Turnstile vs reCAPTCHA vs hCaptcha: pełne porównanie (2026)

Trzy narzędzia dominują w tej decyzji, a większość porównań kończy się na przymiotnikach: „słaba obsługa", „lepsza prywatność", „wysoka skuteczność". Przymiotniki są tanie. Ten artykuł podaje liczby — ceny odczytane ze stron samych dostawców oraz wagę strony zmierzoną w przeglądarce w dniu pisania.

Dwie z tych liczb są dla nas niewygodne. Mimo to znalazły się tutaj, w osobnej sekcji, bo porównanie, w którym autor wygrywa każdy wiersz, nie jest warte czytania.

Porównanie w liczbach

Dane pochodzą z oficjalnych stron dostawców, stan na 4 października 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Zmieniają się — proszę sprawdzić datę, zanim Pan się na nich oprze.

Google reCAPTCHA jest bezpłatna do 10 000 ocen miesięcznie w poziomie Essentials; trzeba przy tym dodać metodę płatności. W poziomie Premium od 10 001 do 100 000 ocen kosztuje ryczałtowo 8 $, potem 1 $ za 1000; powyżej jest Enterprise. hCaptcha utrzymuje bezpłatny poziom Basic; Pro kosztuje 99 $ miesięcznie przy płatności rocznej albo 139 $ miesięcznie, a Enterprise jest dostępny na zapytanie. Tryb pasywny bez widocznego zadania jest dostępny tylko w Pro i Enterprise. Cloudflare Turnstile jest bezpłatna z nieograniczoną liczbą weryfikacji — plan bezpłatny ogranicza funkcje, a nie ruch: do 20 widżetów, 10 nazw hostów na widżet, siedem dni analityki. Nie wymaga proxy Cloudflare przed Pana witryną. Bezpłatny plan SilentShield obejmuje 500 zapytań miesięcznie na jednej domenie; Basic kosztuje 9 € miesięcznie za 5000 zapytań, Pro 29 € za 25 000 zapytań na pięciu domenach.

Co każde z nich naprawdę wczytuje do Pana strony

Cena to tylko połowa kosztu. Druga połowa trafia do przeglądarki Pana odwiedzającego i rzadko bywa publikowana. Zmierzyliśmy ją więc: Chromium, świeży profil, strona demonstracyjna każdego dostawcy i przesłany rozmiar każdego żądania kierowanego do tego dostawcy — skompresowany, tak jak idzie przez łącze. Pomiar z 4 września 2026.

Różnica jest większa, niż sugerują strony dostawców. api.js reCAPTCHA to rozrusznik ważący 1 KB; plik, który następnie pobiera, recaptcha__en.js, waży sam 345 KB po kompresji. Niewidoczny wariant v3 wczytuje ten sam rdzeń — jego strona demonstracyjna dała 459 KB. „Niewidoczny" nie znaczy zatem „lekki". Demonstracja hCaptcha przesłała 742 KB, w większości dwa pakiety z newassets.hcaptcha.com.

Proszę przeczytać to uczciwie: Turnstile jest najlżejsza z czwórki, a dystans do nas jest wyraźny. Jesteśmy drudzy, 48,9 KB — 45,0 KB modułu behawioralnego plus 3,9 KB programu ładującego (ponowny pomiar z 23 września 2026). Wobec reCAPTCHA i hCaptcha dystans biegnie w drugą stronę, mniej więcej dziewięcio- i piętnastokrotnie.

Google reCAPTCHA: zastany gigant

reCAPTCHA robi dwie rzeczy dobrze: wykrywanie oparte na skali danych Google oraz rozpowszechnienie tak duże, że nikomu nie trzeba go tłumaczyć. Rozsypuje się na doświadczeniu. Zagadki obrazkowe to tarcie, na telefonie są udręką, a odwiedzający rezygnują przed końcem formularza.

Jest jeszcze droga danych. reCAPTCHA wczytuje skrypty Google do Pana strony i wysyła wynik do infrastruktury Google. Od 2 kwietnia 2026 Google działa przy tym według własnego FAQ jako podmiot przetwarzający (docs.cloud.google.com/recaptcha/docs/faq). Czy może Pan ją wczytać bez zgody, nadal wymaga oceny prawnej, a w praktyce jest to często sporne. Zestarzał się także sam model: opiera się na zadaniu i odpowiedzi, podczas gdy boty rozwiązują te zadania tym samym uczeniem maszynowym, które miało je łapać.

W skrócie: największe rozpowszechnienie, ładunek 423 KB i droga danych do Google, która wymaga oceny prawnej.

hCaptcha: prywatność z haczykiem

hCaptcha nie wczytuje skryptu Google i oferuje bezpłatny poziom Basic. Tam obsługa jest ta sama co w reCAPTCHA: te same siatki obrazków, ta sama irytacja, te same rezygnacje. Tryb pasywny bez widocznego zadania jest dostępny tylko w Pro i Enterprise (hcaptcha.com/pricing).

W naszym pomiarze była też najcięższa z czwórki, 742 KB.

W skrócie: bez skryptu Google, ale w planie bezpłatnym pozostaje widoczna weryfikacja.

Cloudflare Turnstile: najlepsze ze starego świata

Turnstile jest tym rozwiązaniem, które naprawdę się poprawiło. Nie wymaga odczytywania obrazków ani tekstu — w trybie zarządzanym pokazuje pole wyboru, gdy wykryje ryzyko — podchodzi do prywatności przyjaźnie, a z 27,5 KB jest z dużym zapasem najlżejsze w tym porównaniu. Jeśli pytanie brzmi „która CAPTCHA", odpowiedzią jest Turnstile — i ten artykuł nie będzie udawał inaczej.

Dwie rzeczy warto wiedzieć. W razie wątpliwości pyta odwiedzającego — wykryj, zwątp, zapytaj — więc w gorszy dzień prawdziwy klient zostanie na chwilę zatrzymany; to samo dotyczy nas, z tą różnicą, że pokazujemy krótkie zadanie rachunkowe. A Cloudflare jest firmą amerykańską — to nie to samo co dostawca z siedzibą w UE.

W skrócie: najlepsza CAPTCHA — i wciąż CAPTCHA.

Sedno problemu: systemy oparte na zadaniach się przeżyły

Wszystkie trzy mają ten sam kod genetyczny: wykryj — zwątp — każ odwiedzającemu się wykazać. Ten model miał sens w 2010 roku. W 2026 boty rozwiązują obrazki przy pomocy SI, ludzie porzucają formularze, gdy się ich przesłuchuje, a prawo ochrony danych żąda mniej śledzenia, nie więcej.

Ryzyko łączy najgorsze z obu światów: automatyczny ruch, który się liczy, przechodzi, a część Pana prawdziwych klientów nie.

Jak wygląda nowoczesna ochrona

Następne pokolenie w normalnym przypadku o nic nie pyta odwiedzającego. Obserwuje, jak formularz jest naprawdę wypełniany — czasy, ruch, rytm pisania — ocenia to w tle i przy wysyłce wydaje werdykt. Domyślnie: bez zagadki, bez pliku cookie, bez przerwania.

Właśnie to robi SilentShield — domyślnie, nie w każdym przypadku: gdy wynik jest niejasny, pokazuje krótkie zadanie rachunkowe. Dlatego w kolumnie „widoczne zadanie" powyżej stoi „domyślnie brak", a nie „brak".

Wdrożenie: kod, o który chodzi

Jeden znacznik skryptu w stronie, jedno wywołanie na serwerze. Nic więcej się nie zmienia.

Widżet trafia do strony, która zawiera formularz:

<script src="https://api.silentshield.io/client.js?k=PANSKI_KLUCZ_API" crossorigin="anonymous" defer></script>

Uruchamia się sam, pobiera swoje ustawienia (wygląd, język, odznaka) z Pana panelu i wpisuje do formularza pole o nazwie behavior_nonce. Pana serwer sprawdza to pole przy wysyłce. W PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Weryfikacja nieudana.');
}
// Czlowiek — przetworz zgloszenie.

W Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Weryfikacja nieudana");

Jeden szczegół wart jest więcej niż reszta tej sekcji: false nie zawsze znaczy „bot". Weryfikacja jest z założenia ostrożna, więc zwraca false także wtedy, gdy w ogóle nie mogliśmy odpowiedzieć — w tym gdy wyczerpał się Pana miesięczny limit. Oba SDK mówią, z którym przypadkiem ma Pan do czynienia (lastFailure() w PHP, reason w Node). Jeśli to limit, proszę oprzeć się na własnych sprawdzeniach zamiast odrzucać każdego prawdziwego odwiedzającego do pierwszego dnia następnego miesiąca. Dostawcy rzadko to zapisują; a to właśnie ten tryb awarii naprawdę boli.

Istnieją SDK dla PHP, Node, Go i środowisk brzegowych, a także wtyczka WordPress, która wykonuje oba kroki za Pana.

Migracja z reCAPTCHA: co się zmienia, co zostaje

Przejście jest mniejsze, niż wygląda, bo CAPTCHA dotyka dokładnie trzech miejsc w Pana kodzie.

Co zostaje zastąpione: znacznik <script> w stronie, serwerowe wywołanie siteverify oraz nazwa pola — g-recaptcha-response staje się behavior_nonce. Co zostaje: Pana formularz, własne sprawdzenia, pułapka na boty, limity częstotliwości. Ochrona przed botami to warstwa, a nie zamiennik tego, co już Pan ma.

Proszę zachować tę kolejność. Niech nowy skrypt działa, gdy reCAPTCHA jeszcze pracuje, i przez kilka dni proszę porównać werdykty; zobaczy Pan własny ruch, zamiast wierzyć tabeli. Potem proszę przenieść sprawdzenie po stronie serwera. I dopiero wtedy usunąć skrypt reCAPTCHA oraz wpis Google z polityki prywatności i rejestru czynności przetwarzania — ten ostatni krok zespoły pomijają, a to na niego patrzy organ nadzorczy.

Gdzie SilentShield jest słabszym wyborem

Trzy wiersze, w których przegrywamy, powiedziane wprost.

Nasz skrypt jest większy niż skrypt Turnstile. 48,9 KB wobec 27,5 KB — wczytujemy się asynchronicznie po wyrenderowaniu i nie blokujemy niczego, na co odwiedzający czeka, ale jeśli na Pana stronie walczy się o każdy kilobajt, to prawdziwy argument przeciwko nam.

Nie jesteśmy bezpłatni przy wolumenie. Turnstile nie kosztuje nic przy dowolnej wielkości. Nasz plan bezpłatny kończy się na 500 zapytaniach miesięcznie. Jeśli cena jest Pana jedynym kryterium, nie jesteśmy odpowiedzią.

Jesteśmy młodsi. reCAPTCHA działa od ponad dekady i widziała wzorce ataków, których my nie widzieliśmy. To nie drobiazg i żadne pozycjonowanie tego nie zmieni.

To, co kupuje się za te 9 €, to inna wymiana: nie wczytuje się skrypt Google, nie ustawia się żadnego pliku cookie, odwiedzający domyślnie nie widzi żadnego zadania — tylko krótkie zadanie rachunkowe, gdy wynik jest niejasny — a przy punkcie końcowym UE weryfikacja odbywa się bezpośrednio na naszych serwerach w Niemczech, bez CDN. Jeśli to dla Pana warte więcej niż darmowe, jesteśmy lepszym wyborem. Jeśli nie — proszę wziąć Turnstile; to obronna decyzja, a ten artykuł nie będzie udawał, że jest inaczej.

Co to oznacza dla Pana firmy

Każdy dodatkowy krok w formularzu kosztuje przychód, a zadanie to najdroższy krok, jaki można dołożyć: pojawia się dokładnie w chwili, gdy ktoś postanowił się z Panem skontaktować. Porzucone formularze, przerwane zakupy, utracone zapytania i obsługa na telefonie gorsza niż ta przetestowana przy biurku — nawet Turnstile, najlepsza z trójki, nie usuwa tego ryzyka w całości, bo wciąż może zdecydować, że zapyta — a my też pytamy, gdy wynik jest niejasny, krótkim zadaniem rachunkowym.

Pytanie nie brzmi, która CAPTCHA najmniej denerwuje Pana klientów. Pytanie brzmi, jak rzadko Pana klientów w ogóle trzeba przesłuchiwać.

Werdykt

• reCAPTCHA — największe rozpowszechnienie, 423 KB, dane do Google. Dla witryny z UE sprawa do oceny prawnej, często łącznie z dyskusją o zgodzie.
• hCaptcha — bez skryptu Google, najcięższa z czwórki z 742 KB, dla odwiedzającego w planie bezpłatnym ta sama zagadka (tryb pasywny tylko w Pro/Enterprise).
• Turnstile — najlepsza CAPTCHA: bezpłatna, 27,5 KB, przeważnie cicha. Nadal firma amerykańska i nadal CAPTCHA pod spodem.
• SilentShield — domyślnie brak zadania (krótkie zadanie rachunkowe, gdy wynik jest niejasny), brak pliku cookie, przechowywanie danych na serwerach w Niemczech, 48,9 KB. 9 € miesięcznie, gdy przekroczy Pan 500 zapytań.

Wszystkie cztery w razie wątpliwości pytają odwiedzającego; różnica polega na tym, jak często i czym.

Wypróbować SilentShield — ochronę, która domyślnie pozostaje niewidoczna