは短い計算問題を表示する点だけです。そしてCloudflareは米国企業です — EUに拠点を置く事業者と同じではありません。

要点： 最良のCAPTCHAであり、それでもCAPTCHAです。

問題の核心：課題を課す仕組みは時代遅れ

三つとも同じ設計思想を共有しています。検知し、疑い、訪問者に証明させる。 2010年には筋の通った考え方でした。2026年にはボットがAIで画像を解き、人は問いただされるとフォームを離れ、データ保護法はより少ない追跡を求めています。

危険は、両方の悪い面が残ることです。問題となる自動化された通信は通り抜け、本物の顧客の一部は通れません。

現代的な保護はどう見えるか

次の世代は、通常は訪問者に何も尋ねません。フォームが実際にどう入力されるか — 間隔、動き、打鍵の律動 — を背後で評価し、送信時に判定を返します。デフォルトでは、パズルもクッキーも中断もありません。

それがSilentShieldの動き方です — ただしデフォルトであって、すべての場合ではありません。結果が不明確なときは短い計算問題を表示します。上の表の「目に見える作業」欄が「なし」ではなく「デフォルトでなし」となっているのはそのためです。

導入：実際のコード

ページにスクリプトタグを一つ、サーバーに呼び出しを一つ。ほかは何も変わりません。

ウィジェットはフォームのあるページに置きます。

<script src="https://api.silentshield.io/client.js?k=YOUR_API_KEY" crossorigin="anonymous" defer></script>

自分で初期化し、設定（見た目、言語、バッジ）を管理画面から取得し、フォームに behavior_nonce という項目を書き込みます。サーバー側では送信時にこの項目を検証します。PHPの場合：

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Verification failed.');
}
// 人間 — 送信内容を処理します。

Nodeの場合：

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Verification failed");

この節の中で最も重要なのは次の一点です。false は常に「ボット」を意味するわけではありません。 検証は疑わしいときに拒否する設計のため、そもそも回答できなかった場合にも false を返します。月次の割り当てを使い切った場合もそこに含まれます。どちらのSDKも、どの場合に当たるかを示します（PHPでは lastFailure()、Nodeでは reason）。割り当てが原因なら、翌月1日まで本物の訪問者をすべて拒否するのではなく、自前の検査に切り替えてください。この失敗の形は文書に書かれることが少なく、そして実際に痛手になるのはここです。

SDKはPHP、Node、Go、エッジ実行環境向けに用意があり、両方の手順を代行するWordPressプラグインもあります。

reCAPTCHAからの移行：変わるもの、残るもの

移行は見た目より小さな作業です。CAPTCHAがコードに触れる箇所はちょうど三つだからです。

置き換わるもの： ページ内の <script> タグ、サーバー側の siteverify 呼び出し、そして項目名です。g-recaptcha-response は behavior_nonce になります。残るもの： フォーム、自前の検証、ハニーポット、レート制限。ボット対策は層であって、既にあるものの代替ではありません。

順序を守ってください。 reCAPTCHAを動かしたまま新しいスクリプトを追加し、数日間、判定を突き合わせます。表を信じるのではなく、自社の通信を見ることになります。次にサーバー側の検証を移します。そして最後にreCAPTCHAのスクリプトと、プライバシーポリシーおよび処理活動の記録からGoogleの記載を削除します。この最後の手順こそ現場が忘れがちで、監督機関が見るところです。

SilentShieldが劣る点

負けている三行を、率直に書きます。

私たちのスクリプトはTurnstileより大きい。 48.9 KB対27.5 KBです。描画後に非同期で読み込むため訪問者を待たせはしませんが、1キロバイトを争うページであれば、これは私たちに不利な本当の論拠です。

量に対して無料ではありません。 Turnstileはどの規模でも無料です。私たちの無料枠は月500リクエストで終わります。価格だけが基準であれば、答えは私たちではありません。

私たちは新しい。 reCAPTCHAは10年以上動き続け、私たちが見ていない攻撃の型を見てきました。これは小さなことではなく、どんな言い回しでも変わりません。

その9ユーロが買うのは別の取引です。Googleのスクリプトは読み込まれず、クッキーは置かれず、訪問者にはデフォルトで何の作業も表示されません — 結果が不明確な場合のみ短い計算問題が出ます — 。そしてEUエンドポイントを使えば、検証はCDNを介さずドイツにある当社のサーバーで直接行われます。それが無料より価値があるなら、私たちの方が良い選択です。そうでないなら、Turnstileをお使いください。それは筋の通った判断であり、本記事はそれを否定しません。

事業にとっての意味

フォームの一手間は売上を削ります。そして課題は、追加できる中で最も高価な一手間です。誰かが問い合わせようと決めた、まさにその瞬間に現れるからです。途中で放棄されるフォーム、離脱する購入、失われる問い合わせ、そして机上で試したものより悪いスマートフォンでの体験 — 三つの中で最良のTurnstileでさえ、この危険を完全には取り除きません。尋ねると判断する余地が残っているからです — そして私たちも、結果が不明確なときは短い計算問題で尋ねます。

問うべきは、どのCAPTCHAが顧客をいちばん苛立たせないか、ではありません。顧客を問いただす必要がどれだけまれにできるか、です。

結論

• reCAPTCHA — 最も普及、423 KB、データはGoogleへ。EU圏のサイトでは法的な評価の対象であり、多くの場合、同意をめぐる議論も伴う。
• hCaptcha — Googleのスクリプトなし、742 KBで四つの中で最も重く、無料プランでは訪問者に同じパズル（パッシブはPro/Enterpriseのみ）。
• Turnstile — 最良のCAPTCHA。無料、27.5 KB、たいていは静か。依然として米国企業であり、内側は依然としてCAPTCHA。
• SilentShield — デフォルトで作業なし（結果が不明確な場合は短い計算問題）、クッキーなし、データはドイツのサーバーで保管、48.9 KB。500リクエストを超えた時点で月9ユーロ。

四つとも、迷ったときは訪問者に尋ねます。違いは、その頻度と、何で尋ねるかです。

SilentShieldを試す — デフォルトで見えないままのボット対策