Turnstile vs reCAPTCHA vs hCaptcha: 완전 비교 (2026)

이 결정을 지배하는 도구는 셋이며, 대부분의 비교는 형용사로 끝납니다. "사용성이 나쁘다", "개인정보 보호가 낫다", "정확도가 높다". 형용사는 값이 쌉니다. 이 글은 숫자를 제시합니다. 가격은 각 공급사 자체 페이지에서 읽은 것이고, 페이지 무게는 글을 쓴 날 브라우저에서 직접 측정한 것입니다.

그 숫자 가운데 둘은 저희에게 불편합니다. 그래도 여기, 별도의 절에 두었습니다. 글쓴이가 모든 행에서 이기는 비교는 읽을 가치가 없기 때문입니다.

숫자로 본 비교

가격은 2026년 9월 3일 공급사 페이지에서 확인했습니다. 가격은 바뀌므로, 의지하기 전에 날짜를 확인하십시오.

Google reCAPTCHA는 Essentials 등급에서 월 10,000건 평가까지 무료입니다. 그 이상은 Standard가 10만 건까지 정액 8달러이고, 그 위로는 Enterprise로 넘어가 평가 1건당 0.001달러입니다. hCaptcha는 영구 무료인 Basic 등급을 유지합니다. Pro는 연간 결제 시 월 99달러, 월 단위 결제는 139달러이며, 평가 10만 건을 포함하고 이후 1,000건마다 0.99달러를 부과합니다. Cloudflare Turnstile은 무료이며 공개된 사용량 상한이 없습니다. 무료 요금제가 제한하는 것은 트래픽이 아니라 기능입니다. 위젯 최대 20개, 위젯당 호스트 이름 10개, 통계 7일치, 가용성 보장 없음, 엔드포인트별 규칙 없음입니다. SilentShield의 무료 요금제는 도메인 한 개에서 월 500건 요청을 다루며, Basic은 월 9유로에 5,000건, Pro는 월 29유로에 다섯 도메인·25,000건입니다.

각 도구가 실제로 페이지에 불러오는 것

가격은 비용의 절반일 뿐입니다. 나머지 절반은 방문자의 브라우저에 도착하며, 이는 좀처럼 공개되지 않습니다. 그래서 직접 측정했습니다. Chromium, 새 프로필, 각 공급사의 자체 시연 페이지, 그리고 해당 공급사로 향하는 모든 요청의 전송량을 회선을 지나는 압축된 크기로 쟀습니다. 측정일은 2026년 9월 4일입니다.

차이는 공급사 페이지가 짐작하게 하는 것보다 큽니다. reCAPTCHA의 api.js는 1 KB짜리 시동 파일이며, 그다음 불러오는 recaptcha__en.js만으로 압축 후 345 KB입니다. 보이지 않는 v3 역시 같은 핵심 스크립트를 불러오며, 그 시연 페이지는 459 KB에 이르렀습니다. 따라서 "보이지 않는다"가 "가볍다"를 뜻하지는 않습니다. hCaptcha 시연은 742 KB를 전송했고, 대부분은 newassets.hcaptcha.com에서 온 꾸러미 두 개였습니다.

정직하게 읽어 주십시오. 넷 중 가장 가벼운 것은 Turnstile이며, 저희와의 간격은 분명합니다. 저희는 두 번째로 약 47 KB입니다. 행동 분석 모듈 42.6 KB에 로더 3.7 KB를 더한 값입니다. reCAPTCHA와 hCaptcha에 대해서는 간격이 반대 방향으로, 각각 아홉 배와 열여섯 배로 벌어집니다.

Google reCAPTCHA: 물려받은 거인

reCAPTCHA가 잘하는 것은 두 가지입니다. Google 규모의 데이터에 기댄 탐지, 그리고 누구에게도 설명할 필요가 없는 보급률입니다. 무너지는 곳은 경험입니다. 이미지 퍼즐은 마찰이고, 휴대전화에서는 고역이며, 방문자는 양식을 마치기 전에 이탈합니다.

다음은 데이터의 경로입니다. reCAPTCHA는 Google 스크립트를 불러오고, 사이트를 넘나들며 행동을 추적하고, 결과를 Google 기반 시설로 보냅니다. 여러 유럽 감독기관이 문제를 제기한 이유이자, 보통 불러오기 전에 동의가 필요한 이유입니다. EU 사이트라면 이 한 가지로 이미 결론이 납니다. 방식 자체도 낡았습니다. 과제와 응답에 기대지만, 봇은 그 과제를 잡아내야 할 바로 그 기계학습으로 풀어냅니다.

요약: 가장 넓은 보급, 가장 무거운 짐, 그리고 넷 중 가장 어려운 법적 위치입니다.

hCaptcha: 개인정보 보호, 다만 함정이 있음

hCaptcha는 개인정보 보호에서 Google보다 낫게 자리 잡았고 보상까지 더합니다. 방문자가 푼 과제에 대해 대가를 받는 구조입니다. 사용 경험은 reCAPTCHA와 같습니다. 같은 이미지 격자, 같은 짜증, 같은 이탈입니다.

보상이 본질을 드러냅니다. 방문자는 사실상 데이터 라벨링 작업자가 되고, 제품 뒤의 동기는 빠른 양식이 아니라 데이터 생산입니다. 게다가 저희 측정에서는 742 KB로 넷 중 가장 무거웠습니다.

요약: Google의 추적을 대체하고 퍼즐은 그대로 둡니다.

Cloudflare Turnstile: 옛 세계의 최선

정말로 나아진 것은 Turnstile입니다. 보이는 과제를 훨씬 드물게 띄우고, 개인정보에 조심스럽게 접근하며, 27.5 KB로 이 비교에서 가장 가볍습니다. 질문이 "어느 CAPTCHA인가"라면 답은 Turnstile이며, 이 글은 그렇지 않은 척하지 않습니다.

풀지 못한 것이 둘 있습니다. 밑바탕은 여전히 과제 방식입니다. 탐지하고, 의심하고, 의심스러우면 방문자에게 묻습니다. 그래서 운 나쁜 날에는 진짜 고객이 여전히 가로막힙니다. 그리고 Cloudflare는 미국 기업입니다. GDPR 관점에서 Google보다는 낫지만, EU를 결코 벗어나지 않는 처리와 같지는 않습니다.

요약: 가장 좋은 CAPTCHA이며, 그래도 CAPTCHA입니다.

문제의 핵심: 과제 방식은 수명을 다했다

셋 모두 같은 유전자를 공유합니다. 탐지하고 — 의심하고 — 방문자에게 증명시킨다. 2010년에는 타당한 모델이었습니다. 2026년에는 봇이 AI로 이미지를 풀고, 사람은 심문받으면 양식을 떠나며, 개인정보 보호법은 더 적은 추적을 요구합니다.

그 결과는 양쪽의 나쁜 면만 남습니다. 문제가 되는 자동 트래픽은 통과하고, 진짜 고객 중 일부는 통과하지 못합니다.

현대적 보호는 어떤 모습인가

다음 세대는 방문자에게 아무것도 묻지 않습니다. 양식이 실제로 어떻게 채워지는지 — 시간 간격, 움직임, 타자의 리듬 — 를 배경에서 평가하고, 제출 시점에 판정을 돌려줍니다. 퍼즐도, 쿠키도, 중단도 없습니다.

그것이 SilentShield가 하는 일이며, 위 표의 "보이는 과제" 칸이 비어 있는 이유입니다. 방문자가 볼 것도 없고, 실패할 것도 없습니다.

도입: 실제 코드

페이지에 스크립트 태그 하나, 서버에 호출 하나. 그 밖에는 바뀌지 않습니다.

위젯은 양식이 있는 페이지에 넣습니다.

<script src="https://api.silentshield.io/client.js?k=YOUR_API_KEY" crossorigin="anonymous" defer></script>

스스로 초기화되어 설정(모양, 언어, 배지)을 대시보드에서 가져오고, 양식에 behavior_nonce라는 필드를 씁니다. 서버는 제출 시 이 필드를 검증합니다. PHP의 경우:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Verification failed.');
}
// 사람 — 제출을 처리합니다.

Node의 경우:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Verification failed");

이 절에서 가장 중요한 것은 한 가지입니다. false가 항상 "봇"을 뜻하지는 않습니다. 검증은 의심스러울 때 거절하도록 설계되어 있어, 아예 답을 줄 수 없었던 경우에도 false를 반환합니다. 월 할당량을 다 쓴 경우도 여기에 포함됩니다. 두 SDK 모두 어떤 경우인지 알려 줍니다(PHP는 lastFailure(), Node는 reason). 할당량 때문이라면 다음 달 1일까지 진짜 방문자를 모두 거절하는 대신 자체 검사로 대체하십시오. 공급사가 문서에 잘 적지 않는 부분이며, 실제로 아픈 곳은 바로 여기입니다.

SDK는 PHP, Node, Go, 엣지 실행 환경용으로 있으며, 두 단계를 대신 처리하는 WordPress 플러그인도 있습니다.

reCAPTCHA에서 옮기기: 무엇이 바뀌고 무엇이 남는가

이전은 보기보다 작은 작업입니다. CAPTCHA가 코드에서 건드리는 곳은 정확히 세 군데이기 때문입니다.

바뀌는 것: 페이지의 <script> 태그, 서버 측 siteverify 호출, 그리고 필드 이름입니다. g-recaptcha-response가 behavior_nonce가 됩니다. 남는 것: 양식, 자체 검증, 허니팟, 속도 제한. 봇 방어는 한 겹의 층이지, 이미 갖춘 것을 대체하는 물건이 아닙니다.

이 순서로 하십시오. reCAPTCHA가 아직 도는 동안 새 스크립트를 넣고 며칠간 판정을 비교하십시오. 표를 믿는 대신 자사의 트래픽을 보게 됩니다. 그다음 서버 측 검증을 옮깁니다. 그리고 그제야 reCAPTCHA 스크립트와 개인정보 처리방침·처리활동 기록에서 Google 항목을 제거하십시오. 마지막 단계야말로 팀이 잊는 곳이고, 감독기관이 들여다보는 곳입니다.

SilentShield가 더 약한 선택인 지점

지고 있는 세 줄을 그대로 적습니다.

저희 스크립트는 Turnstile보다 큽니다. 47 KB 대 27.5 KB입니다. 렌더링 이후 비동기로 불러오므로 방문자가 기다리는 것을 막지는 않지만, 페이지에서 1킬로바이트를 다투는 상황이라면 이는 저희에게 불리한 진짜 논거입니다.

사용량 측면에서 무료가 아닙니다. Turnstile은 어떤 규모에서도 비용이 없습니다. 저희 무료 요금제는 월 500건에서 끝납니다. 가격이 유일한 기준이라면 답은 저희가 아닙니다.

저희가 더 젊습니다. reCAPTCHA는 10년 넘게 운영되며 저희가 보지 못한 공격 양상을 보아 왔습니다. 작은 일이 아니며, 어떤 포지셔닝으로도 바뀌지 않습니다.

그 9유로가 사는 것은 다른 거래입니다. 미국 공급사에서 아무것도 불러오지 않고, 쿠키를 심지 않으며, 방문자가 무엇도 증명할 필요가 없고, 판정은 EU에 머뭅니다. 그것이 무료보다 가치 있다면 저희가 더 나은 선택입니다. 아니라면 Turnstile을 쓰십시오. 방어할 수 있는 결정이며, 이 글은 아닌 척하지 않습니다.

이것이 사업에 갖는 의미

양식의 추가 단계는 매출을 깎아내며, 과제는 추가할 수 있는 가장 비싼 단계입니다. 누군가 연락하기로 마음먹은 바로 그 순간에 나타나기 때문입니다. 버려진 양식, 중단된 구매, 놓친 문의, 그리고 책상에서 시험한 것보다 나쁜 휴대전화 경험 — 셋 중 가장 나은 Turnstile조차 이 위험을 완전히 없애지는 못합니다. 여전히 묻기로 결정할 수 있기 때문입니다.

물어야 할 것은 어느 CAPTCHA가 고객을 가장 덜 성가시게 하는가가 아닙니다. 고객을 심문할 필요가 있는가입니다.

결론

• reCAPTCHA — 가장 넓은 보급, 423 KB, 데이터는 미국으로. 2026년 EU 사이트에서는 옹호하기 어렵습니다.
• hCaptcha — 개인정보 보호는 Google보다 낫지만 742 KB로 넷 중 가장 무겁고, 방문자에게는 같은 퍼즐입니다.
• Turnstile — 가장 좋은 CAPTCHA. 무료, 27.5 KB, 대체로 조용합니다. 여전히 미국 기업이고, 밑바탕은 여전히 CAPTCHA입니다.
• SilentShield — 과제 없음, 쿠키 없음, EU 내 처리, 47 KB. 500건을 넘기면 월 9유로입니다.

세 CAPTCHA는 한 가지 결함을 공유합니다. 확신이 서지 않는 날, 그 문제를 고객에게 떠넘깁니다.

SilentShield 사용해 보기 — 방문자가 결코 보지 못하는 보호