Turnstile ir reCAPTCHA ir hCaptcha: pilnas palyginimas (2026 m.)

Šį sprendimą valdo trys įrankiai, o dauguma palyginimų baigiasi būdvardžiais: „prastas naudojimas", „geresnė privatumo apsauga", „didelis tikslumas". Būdvardžiai pigūs. Šiame straipsnyje pateikiami skaičiai — kainos, nuskaitytos pačių tiekėjų puslapiuose, ir puslapio svoris, išmatuotas naršyklėje rašymo dieną.

Du iš tų skaičių mums nepatogūs. Vis dėlto jie čia, atskirame skyriuje, nes palyginimas, kuriame autorius laimi kiekvienoje eilutėje, nevertas skaitymo.

Palyginimas skaičiais

Duomenys paimti iš oficialių tiekėjų puslapių, žiūrėta 2026 m. spalio 4 d. (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Jie keičiasi — prieš jais pasikliaudami, patikrinkite datą.

Google reCAPTCHA Essentials lygyje nemokama iki 10 000 vertinimų per mėnesį; turite nurodyti mokėjimo būdą. Premium lygyje nuo 10 001 iki 100 000 vertinimų kainuoja fiksuotus 8 $, toliau — 1 $ už 1 000; virš to yra Enterprise. hCaptcha turi nemokamą Basic lygį; Pro kainuoja 99 $ per mėnesį mokant metams arba 139 $ kas mėnesį, o Enterprise teikiamas pagal užklausą. Pasyvusis režimas be matomos užduoties galimas tik Pro ir Enterprise lygiuose. Cloudflare Turnstile yra nemokamas su neribotu patikrų skaičiumi — nemokamas planas riboja funkcijas, o ne srautą: iki 20 valdiklių, 10 pagrindinio kompiuterio vardų vienam valdikliui, septynios dienos statistikos. Tam nereikia Cloudflare tarpinio serverio prieš jūsų svetainę. Nemokamas SilentShield planas apima 500 užklausų per mėnesį viename domene; Basic kainuoja 9 € per mėnesį už 5 000 užklausų, Pro 29 € už 25 000 užklausų penkiuose domenuose.

Ką kiekvienas jų iš tikrųjų įkelia į jūsų puslapį

Kaina tėra pusė sąnaudų. Kita pusė atkeliauja į jūsų lankytojo naršyklę ir retai skelbiama. Todėl ją išmatavome: Chromium, švarus profilis, kiekvieno tiekėjo demonstracinis puslapis ir kiekvienos tam tiekėjui skirtos užklausos perduotas dydis — suglaudintas, toks, koks keliauja linija. Matuota 2026 m. rugsėjo 4 d.

Skirtumas didesnis, nei leidžia numanyti tiekėjų puslapiai. reCAPTCHA api.js yra 1 KB dydžio paleidiklis; failas, kurį jis paskui parsisiunčia, recaptcha__en.js, vienas sveria 345 KB suglaudintas. Nematomas v3 variantas įkelia tą patį pagrindinį skriptą — jo demonstracinis puslapis pasiekė 459 KB. Taigi „nematomas" nereiškia „lengvas". hCaptcha demonstracija perdavė 742 KB, daugiausia du paketus iš newassets.hcaptcha.com.

Perskaitykite tai sąžiningai: Turnstile yra lengviausias iš keturių, ir atstumas iki mūsų aiškus. Mes antri, 48,9 KB — 45,0 KB elgsenos modulis ir 3,9 KB įkėliklis (pakartotinai išmatuota 2026 m. rugsėjo 23 d.). Palyginti su reCAPTCHA ir hCaptcha atstumas eina priešinga kryptimi, maždaug devynis ir penkiolika kartų.

Google reCAPTCHA: paveldėtas milžinas

reCAPTCHA du dalykus daro gerai: atpažinimą, kuris remiasi Google duomenų kiekiu, ir tokį paplitimą, kurio niekam nereikia aiškinti. Ji subyra ties patirtimi. Paveikslėlių galvosūkiai yra trintis, telefone jie yra kančia, o lankytojai pasitraukia nebaigę formos.

Toliau — duomenų kelias. reCAPTCHA įkelia Google skriptus į jūsų puslapį ir siunčia rezultatą į Google infrastruktūrą. Nuo 2026 m. balandžio 2 d., pasak pačios Google DUK, Google čia veikia kaip duomenų tvarkytojas (docs.cloud.google.com/recaptcha/docs/faq). Ar galite ją įkelti be sutikimo, lieka teisinio įvertinimo klausimas, ir praktikoje dėl to dažnai diskutuojama. Pasenęs ir pats modelis: jis remiasi užduotimi ir atsakymu, kai robotai šias užduotis vis dažniau išsprendžia tuo pačiu mašininiu mokymusi, kuris turėtų juos pagauti.

Trumpai: plačiausias paplitimas, 423 KB krovinys ir duomenų kelias į Google, kuriam reikia teisinio įvertinimo.

hCaptcha: privatumas su kabliuku

hCaptcha neįkelia Google skripto ir siūlo nemokamą Basic lygį. Ten naudojimas toks pat kaip reCAPTCHA: tos pačios paveikslėlių lentelės, tas pats erzinimas, tie patys pasitraukimai. Pasyvusis režimas be matomos užduoties galimas tik Pro ir Enterprise lygiuose (hcaptcha.com/pricing).

Mūsų matavime ji dar ir buvo sunkiausia iš keturių, su 742 KB.

Trumpai: jokio Google skripto, bet nemokamame lygyje lieka matoma patikra.

Cloudflare Turnstile: geriausia iš senojo pasaulio

Turnstile yra tas, kuris iš tikrųjų pagerėjo. Jis nereikalauja iššifruoti jokių vaizdų ar teksto — valdomuoju (Managed) režimu, pastebėjęs riziką, rodo žymimąjį langelį —, privatumo atžvilgiu elgiasi atsargiai, o su 27,5 KB yra su dideliu atotrūkiu lengviausias šiame palyginime. Jei klausimas „kuri CAPTCHA", atsakymas yra Turnstile, ir šis straipsnis nesidės kitaip.

Du dalykus turėtumėte žinoti. Abejodamas jis klausia lankytojo — aptikti, suabejoti, paklausti — todėl blogą dieną tikras klientas trumpam sulaikomas; tas pats galioja ir mums, tik mes parodome trumpą aritmetinę užduotį. O Cloudflare yra JAV bendrovė — ne tas pat kas ES įsisteigęs tiekėjas.

Trumpai: geriausia CAPTCHA — ir vis dar CAPTCHA.

Problemos esmė: užduotimis grįstos sistemos atgyveno

Visos trys turi tą patį paveldą: aptikti — suabejoti — liepti lankytojui įrodyti. Šis modelis buvo prasmingas 2010 m. 2026 m. robotai sprendžia paveikslėlius su DI, žmonės palieka formas, kai yra apklausiami, o duomenų apsaugos teisė prašo mažiau sekimo, o ne daugiau.

Rizika sujungia blogiausia iš abiejų pasaulių: automatinis srautas, kuris svarbus, praeina — o dalis jūsų tikrų klientų ne.

Kaip atrodo šiuolaikinė apsauga

Kita karta įprastu atveju lankytojo nieko neklausia. Ji stebi, kaip forma iš tikrųjų pildoma — laikai, judesys, rašymo ritmas —, tai įvertina fone ir pateikia verdiktą siunčiant. Pagal nutylėjimą jokio galvosūkio, jokio slapuko, jokio pertraukimo.

Būtent tai daro SilentShield — pagal nutylėjimą, o ne kiekvienu atveju: kai rezultatas neaiškus, jis parodo trumpą aritmetinę užduotį. Todėl aukščiau stulpelyje „matoma užduotis“ parašyta „pagal nutylėjimą jokios“, o ne „jokios“.

Įdiegimas: kodas, apie kurį kalbame

Viena skripto žyma jūsų puslapyje, vienas iškvietimas jūsų serveryje. Daugiau niekas nesikeičia.

Valdiklis dedamas į puslapį, kuriame yra forma:

<script src="https://api.silentshield.io/client.js?k=JUSU_API_RAKTAS" crossorigin="anonymous" defer></script>

Jis pasileidžia pats, savo nustatymus (išvaizdą, kalbą, ženklelį) pasiima iš jūsų valdymo skydo ir įrašo į formą lauką pavadinimu behavior_nonce. Jūsų serveris šį lauką patikrina siunčiant. PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Patikra nepavyko.');
}
// Zmogus — apdorokite pateikima.

Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Patikra nepavyko");

Viena smulkmena verta daugiau nei visa likusi šio skyriaus dalis: false ne visada reiškia „robotą". Patikra abejodama atmeta, todėl false grąžina ir tada, kai apskritai negalėjome atsakyti — be kita ko, kai išnaudota jūsų mėnesio kvota. Abu SDK pasako, su kuriuo atveju susiduriate (lastFailure() PHP, reason Node). Jei tai kvota, remkitės savo pačių patikromis, užuot iki kito mėnesio pirmos dienos atmetę kiekvieną tikrą lankytoją. Tiekėjai tai užrašo retai; o būtent šis gedimas iš tiesų kandžioja.

Yra SDK, skirti PHP, Node, Go ir pakraščio aplinkoms, taip pat WordPress papildinys, kuris abu žingsnius atlieka už jus.

Perėjimas nuo reCAPTCHA: kas keičiasi, kas lieka

Perėjimas mažesnis, nei atrodo, nes CAPTCHA paliečia lygiai tris vietas jūsų kode.

Kas pakeičiama: <script> žyma jūsų puslapyje, serverio iškvietimas į siteverify ir lauko pavadinimas — g-recaptcha-response tampa behavior_nonce. Kas lieka: jūsų forma, jūsų pačių patikros, jūsų medaus puodynė, jūsų dažnio ribos. Apsauga nuo robotų yra sluoksnis, o ne pakaitalas tam, ką jau turite.

Eikite šia tvarka. Įdėkite naują skriptą, kol reCAPTCHA dar veikia, ir kelias dienas palyginkite verdiktus; taip matysite savo srautą, užuot tikėję lentele. Paskui perkelkite serverio pusės patikrą. Ir tik tada pašalinkite reCAPTCHA skriptą bei Google įrašą iš savo privatumo politikos ir tvarkymo veiklos įrašų — būtent šį paskutinį žingsnį komandos pamiršta ir būtent į jį žiūri priežiūros institucija.

Kur SilentShield yra silpnesnis pasirinkimas

Trys eilutės, kuriose pralaimime, pasakytos tiesiai.

Mūsų skriptas didesnis nei Turnstile. 48,9 KB prieš 27,5 KB — įsikeliame asinchroniškai po atvaizdavimo ir neblokuojame nieko, ko lankytojas laukia; bet jei jūsų puslapyje kovojama dėl kiekvieno kilobaito, tai tikras argumentas prieš mus.

Pagal apimtį mes nemokami nesame. Turnstile nieko nekainuoja esant bet kokiam dydžiui. Mūsų nemokamas planas baigiasi ties 500 užklausų per mėnesį. Jei kaina yra vienintelis jūsų kriterijus, mes nesame atsakymas.

Mes jaunesni. reCAPTCHA veikia daugiau nei dešimtmetį ir matė atakų šablonus, kurių mes nematėme. Tai ne smulkmena, ir joks pozicionavimas to nekeičia.

Tai, ką už tuos 9 € gaunate, yra kitoks mainas: neįkeliamas joks Google skriptas, nededamas joks slapukas, lankytojas pagal nutylėjimą nemato jokios užduoties — tik trumpą aritmetinę užduotį, kai rezultatas neaiškus, — o su ES galiniu tašku patikra vyksta tiesiogiai mūsų serveriuose Vokietijoje, be CDN. Jei jums tai vertingiau nei nemokama, mes esame geresnis pasirinkimas. Jei ne — imkite Turnstile; tai apginamas sprendimas, ir šis straipsnis nesidės kitaip.

Ką tai reiškia jūsų verslui

Kiekvienas papildomas žingsnis formoje kainuoja pajamas, o užduotis yra brangiausias žingsnis, kurį galite pridėti: ji ateina būtent tą akimirką, kai kas nors nusprendė su jumis susisiekti. Paliktos formos, nutrūkę pirkimai, prarastos užklausos ir naudojimas telefone, blogesnis nei išbandytas prie stalo — net Turnstile, geriausias iš trijų, šios rizikos visiškai nepašalina, nes vis dar gali nuspręsti paklausti — ir mes klausiame, kai rezultatas neaiškus, trumpa aritmetine užduotimi.

Klausimas ne tas, kuri CAPTCHA jūsų klientus erzina mažiausiai. Klausimas — kaip retai jūsų klientus apskritai reikia apklausinėti.

Verdiktas

• reCAPTCHA — plačiausias paplitimas, 423 KB, duomenys į Google. ES svetainei — teisinio įvertinimo atvejis, dažnai su diskusija dėl sutikimo.
• hCaptcha — jokio Google skripto, sunkiausia iš keturių su 742 KB, nemokamame lygyje lankytojui tas pats galvosūkis (pasyvusis tik Pro/Enterprise).
• Turnstile — geriausia CAPTCHA: nemokama, 27,5 KB, dažniausiai tyli. Vis dar JAV bendrovė ir po apačia vis dar CAPTCHA.
• SilentShield — pagal nutylėjimą jokios užduoties (trumpa aritmetinė užduotis, kai rezultatas neaiškus), jokio slapuko, duomenų saugojimas serveriuose Vokietijoje, 48,9 KB. 9 € per mėnesį, kai tik viršijate 500 užklausų.

Visi keturi abejodami klausia lankytojo; skirtumas — kaip dažnai ir kuo.

Išbandykite SilentShield — apsaugą nuo botų, kuri pagal nutylėjimą lieka nematoma