Turnstile vs reCAPTCHA vs hCaptcha: volledige vergelijking (2026)

Drie hulpmiddelen beheersen deze keuze, en de meeste vergelijkingen eindigen in bijvoeglijke naamwoorden: „slechte bediening", „betere privacy", „hoge nauwkeurigheid". Bijvoeglijke naamwoorden zijn goedkoop. Dit artikel geeft cijfers: prijzen van de pagina's van de aanbieders zelf en een paginagewicht dat op de dag van schrijven in een browser is gemeten.

Twee van die cijfers zijn ongemakkelijk voor ons. Ze staan hier toch, in een eigen paragraaf, want een vergelijking waarin de auteur elke regel wint, is het lezen niet waard.

De vergelijking in cijfers

Gegevens van de officiële pagina's van de aanbieders, geraadpleegd op 4 oktober 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Ze veranderen: kijk naar de datum voordat u erop vertrouwt.

Google reCAPTCHA is in het Essentials-niveau gratis tot 10.000 beoordelingen per maand; u moet wel een betaalmethode toevoegen. In het Premium-niveau kosten 10.001 tot 100.000 beoordelingen vast 8 $, daarna 1 $ per 1.000; Enterprise ligt daarboven. hCaptcha houdt een gratis Basic-niveau; Pro kost 99 $ per maand bij jaarlijkse betaling of 139 $ per maand, en Enterprise is op aanvraag. De passieve modus zonder zichtbare taak is alleen beschikbaar in Pro en Enterprise. Cloudflare Turnstile is gratis met onbeperkte verificaties — het gratis pakket beperkt functies in plaats van verkeer: tot 20 widgets, 10 hostnamen per widget, zeven dagen statistieken. Er hoeft geen Cloudflare-proxy voor uw site te staan. Het gratis pakket van SilentShield dekt 500 aanvragen per maand op één domein; Basic kost 9 € per maand voor 5.000 aanvragen, Pro 29 € voor 25.000 aanvragen op vijf domeinen.

Wat elk van hen werkelijk in uw pagina laadt

De prijs is maar de helft van de kosten. De andere helft komt aan in de browser van uw bezoeker, en die wordt zelden gepubliceerd. Dus hebben wij die gemeten: Chromium, een vers profiel, de demopagina van elke aanbieder en de overgedragen omvang van elk verzoek aan die aanbieder — gecomprimeerd, zoals het over de lijn gaat. Gemeten op 4 september 2026.

Het verschil is groter dan de pagina's van de aanbieders doen vermoeden. De api.js van reCAPTCHA is een startbestand van 1 KB; het bestand dat het daarna ophaalt, recaptcha__en.js, weegt in zijn eentje 345 KB gecomprimeerd. De onzichtbare variant v3 laadt hetzelfde kernscript — die demopagina kwam op 459 KB. „Onzichtbaar" betekent dus niet „licht". De demo van hCaptcha droeg 742 KB over, grotendeels twee pakketten van newassets.hcaptcha.com.

Lees dit eerlijk: Turnstile is de lichtste van de vier, en het verschil met ons is duidelijk. Wij staan tweede, op 48,9 KB — 45,0 KB voor de gedragsmodule plus een lader van 3,9 KB (opnieuw gemeten op 23 september 2026). Tegenover reCAPTCHA en hCaptcha loopt het verschil de andere kant op, met een factor van ongeveer negen en vijftien.

Google reCAPTCHA: de gevestigde reus

reCAPTCHA doet twee dingen goed: herkenning die op Googles hoeveelheid gegevens rust, en een verspreiding die aan geen enkele klant hoeft te worden uitgelegd. Bij de ervaring gaat het mis. Beeldpuzzels zijn wrijving, op de telefoon zijn ze een kwelling, en bezoekers haken af voordat het formulier af is.

Dan is er het gegevenspad. reCAPTCHA laadt scripts van Google in uw pagina en stuurt het resultaat naar Googles infrastructuur. Sinds 2 april 2026 treedt Google daarbij volgens zijn eigen FAQ op als verwerker (docs.cloud.google.com/recaptcha/docs/faq). Of u het zonder toestemming mag laden, blijft een kwestie van juridische beoordeling, en in de praktijk is dat vaak omstreden. Ook het model is verouderd: het steunt op opgave en antwoord, terwijl bots die opgaven steeds vaker oplossen met hetzelfde machinale leren dat hen zou moeten vangen.

Kort gezegd: de grootste verspreiding, een vracht van 423 KB en een gegevenspad naar Google dat een juridische beoordeling vereist.

hCaptcha: privacy, met een addertje

hCaptcha laadt geen Google-script en biedt een gratis Basic-niveau. Daar is de bediening die van reCAPTCHA: dezelfde beeldrasters, dezelfde ergernis, dezelfde afhakers. De passieve modus zonder zichtbare taak is alleen beschikbaar in Pro en Enterprise (hcaptcha.com/pricing).

In onze meting was het bovendien de zwaarste van de vier, met 742 KB.

Kort gezegd: geen Google-script, maar in het gratis niveau blijft een zichtbare controle.

Cloudflare Turnstile: het beste van de oude wereld

Turnstile is degene die echt beter is geworden. Het vraagt niet om afbeeldingen of tekst te ontcijferen — in de beheerde modus toont het een checkbox wanneer het risico ziet —, gaat privacyvriendelijk te werk en is met 27,5 KB met ruime afstand het lichtste in deze vergelijking. Als de vraag is „welke CAPTCHA", is het antwoord Turnstile, en dit artikel zal niet doen alsof dat anders is.

Twee dingen moet u weten. Bij twijfel vraagt het de bezoeker — herkennen, twijfelen, vragen — dus op een slechte dag wordt een echte klant even opgehouden; dat geldt ook voor ons, alleen tonen wij een korte rekenopgave. En Cloudflare is een Amerikaans bedrijf — niet hetzelfde als een aanbieder die in de EU gevestigd is.

Kort gezegd: de beste CAPTCHA — en nog altijd een CAPTCHA.

De kern van het probleem: systemen met opgaven zijn achterhaald

Alle drie delen hetzelfde erfgoed: herkennen — twijfelen — de bezoeker laten bewijzen. Dat model was in 2010 logisch. In 2026 lossen bots beeldpuzzels op met AI, breken mensen formulieren af wanneer ze worden ondervraagd, en vraagt het gegevensbeschermingsrecht om minder volgen, niet om meer.

Het risico is het slechtste van twee werelden: het geautomatiseerde verkeer dat ertoe doet komt binnen, en een deel van uw echte klanten niet.

Zo ziet moderne botbescherming eruit

De volgende generatie vraagt de bezoeker in het normale geval niets. Zij kijkt hoe het formulier daadwerkelijk wordt ingevuld — tijden, beweging, het ritme van het typen —, beoordeelt dat op de achtergrond en geeft bij het versturen een oordeel. Standaard: geen puzzel, geen cookie, geen onderbreking.

Dat is wat SilentShield doet — standaard, niet in elk geval: wanneer het resultaat onduidelijk is, toont het een korte rekenopgave. Daarom staat er in de kolom „zichtbare taak" hierboven „standaard geen" en niet „geen".

De inbouw: de code waar het om gaat

Eén scripttag in uw pagina, één aanroep op uw server. Meer verandert er niet.

De widget komt in de pagina die het formulier draagt:

<script src="https://api.silentshield.io/client.js?k=UW_API_SLEUTEL" crossorigin="anonymous" defer></script>

Hij start zichzelf, haalt zijn instellingen (thema, taal, badge) uit uw dashboard en schrijft een veld met de naam behavior_nonce in uw formulier. Uw server controleert dat veld bij het versturen. In PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Controle mislukt.');
}
// Mens — de inzending verwerken.

In Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Controle mislukt");

Eén detail is meer waard dan de rest van deze paragraaf: false betekent niet altijd „bot". De controle is bij twijfel afwijzend, dus zij antwoordt ook met false wanneer wij helemaal geen antwoord konden geven — onder meer wanneer uw maandquotum op is. Beide SDK's vertellen u in welk geval u zit (lastFailure() in PHP, reason in Node). Is het het quotum, val dan terug op uw eigen controles in plaats van tot de eerste van de volgende maand elke echte bezoeker te weigeren. Aanbieders schrijven dat zelden op; het is de storing die werkelijk bijt.

Er zijn SDK's voor PHP, Node, Go en edge-omgevingen, plus een WordPress-plug-in die beide stappen voor u doet.

Overstappen van reCAPTCHA: wat verandert, wat blijft

De overstap is kleiner dan hij lijkt, want een CAPTCHA raakt precies drie plekken in uw code.

Wat wordt vervangen: de <script>-tag in uw pagina, de serveraanroep naar siteverify en de veldnaam — g-recaptcha-response wordt behavior_nonce. Wat blijft: uw formulier, uw eigen controles, uw honingpot, uw snelheidslimieten. Botbescherming is een laag, geen vervanging van wat u al heeft.

Doe het in deze volgorde. Voeg het nieuwe script toe terwijl reCAPTCHA nog draait en vergelijk de oordelen een paar dagen; dan ziet u uw eigen verkeer in plaats van een tabel te geloven. Verplaats daarna de controle op de server. En pas dan verwijdert u het reCAPTCHA-script en de Google-vermelding uit uw privacyverklaring en uw verwerkingsregister — die laatste stap vergeten teams, en juist daar kijkt een toezichthouder naar.

Waar SilentShield de zwakkere keuze is

Drie regels waarop wij verliezen, ronduit gezegd.

Ons script is groter dan dat van Turnstile. 48,9 KB tegen 27,5 KB — wij laden asynchroon na de opbouw en blokkeren niets waarop een bezoeker wacht, maar als op uw pagina om elke kilobyte wordt gevochten, is dat een echt argument tegen ons.

Wij zijn niet gratis op volume. Turnstile kost bij elke omvang niets. Ons gratis pakket eindigt bij 500 aanvragen per maand. Als de prijs uw enige maatstaf is, zijn wij niet het antwoord.

Wij zijn jonger. reCAPTCHA draait al meer dan tien jaar en heeft aanvalspatronen gezien die wij niet hebben gezien. Dat is geen kleinigheid, en geen enkele positionering verandert dat.

Wat die 9 € in plaats daarvan koopt, is een andere ruil: er laadt geen Google-script, er wordt geen cookie gezet, de bezoeker ziet standaard geen taak — alleen een korte rekenopgave wanneer het resultaat onduidelijk is — en met het EU-eindpunt loopt de verificatie rechtstreeks op onze servers in Duitsland, zonder CDN. Is dat u meer waard dan gratis, dan zijn wij de betere keuze. Zo niet, neem dan Turnstile — dat is een verdedigbare beslissing, en dit artikel zal niet doen alsof dat niet zo is.

Wat dit voor uw bedrijf betekent

Elke extra stap in een formulier kost omzet, en een opgave is de duurste stap die u kunt toevoegen: hij komt precies op het moment waarop iemand heeft besloten contact met u op te nemen. Afgebroken formulieren, verloren bestellingen, gemiste aanvragen en een bediening op de telefoon die slechter is dan die u aan het bureau testte — zelfs Turnstile, de beste van de drie, neemt dat risico niet volledig weg, want het kan nog altijd besluiten te vragen — en ook wij vragen wanneer het resultaat onduidelijk is, met een korte rekenopgave.

De vraag is niet welke CAPTCHA uw klanten het minst ergert. De vraag is hoe zelden uw klanten überhaupt ondervraagd moeten worden.

Het oordeel

• reCAPTCHA — grootste verspreiding, 423 KB, gegevens naar Google. Voor een EU-site een zaak voor juridische beoordeling, vaak inclusief een discussie over toestemming.
• hCaptcha — geen Google-script, met 742 KB de zwaarste van de vier, voor de bezoeker in het gratis niveau dezelfde puzzel (passief alleen in Pro/Enterprise).
• Turnstile — de beste CAPTCHA: gratis, 27,5 KB, meestal stil. Nog steeds een Amerikaans bedrijf en eronder nog steeds een CAPTCHA.
• SilentShield — standaard geen taak (een korte rekenopgave wanneer het resultaat onduidelijk is), geen cookie, gegevensopslag op servers in Duitsland, 48,9 KB. 9 € per maand zodra u 500 aanvragen passeert.

Alle vier vragen de bezoeker bij twijfel; het verschil is hoe vaak, en waarmee.

SilentShield proberen — botbescherming die standaard onzichtbaar blijft