Turnstile vs reCAPTCHA vs hCaptcha: 완전 비교 (2026)

이 결정을 지배하는 도구는 셋이며, 대부분의 비교는 형용사로 끝납니다. "사용성이 나쁘다", "개인정보 보호가 낫다", "정확도가 높다". 형용사는 값이 쌉니다. 이 글은 숫자를 제시합니다. 가격은 각 공급사 자체 페이지에서 읽은 것이고, 페이지 무게는 글을 쓴 날 브라우저에서 직접 측정한 것입니다.

그 숫자 가운데 둘은 저희에게 불편합니다. 그래도 여기, 별도의 절에 두었습니다. 글쓴이가 모든 행에서 이기는 비교는 읽을 가치가 없기 때문입니다.

숫자로 본 비교

정보는 2026년 10월 4일 각 공급사의 공식 페이지에서 확인했습니다(reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers, hCaptcha: hcaptcha.com/pricing, Turnstile: developers.cloudflare.com/turnstile/plans/). 정보는 바뀌므로, 의지하기 전에 날짜를 확인하십시오.

Google reCAPTCHA는 Essentials 등급에서 월 10,000건 평가까지 무료이며, 결제 수단을 등록해야 합니다. Premium 등급에서는 10,001건부터 10만 건까지 정액 8달러, 그 이상은 1,000건당 1달러이며, 그 위에 Enterprise가 있습니다. hCaptcha는 무료 Basic 등급을 유지합니다. Pro는 연간 결제 시 월 99달러, 월 단위 결제는 139달러이며, Enterprise는 문의 시 제공됩니다. 보이는 과제 없는 패시브 모드는 Pro와 Enterprise에서만 제공됩니다. Cloudflare Turnstile은 검증 횟수 제한 없이 무료입니다. 무료 요금제가 제한하는 것은 트래픽이 아니라 기능입니다. 위젯 최대 20개, 위젯당 호스트 이름 10개, 통계 7일치입니다. 이를 위해 사이트 앞에 Cloudflare 프록시를 둘 필요는 없습니다. SilentShield의 무료 요금제는 도메인 한 개에서 월 500건 요청을 다루며, Basic은 월 9유로에 5,000건, Pro는 월 29유로에 다섯 도메인·25,000건입니다.

각 도구가 실제로 페이지에 불러오는 것

가격은 비용의 절반일 뿐입니다. 나머지 절반은 방문자의 브라우저에 도착하며, 이는 좀처럼 공개되지 않습니다. 그래서 직접 측정했습니다. Chromium, 새 프로필, 각 공급사의 자체 시연 페이지, 그리고 해당 공급사로 향하는 모든 요청의 전송량을 회선을 지나는 압축된 크기로 쟀습니다. 측정일은 2026년 9월 4일입니다.

차이는 공급사 페이지가 짐작하게 하는 것보다 큽니다. reCAPTCHA의 api.js는 1 KB짜리 시동 파일이며, 그다음 불러오는 recaptcha__en.js만으로 압축 후 345 KB입니다. 보이지 않는 v3 역시 같은 핵심 스크립트를 불러오며, 그 시연 페이지는 459 KB에 이르렀습니다. 따라서 "보이지 않는다"가 "가볍다"를 뜻하지는 않습니다. hCaptcha 시연은 742 KB를 전송했고, 대부분은 newassets.hcaptcha.com에서 온 꾸러미 두 개였습니다.

정직하게 읽어 주십시오. 넷 중 가장 가벼운 것은 Turnstile이며, 저희와의 간격은 분명합니다. 저희는 두 번째로 48.9 KB입니다. 행동 분석 모듈 45.0 KB에 3.9 KB의 로더를 더한 값입니다(2026년 9월 23일 재측정). reCAPTCHA와 hCaptcha에 대해서는 간격이 반대 방향으로, 각각 약 아홉 배와 열다섯 배로 벌어집니다.

Google reCAPTCHA: 물려받은 거인

reCAPTCHA가 잘하는 것은 두 가지입니다. Google 규모의 데이터에 기댄 탐지, 그리고 누구에게도 설명할 필요가 없는 보급률입니다. 무너지는 곳은 경험입니다. 이미지 퍼즐은 마찰이고, 휴대전화에서는 고역이며, 방문자는 양식을 마치기 전에 이탈합니다.

다음은 데이터의 경로입니다. reCAPTCHA는 페이지에 Google 스크립트를 불러오고, 결과를 Google 기반 시설로 보냅니다. Google 자체 FAQ(docs.cloud.google.com/recaptcha/docs/faq)에 따르면 2026년 4월 2일부터 Google은 이와 관련해 처리자(processor)로서 활동합니다. 동의 없이 불러와도 되는지는 여전히 법적 검토의 대상이며, 실제로 자주 논의됩니다. 방식 자체도 낡았습니다. 과제와 응답에 기대지만, 봇은 그 과제를 잡아내야 할 바로 그 기계학습으로 풀어냅니다.

요약: 가장 넓은 보급, 423 KB의 짐, 그리고 법적 검토가 필요한 Google로의 데이터 경로입니다.

hCaptcha: 개인정보 보호, 다만 함정이 있음

hCaptcha는 Google 스크립트를 불러오지 않으며 무료 Basic 등급을 제공합니다. 그 등급에서 사용 경험은 reCAPTCHA와 같습니다. 같은 이미지 격자, 같은 짜증, 같은 이탈입니다. 보이는 과제 없는 패시브 모드는 Pro와 Enterprise에서만 제공됩니다(hcaptcha.com/pricing).

게다가 저희 측정에서는 742 KB로 넷 중 가장 무거웠습니다.

요약: Google 스크립트는 없지만, 무료 등급에서는 보이는 검사가 남습니다.

Cloudflare Turnstile: 옛 세계의 최선

정말로 나아진 것은 Turnstile입니다. 해독해야 할 이미지나 텍스트를 요구하지 않고 — Managed 모드에서는 위험을 감지하면 체크박스를 표시합니다 — 개인정보에 조심스럽게 접근하며, 27.5 KB로 이 비교에서 가장 가볍습니다. 질문이 "어느 CAPTCHA인가"라면 답은 Turnstile이며, 이 글은 그렇지 않은 척하지 않습니다.

알아 두셔야 할 것이 둘 있습니다. 의심스러우면 방문자에게 묻습니다. 탐지하고, 의심하고, 묻습니다. 그래서 운 나쁜 날에는 진짜 고객이 잠시 가로막힙니다. 저희도 마찬가지이며, 다만 저희는 짧은 계산 문제를 보여 줍니다. 그리고 Cloudflare는 미국 기업입니다. EU에 소재한 공급사와 같지는 않습니다.

요약: 가장 좋은 CAPTCHA이며, 그래도 CAPTCHA입니다.

문제의 핵심: 과제 방식은 수명을 다했다

셋 모두 같은 유전자를 공유합니다. 탐지하고 — 의심하고 — 방문자에게 증명시킨다. 2010년에는 타당한 모델이었습니다. 2026년에는 봇이 AI로 이미지를 풀고, 사람은 심문받으면 양식을 떠나며, 개인정보 보호법은 더 적은 추적을 요구합니다.

그 위험은 양쪽의 나쁜 면만 남는 것입니다. 문제가 되는 자동 트래픽은 통과하고, 진짜 고객 중 일부는 통과하지 못합니다.

현대적 보호는 어떤 모습인가

다음 세대는 일반적인 경우 방문자에게 아무것도 묻지 않습니다. 양식이 실제로 어떻게 채워지는지 — 시간 간격, 움직임, 타자의 리듬 — 를 배경에서 평가하고, 제출 시점에 판정을 돌려줍니다. 기본적으로 퍼즐도, 쿠키도, 중단도 없습니다.

그것이 SilentShield가 하는 일입니다 — 기본적으로 그렇다는 것이지, 모든 경우에 그런 것은 아닙니다. 결과가 불분명하면 짧은 계산 문제를 보여 줍니다. 그래서 위 표의 "보이는 과제" 칸에는 "없음"이 아니라 "기본적으로 없음"이라고 적혀 있습니다.

도입: 실제 코드

페이지에 스크립트 태그 하나, 서버에 호출 하나. 그 밖에는 바뀌지 않습니다.

위젯은 양식이 있는 페이지에 넣습니다.

<script src="https://api.silentshield.io/client.js?k=YOUR_API_KEY" crossorigin="anonymous" defer></script>

스스로 초기화되어 설정(모양, 언어, 배지)을 대시보드에서 가져오고, 양식에 behavior_nonce라는 필드를 씁니다. 서버는 제출 시 이 필드를 검증합니다. PHP의 경우:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Verification failed.');
}
// 사람 — 제출을 처리합니다.

Node의 경우:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Verification failed");

이 절에서 가장 중요한 것은 한 가지입니다. false가 항상 "봇"을 뜻하지는 않습니다. 검증은 의심스러울 때 거절하도록 설계되어 있어, 아예 답을 줄 수 없었던 경우에도 false를 반환합니다. 월 할당량을 다 쓴 경우도 여기에 포함됩니다. 두 SDK 모두 어떤 경우인지 알려 줍니다(PHP는 lastFailure(), Node는 reason). 할당량 때문이라면 다음 달 1일까지 진짜 방문자를 모두 거절하는 대신 자체 검사로 대체하십시오. 공급사가 문서에 잘 적지 않는 부분이며, 실제로 아픈 곳은 바로 여기입니다.

SDK는 PHP, Node, Go, 엣지 실행 환경용으로 있으며, 두 단계를 대신 처리하는 WordPress 플러그인도 있습니다.

reCAPTCHA에서 옮기기: 무엇이 바뀌고 무엇이 남는가

이전은 보기보다 작은 작업입니다. CAPTCHA가 코드에서 건드리는 곳은 정확히 세 군데이기 때문입니다.

바뀌는 것: 페이지의 <script> 태그, 서버 측 siteverify 호출, 그리고 필드 이름입니다. g-recaptcha-response가 behavior_nonce가 됩니다. 남는 것: 양식, 자체 검증, 허니팟, 속도 제한. 봇 방어는 한 겹의 층이지, 이미 갖춘 것을 대체하는 물건이 아닙니다.

이 순서로 하십시오. reCAPTCHA가 아직 도는 동안 새 스크립트를 넣고 며칠간 판정을 비교하십시오. 표를 믿는 대신 자사의 트래픽을 보게 됩니다. 그다음 서버 측 검증을 옮깁니다. 그리고 그제야 reCAPTCHA 스크립트와 개인정보 처리방침·처리활동 기록에서 Google 항목을 제거하십시오. 마지막 단계야말로 팀이 잊는 곳이고, 감독기관이 들여다보는 곳입니다.

SilentShield가 더 약한 선택인 지점

지고 있는 세 줄을 그대로 적습니다.

저희 스크립트는 Turnstile보다 큽니다. 48.9 KB 대 27.5 KB입니다. 렌더링 이후 비동기로 불러오므로 방문자가 기다리는 것을 막지는 않지만, 페이지에서 1킬로바이트를 다투는 상황이라면 이는 저희에게 불리한 진짜 논거입니다.

사용량 측면에서 무료가 아닙니다. Turnstile은 어떤 규모에서도 비용이 없습니다. 저희 무료 요금제는 월 500건에서 끝납니다. 가격이 유일한 기준이라면 답은 저희가 아닙니다.

저희가 더 젊습니다. reCAPTCHA는 10년 넘게 운영되며 저희가 보지 못한 공격 양상을 보아 왔습니다. 작은 일이 아니며, 어떤 포지셔닝으로도 바뀌지 않습니다.

그 9유로가 사는 것은 다른 거래입니다. Google 스크립트를 불러오지 않고, 쿠키를 심지 않으며, 방문자는 기본적으로 아무 과제도 보지 않습니다 — 결과가 불분명할 때만 짧은 계산 문제가 나옵니다 — 그리고 EU 엔드포인트를 사용하면 검사는 CDN 없이 독일에 있는 저희 서버에서 직접 실행됩니다. 그것이 무료보다 가치 있다면 저희가 더 나은 선택입니다. 아니라면 Turnstile을 쓰십시오. 방어할 수 있는 결정이며, 이 글은 아닌 척하지 않습니다.

이것이 사업에 갖는 의미

양식의 추가 단계는 매출을 깎아내며, 과제는 추가할 수 있는 가장 비싼 단계입니다. 누군가 연락하기로 마음먹은 바로 그 순간에 나타나기 때문입니다. 버려진 양식, 중단된 구매, 놓친 문의, 그리고 책상에서 시험한 것보다 나쁜 휴대전화 경험 — 셋 중 가장 나은 Turnstile조차 이 위험을 완전히 없애지는 못합니다. 여전히 묻기로 결정할 수 있기 때문입니다 — 그리고 저희도 결과가 불분명할 때는 짧은 계산 문제로 묻습니다.

물어야 할 것은 어느 CAPTCHA가 고객을 가장 덜 성가시게 하는가가 아닙니다. 고객을 얼마나 드물게 심문해야 하는가입니다.

결론

• reCAPTCHA — 가장 넓은 보급, 423 KB, 데이터는 Google로. EU 사이트에서는 법적 검토가 필요한 경우이며, 동의에 관한 논의가 뒤따르는 경우가 많습니다.
• hCaptcha — Google 스크립트는 없지만 742 KB로 넷 중 가장 무겁고, 무료 등급에서는 방문자에게 같은 퍼즐입니다(패시브는 Pro/Enterprise만).
• Turnstile — 가장 좋은 CAPTCHA. 무료, 27.5 KB, 대체로 조용합니다. 여전히 미국 기업이고, 밑바탕은 여전히 CAPTCHA입니다.
• SilentShield — 기본적으로 과제 없음(결과가 불분명할 때 짧은 계산 문제), 쿠키 없음, 독일 서버에 데이터 보관, 48.9 KB. 500건을 넘기면 월 9유로입니다.

넷 모두 의심스러울 때는 방문자에게 묻습니다. 차이는 얼마나 자주, 그리고 무엇으로 묻느냐입니다.

SilentShield 사용해 보기 — 기본적으로 보이지 않는 봇 차단