Turnstile vs reCAPTCHA vs hCaptcha: volledige vergelijking (2026)

Drie hulpmiddelen beheersen deze keuze, en de meeste vergelijkingen eindigen in bijvoeglijke naamwoorden: „slechte bediening", „betere privacy", „hoge nauwkeurigheid". Bijvoeglijke naamwoorden zijn goedkoop. Dit artikel geeft cijfers: prijzen van de pagina's van de aanbieders zelf en een paginagewicht dat op de dag van schrijven in een browser is gemeten.

Twee van die cijfers zijn ongemakkelijk voor ons. Ze staan hier toch, in een eigen paragraaf, want een vergelijking waarin de auteur elke regel wint, is het lezen niet waard.

De vergelijking in cijfers

Prijzen op 3 september 2026 gecontroleerd op de pagina's van de aanbieders. Ze veranderen: kijk naar de datum voordat u erop vertrouwt.

Google reCAPTCHA is in het Essentials-niveau gratis tot 10.000 beoordelingen per maand. Daarboven kost Standard vast 8 $ tot 100.000 beoordelingen, en daarna gaat u naar Enterprise met 0,001 $ per beoordeling. hCaptcha houdt een permanent gratis Basic-niveau; Pro kost 99 $ per maand bij jaarlijkse betaling of 139 $ per maand, bevat 100.000 beoordelingen en rekent 0,99 $ per volgende 1.000. Cloudflare Turnstile is gratis, zonder gepubliceerde volumegrens — het gratis pakket beperkt functies in plaats van verkeer: tot 20 widgets, 10 hostnamen per widget, zeven dagen statistieken, geen beschikbaarheidsgarantie en geen regels per eindpunt. Het gratis pakket van SilentShield dekt 500 aanvragen per maand op één domein; Basic kost 9 € per maand voor 5.000 aanvragen, Pro 29 € voor 25.000 aanvragen op vijf domeinen.

Wat elk van hen werkelijk in uw pagina laadt

De prijs is maar de helft van de kosten. De andere helft komt aan in de browser van uw bezoeker, en die wordt zelden gepubliceerd. Dus hebben wij die gemeten: Chromium, een vers profiel, de demopagina van elke aanbieder en de overgedragen omvang van elk verzoek aan die aanbieder — gecomprimeerd, zoals het over de lijn gaat. Gemeten op 4 september 2026.

Het verschil is groter dan de pagina's van de aanbieders doen vermoeden. De api.js van reCAPTCHA is een startbestand van 1 KB; het bestand dat het daarna ophaalt, recaptcha__en.js, weegt in zijn eentje 345 KB gecomprimeerd. De onzichtbare variant v3 laadt hetzelfde kernscript — die demopagina kwam op 459 KB. „Onzichtbaar" betekent dus niet „licht". De demo van hCaptcha droeg 742 KB over, grotendeels twee pakketten van newassets.hcaptcha.com.

Lees dit eerlijk: Turnstile is de lichtste van de vier, en het verschil met ons is duidelijk. Wij staan tweede, op ongeveer 47 KB — 42,6 KB voor de gedragsmodule plus 3,7 KB lader. Tegenover reCAPTCHA en hCaptcha loopt het verschil de andere kant op, met een factor negen en zestien.

Google reCAPTCHA: de gevestigde reus

reCAPTCHA doet twee dingen goed: herkenning die op Googles hoeveelheid gegevens rust, en een verspreiding die aan geen enkele klant hoeft te worden uitgelegd. Bij de ervaring gaat het mis. Beeldpuzzels zijn wrijving, op de telefoon zijn ze een kwelling, en bezoekers haken af voordat het formulier af is.

Dan is er het gegevenspad. reCAPTCHA laadt scripts van Google, volgt gedrag over websites heen en stuurt het resultaat naar Googles infrastructuur — daarom hebben meerdere Europese toezichthouders er bezwaar tegen gemaakt, en daarom is er in de regel toestemming nodig voordat het laadt. Voor een site in de EU beslist dat de vraag al. Ook het model is verouderd: het steunt op opgave en antwoord, terwijl bots die opgaven steeds vaker oplossen met hetzelfde machinale leren dat hen zou moeten vangen.

Kort gezegd: de grootste verspreiding, de zwaarste vracht en de moeilijkste juridische positie van de vier.

hCaptcha: privacy, met een addertje

hCaptcha positioneert zich op privacy beter dan Google en biedt daarnaast een vergoeding — u wordt betaald voor de taken die uw bezoekers oplossen. De bediening is die van reCAPTCHA: dezelfde beeldrasters, dezelfde ergernis, dezelfde afhakers.

De vergoeding is het veelzeggende deel. Uw bezoekers worden feitelijk gegevensetiketteerders, en de prikkel achter het product is het maken van gegevens, niet een snel formulier. In onze meting was het bovendien de zwaarste van de vier, met 742 KB.

Kort gezegd: het vervangt Googles volgen en houdt de puzzel.

Cloudflare Turnstile: het beste van de oude wereld

Turnstile is degene die echt beter is geworden. Het toont veel minder vaak een zichtbare taak, gaat privacyvriendelijk te werk en is met 27,5 KB met ruime afstand het lichtste in deze vergelijking. Als de vraag is „welke CAPTCHA", is het antwoord Turnstile, en dit artikel zal niet doen alsof dat anders is.

Twee dingen lost het niet op. Eronder werkt het nog steeds met opgaven — herkennen, twijfelen en bij twijfel de bezoeker vragen — dus op een slechte dag wordt een echte klant nog altijd tegengehouden. En Cloudflare is een Amerikaans bedrijf: voor de AVG beter dan Google, maar niet hetzelfde als verwerking die de EU nooit verlaat.

Kort gezegd: de beste CAPTCHA — en nog altijd een CAPTCHA.

De kern van het probleem: systemen met opgaven zijn achterhaald

Alle drie delen hetzelfde erfgoed: herkennen — twijfelen — de bezoeker laten bewijzen. Dat model was in 2010 logisch. In 2026 lossen bots beeldpuzzels op met AI, breken mensen formulieren af wanneer ze worden ondervraagd, en vraagt het gegevensbeschermingsrecht om minder volgen, niet om meer.

Het resultaat is het slechtste van twee werelden: het geautomatiseerde verkeer dat ertoe doet komt binnen, en een deel van uw echte klanten niet.

Zo ziet moderne botbescherming eruit

De volgende generatie vraagt de bezoeker niets. Zij kijkt hoe het formulier daadwerkelijk wordt ingevuld — tijden, beweging, het ritme van het typen —, beoordeelt dat op de achtergrond en geeft bij het versturen een oordeel. Geen puzzel, geen cookie, geen onderbreking.

Dat is wat SilentShield doet, en daarom staat er in de kolom „zichtbare taak" hierboven niets: er is niets wat een bezoeker ziet en niets waarop hij kan stranden.

De inbouw: de code waar het om gaat

Eén scripttag in uw pagina, één aanroep op uw server. Meer verandert er niet.

De widget komt in de pagina die het formulier draagt:

<script src="https://api.silentshield.io/client.js?k=UW_API_SLEUTEL" crossorigin="anonymous" defer></script>

Hij start zichzelf, haalt zijn instellingen (thema, taal, badge) uit uw dashboard en schrijft een veld met de naam behavior_nonce in uw formulier. Uw server controleert dat veld bij het versturen. In PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Controle mislukt.');
}
// Mens — de inzending verwerken.

In Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Controle mislukt");

Eén detail is meer waard dan de rest van deze paragraaf: false betekent niet altijd „bot". De controle is bij twijfel afwijzend, dus zij antwoordt ook met false wanneer wij helemaal geen antwoord konden geven — onder meer wanneer uw maandquotum op is. Beide SDK's vertellen u in welk geval u zit (lastFailure() in PHP, reason in Node). Is het het quotum, val dan terug op uw eigen controles in plaats van tot de eerste van de volgende maand elke echte bezoeker te weigeren. Aanbieders schrijven dat zelden op; het is de storing die werkelijk bijt.

Er zijn SDK's voor PHP, Node, Go en edge-omgevingen, plus een WordPress-plug-in die beide stappen voor u doet.

Overstappen van reCAPTCHA: wat verandert, wat blijft

De overstap is kleiner dan hij lijkt, want een CAPTCHA raakt precies drie plekken in uw code.

Wat wordt vervangen: de <script>-tag in uw pagina, de serveraanroep naar siteverify en de veldnaam — g-recaptcha-response wordt behavior_nonce. Wat blijft: uw formulier, uw eigen controles, uw honingpot, uw snelheidslimieten. Botbescherming is een laag, geen vervanging van wat u al heeft.

Doe het in deze volgorde. Voeg het nieuwe script toe terwijl reCAPTCHA nog draait en vergelijk de oordelen een paar dagen; dan ziet u uw eigen verkeer in plaats van een tabel te geloven. Verplaats daarna de controle op de server. En pas dan verwijdert u het reCAPTCHA-script en de Google-vermelding uit uw privacyverklaring en uw verwerkingsregister — die laatste stap vergeten teams, en juist daar kijkt een toezichthouder naar.

Waar SilentShield de zwakkere keuze is

Drie regels waarop wij verliezen, ronduit gezegd.

Ons script is groter dan dat van Turnstile. 47 KB tegen 27,5 KB — wij laden asynchroon na de opbouw en blokkeren niets waarop een bezoeker wacht, maar als op uw pagina om elke kilobyte wordt gevochten, is dat een echt argument tegen ons.

Wij zijn niet gratis op volume. Turnstile kost bij elke omvang niets. Ons gratis pakket eindigt bij 500 aanvragen per maand. Als de prijs uw enige maatstaf is, zijn wij niet het antwoord.

Wij zijn jonger. reCAPTCHA draait al meer dan tien jaar en heeft aanvalspatronen gezien die wij niet hebben gezien. Dat is geen kleinigheid, en geen enkele positionering verandert dat.

Wat die 9 € in plaats daarvan koopt, is een andere ruil: er wordt niets van een Amerikaanse aanbieder geladen, er wordt geen cookie gezet, geen bezoeker hoeft iets te bewijzen, en de beoordeling blijft in de EU. Is dat u meer waard dan gratis, dan zijn wij de betere keuze. Zo niet, neem dan Turnstile — dat is een verdedigbare beslissing, en dit artikel zal niet doen alsof dat niet zo is.

Wat dit voor uw bedrijf betekent

Elke extra stap in een formulier kost omzet, en een opgave is de duurste stap die u kunt toevoegen: hij komt precies op het moment waarop iemand heeft besloten contact met u op te nemen. Afgebroken formulieren, verloren bestellingen, gemiste aanvragen en een bediening op de telefoon die slechter is dan die u aan het bureau testte — zelfs Turnstile, de beste van de drie, neemt dat risico niet volledig weg, want het kan nog altijd besluiten te vragen.

De vraag is niet welke CAPTCHA uw klanten het minst ergert. De vraag is of uw klanten überhaupt ondervraagd moeten worden.

Het oordeel

• reCAPTCHA — grootste verspreiding, 423 KB, gegevens naar de VS. Voor een EU-site in 2026 moeilijk te verdedigen.
• hCaptcha — beter dan Google op privacy, met 742 KB de zwaarste van de vier, voor de bezoeker dezelfde puzzel.
• Turnstile — de beste CAPTCHA: gratis, 27,5 KB, meestal stil. Nog steeds een Amerikaans bedrijf en eronder nog steeds een CAPTCHA.
• SilentShield — geen taak, geen cookie, verwerking in de EU, 47 KB. 9 € per maand zodra u 500 aanvragen passeert.

Alle drie de CAPTCHA's delen één fout: op de dag dat zij twijfelen, geven zij het probleem door aan uw klant.

SilentShield proberen — botbescherming die uw bezoekers nooit zien