Turnstile ir reCAPTCHA ir hCaptcha: pilnas palyginimas (2026 m.)

Šį sprendimą valdo trys įrankiai, o dauguma palyginimų baigiasi būdvardžiais: „prastas naudojimas", „geresnė privatumo apsauga", „didelis tikslumas". Būdvardžiai pigūs. Šiame straipsnyje pateikiami skaičiai — kainos, nuskaitytos pačių tiekėjų puslapiuose, ir puslapio svoris, išmatuotas naršyklėje rašymo dieną.

Du iš tų skaičių mums nepatogūs. Vis dėlto jie čia, atskirame skyriuje, nes palyginimas, kuriame autorius laimi kiekvienoje eilutėje, nevertas skaitymo.

Palyginimas skaičiais

Kainos patikrintos 2026 m. rugsėjo 3 d. tiekėjų puslapiuose. Jos keičiasi — prieš jomis pasikliaudami, patikrinkite datą.

Google reCAPTCHA Essentials lygyje nemokama iki 10 000 vertinimų per mėnesį. Virš to Standard kainuoja fiksuotus 8 $ iki 100 000 vertinimų, o toliau pereinate į Enterprise su 0,001 $ už vertinimą. hCaptcha turi nuolat nemokamą Basic lygį; Pro kainuoja 99 $ per mėnesį mokant metams arba 139 $ kas mėnesį, apima 100 000 vertinimų ir ima 0,99 $ už kiekvieną kitą 1 000. Cloudflare Turnstile yra nemokamas be paskelbtos apimties ribos — nemokamas planas riboja funkcijas, o ne srautą: iki 20 valdiklių, 10 pagrindinio kompiuterio vardų vienam valdikliui, septynios dienos statistikos, be pasiekiamumo garantijos ir be taisyklių atskiroms galinėms nuorodoms. Nemokamas SilentShield planas apima 500 užklausų per mėnesį viename domene; Basic kainuoja 9 € per mėnesį už 5 000 užklausų, Pro 29 € už 25 000 užklausų penkiuose domenuose.

Ką kiekvienas jų iš tikrųjų įkelia į jūsų puslapį

Kaina tėra pusė sąnaudų. Kita pusė atkeliauja į jūsų lankytojo naršyklę ir retai skelbiama. Todėl ją išmatavome: Chromium, švarus profilis, kiekvieno tiekėjo demonstracinis puslapis ir kiekvienos tam tiekėjui skirtos užklausos perduotas dydis — suglaudintas, toks, koks keliauja linija. Matuota 2026 m. rugsėjo 4 d.

Skirtumas didesnis, nei leidžia numanyti tiekėjų puslapiai. reCAPTCHA api.js yra 1 KB dydžio paleidiklis; failas, kurį jis paskui parsisiunčia, recaptcha__en.js, vienas sveria 345 KB suglaudintas. Nematomas v3 variantas įkelia tą patį pagrindinį skriptą — jo demonstracinis puslapis pasiekė 459 KB. Taigi „nematomas" nereiškia „lengvas". hCaptcha demonstracija perdavė 742 KB, daugiausia du paketus iš newassets.hcaptcha.com.

Perskaitykite tai sąžiningai: Turnstile yra lengviausias iš keturių, ir atstumas iki mūsų aiškus. Mes antri, apie 47 KB — 42,6 KB elgsenos modulis ir 3,7 KB įkėliklis. Palyginti su reCAPTCHA ir hCaptcha atstumas eina priešinga kryptimi, devynis ir šešiolika kartų.

Google reCAPTCHA: paveldėtas milžinas

reCAPTCHA du dalykus daro gerai: atpažinimą, kuris remiasi Google duomenų kiekiu, ir tokį paplitimą, kurio niekam nereikia aiškinti. Ji subyra ties patirtimi. Paveikslėlių galvosūkiai yra trintis, telefone jie yra kančia, o lankytojai pasitraukia nebaigę formos.

Toliau — duomenų kelias. reCAPTCHA įkelia Google skriptus, seka elgseną tarp svetainių ir siunčia rezultatą į Google infrastruktūrą — todėl kelios Europos priežiūros institucijos ją ginčijo ir todėl paprastai reikia sutikimo, kol ji įsikelia. Svetainei ES tai jau išsprendžia klausimą. Pasenęs ir pats modelis: jis remiasi užduotimi ir atsakymu, kai robotai šias užduotis vis dažniau išsprendžia tuo pačiu mašininiu mokymusi, kuris turėtų juos pagauti.

Trumpai: platausis paplitimas, sunkiausias krovinys ir sunkiausia teisinė padėtis iš keturių.

hCaptcha: privatumas su kabliuku

hCaptcha privatumo požiūriu pozicionuojasi geriau nei Google ir prideda atlygį — jums moka už užduotis, kurias išsprendžia jūsų lankytojai. Naudojimas toks pat kaip reCAPTCHA: tos pačios paveikslėlių lentelės, tas pats erzinimas, tie patys pasitraukimai.

Atlygis viską išduoda. Jūsų lankytojai iš tikrųjų tampa duomenų žymėtojais, o paskata už produkto yra duomenų gamyba, o ne greita forma. Mūsų matavime ji dar ir buvo sunkiausia iš keturių, su 742 KB.

Trumpai: ji pakeičia Google sekimą ir palieka galvosūkį.

Cloudflare Turnstile: geriausia iš senojo pasaulio

Turnstile yra tas, kuris iš tikrųjų pagerėjo. Matomą užduotį jis rodo kur kas rečiau, privatumo atžvilgiu elgiasi atsargiai, o su 27,5 KB yra su dideliu atotrūkiu lengviausias šiame palyginime. Jei klausimas „kuri CAPTCHA", atsakymas yra Turnstile, ir šis straipsnis nesidės kitaip.

Dviejų dalykų jis neišsprendžia. Po apačia jis vis dar remiasi užduotimis — aptik, suabejok ir, esant abejonei, paklausk lankytojo — todėl blogą dieną tikras klientas vis tiek bus sustabdytas. O Cloudflare yra JAV bendrovė: BDAR tikslais geriau nei Google, bet ne tas pat kas tvarkymas, kuris niekada nepalieka ES.

Trumpai: geriausia CAPTCHA — ir vis dar CAPTCHA.

Problemos esmė: užduotimis grįstos sistemos atgyveno

Visos trys turi tą patį paveldą: aptik — suabejok — liepk lankytojui įrodyti. Šis modelis buvo prasmingas 2010 m. 2026 m. robotai sprendžia paveikslėlius su DI, žmonės palieka formas, kai yra apklausiami, o duomenų apsaugos teisė prašo mažiau sekimo, o ne daugiau.

Rezultatas sujungia blogiausia iš abiejų pasaulių: automatinis srautas, kuris svarbus, praeina — o dalis jūsų tikrų klientų ne.

Kaip atrodo šiuolaikinė apsauga

Kita karta lankytojo nieko neklausia. Ji stebi, kaip forma iš tikrųjų pildoma — laikai, judesys, rašymo ritmas —, tai įvertina fone ir pateikia verdiktą siunčiant. Jokio galvosūkio, jokio slapuko, jokio pertraukimo.

Būtent tai daro SilentShield, ir todėl aukščiau stulpelyje „matoma užduotis" nieko nėra: nėra nieko, ką lankytojas matytų, ir nieko, ties kuo jis galėtų suklupti.

Įdiegimas: kodas, apie kurį kalbame

Viena skripto žyma jūsų puslapyje, vienas iškvietimas jūsų serveryje. Daugiau niekas nesikeičia.

Valdiklis dedamas į puslapį, kuriame yra forma:

<script src="https://api.silentshield.io/client.js?k=JUSU_API_RAKTAS" crossorigin="anonymous" defer></script>

Jis pasileidžia pats, savo nustatymus (išvaizdą, kalbą, ženklelį) pasiima iš jūsų valdymo skydo ir įrašo į formą lauką pavadinimu behavior_nonce. Jūsų serveris šį lauką patikrina siunčiant. PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Patikra nepavyko.');
}
// Zmogus — apdorokite pateikima.

Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Patikra nepavyko");

Viena smulkmena verta daugiau nei visa likusi šio skyriaus dalis: false ne visada reiškia „robotą". Patikra abejodama atmeta, todėl false grąžina ir tada, kai apskritai negalėjome atsakyti — be kita ko, kai išnaudota jūsų mėnesio kvota. Abu SDK pasako, su kuriuo atveju susiduriate (lastFailure() PHP, reason Node). Jei tai kvota, remkitės savo pačių patikromis, užuot iki kito mėnesio pirmos dienos atmetę kiekvieną tikrą lankytoją. Tiekėjai tai užrašo retai; o būtent šis gedimas iš tiesų kandžioja.

Yra SDK, skirti PHP, Node, Go ir pakraščio aplinkoms, taip pat WordPress papildinys, kuris abu žingsnius atlieka už jus.

Perėjimas nuo reCAPTCHA: kas keičiasi, kas lieka

Perėjimas mažesnis, nei atrodo, nes CAPTCHA paliečia lygiai tris vietas jūsų kode.

Kas pakeičiama: <script> žyma jūsų puslapyje, serverio iškvietimas į siteverify ir lauko pavadinimas — g-recaptcha-response tampa behavior_nonce. Kas lieka: jūsų forma, jūsų pačių patikros, jūsų medaus puodynė, jūsų dažnio ribos. Apsauga nuo robotų yra sluoksnis, o ne pakaitalas tam, ką jau turite.

Eikite šia tvarka. Įdėkite naują skriptą, kol reCAPTCHA dar veikia, ir kelias dienas palyginkite verdiktus; taip matysite savo srautą, užuot tikėję lentele. Paskui perkelkite serverio pusės patikrą. Ir tik tada pašalinkite reCAPTCHA skriptą bei Google įrašą iš savo privatumo politikos ir tvarkymo veiklos įrašų — būtent šį paskutinį žingsnį komandos pamiršta ir būtent į jį žiūri priežiūros institucija.

Kur SilentShield yra silpnesnis pasirinkimas

Trys eilutės, kuriose pralaimime, pasakytos tiesiai.

Mūsų skriptas didesnis nei Turnstile. 47 KB prieš 27,5 KB — įsikeliame asinchroniškai po atvaizdavimo ir neblokuojame nieko, ko lankytojas laukia; bet jei jūsų puslapyje kovojama dėl kiekvieno kilobaito, tai tikras argumentas prieš mus.

Pagal apimtį mes nemokami nesame. Turnstile nieko nekainuoja esant bet kokiam dydžiui. Mūsų nemokamas planas baigiasi ties 500 užklausų per mėnesį. Jei kaina yra vienintelis jūsų kriterijus, mes nesame atsakymas.

Mes jaunesni. reCAPTCHA veikia daugiau nei dešimtmetį ir matė atakų šablonus, kurių mes nematėme. Tai ne smulkmena, ir joks pozicionavimas to nekeičia.

Tai, ką už tuos 9 € gaunate, yra kitoks mainas: niekas neįkeliama iš JAV tiekėjo, nededamas joks slapukas, jokiam lankytojui nereikia nieko įrodinėti, o vertinimas lieka ES. Jei jums tai vertingiau nei nemokama, mes esame geresnis pasirinkimas. Jei ne — imkite Turnstile; tai apginamas sprendimas, ir šis straipsnis nesidės kitaip.

Ką tai reiškia jūsų verslui

Kiekvienas papildomas žingsnis formoje kainuoja pajamas, o užduotis yra brangiausias žingsnis, kurį galite pridėti: ji ateina būtent tą akimirką, kai kas nors nusprendė su jumis susisiekti. Paliktos formos, nutrūkę pirkimai, prarastos užklausos ir naudojimas telefone, blogesnis nei išbandytas prie stalo — net Turnstile, geriausias iš trijų, šios rizikos visiškai nepašalina, nes vis dar gali nuspręsti paklausti.

Klausimas ne tas, kuri CAPTCHA jūsų klientus erzina mažiausiai. Klausimas — ar jūsų klientus apskritai reikia apklausinėti.

Verdiktas

• reCAPTCHA — plačiausias paplitimas, 423 KB, duomenys į JAV. ES svetainei 2026 m. sunkiai apginama.
• hCaptcha — privatumo srityje geresnė už Google, sunkiausia iš keturių su 742 KB, lankytojui tas pats galvosūkis.
• Turnstile — geriausia CAPTCHA: nemokama, 27,5 KB, dažniausiai tyli. Vis dar JAV bendrovė ir po apačia vis dar CAPTCHA.
• SilentShield — jokios užduoties, jokio slapuko, tvarkymas ES, 47 KB. 9 € per mėnesį, kai tik viršijate 500 užklausų.

Visos trys CAPTCHA turi vieną bendrą ydą: tą dieną, kai jos abejoja, problemą perduoda jūsų klientui.

Išbandykite SilentShield — apsaugą, kurios jūsų lankytojai niekada nemato