Se gere um site na UE, vale a pena olhar com atenção para o seu CAPTCHA. Muitas vezes, é o Google reCAPTCHA. Continua a ser a escolha predefinida para proteção contra bots e carrega scripts da Google na sua página. Desde 2 de abril de 2026, a Google atua como subcontratante, segundo as suas próprias FAQ (docs.cloud.google.com/recaptcha/docs/faq); se e como pode usar o reCAPTCHA continua a ser uma questão de avaliação jurídica, e na prática essa avaliação gira muitas vezes em torno do consentimento.
Em resumo: o reCAPTCHA não deve entrar na sua página sem avaliação. Isso importa a todos aqueles cujos formulários sustentam o negócio — empresas SaaS, lojas de comércio eletrónico, funis de geração de leads e sites do setor público.
Porque é que o GDPR e o CAPTCHA entram em conflito
O RGPD assenta num princípio central: minimizar a recolha de dados e proteger a privacidade dos utilizadores. Muitos sistemas CAPTCHA tradicionais conciliam-se mal com isso. Carregam scripts de terceiros, analisam o comportamento — movimentos do rato, cliques — e tratam muitas vezes o resultado em servidores fora da UE.
Daí resultam várias questões que tem de avaliar: se existe um fundamento jurídico sólido sem consentimento, se uma transferência para fora da UE está salvaguardada depois do acórdão Schrems II e se o tratamento está descrito de forma transparente. O que muitas empresas ignoram: uma ferramenta de proteção contra bots faz parte do registo de atividades de tratamento, como qualquer outro subcontratante.
Que regras se aplicam de facto
Três partes do regulamento decidem se o seu CAPTCHA é um problema, e aplicam-se por esta ordem.
Artigo 6.º — existe fundamento jurídico? Carregar um script de terceiros que traça o perfil do visitante é um tratamento. O interesse legítimo pode sustentar uma defesa antispam simples, mas deixa de sustentar assim que a ferramenta cria perfis comportamentais entre sites. Passa então a precisar de consentimento, e este tem de existir antes de o script carregar — é precisamente a isso que deve estar atento na integração.
Artigo 28.º — quem é o subcontratante? O seu fornecedor de CAPTCHA trata dados pessoais por sua conta. Precisa portanto de um contrato de subcontratação com ele, e a ferramenta pertence ao seu registo de atividades de tratamento — tal como o seu fornecedor de correio ou a sua ferramenta de análise.
Artigos 44.º e seguintes — para onde vão os dados? Qualquer transferência para fora da UE exige um mecanismo jurídico e, depois do acórdão Schrems II, o mecanismo por si só não basta: tem ainda de avaliar se as leis de vigilância do país de destino o esvaziam. Grande parte dessa avaliação deixa de ser necessária quando o próprio fornecedor está estabelecido na UE e aí conserva os dados.
O que torna um CAPTCHA compatível com o GDPR?
O CAPTCHA carrega um script de terceiros na sua página?
- SimConsentimento necessário antes de carregar
- NãoO pedido por si só não exige consentimento
Guarda ou lê cookies ou identificadores do dispositivo?
- SimConsentimento necessário
- NãoO interesse legítimo pode bastar
Antes de escolher uma alternativa, convém saber o que «compatível com o RGPD» significa de facto. Cinco requisitos decidem isso:
- O mínimo possível de dados pessoais, nada guardado em texto simples
- Armazenamento de dados na UE
- Sem cookies de rastreamento nem perfis entre sites
- Um fundamento jurídico que pode documentar
- Processamento completamente transparente
Outros dois separam o meramente conforme do verdadeiramente bom: uma experiência invisível que nada pede ao visitante e uma acessibilidade conforme às WCAG.
Verificar o seu próprio site em dez minutos
Para uma primeira passagem não precisa de um advogado, mas do separador de rede.
- Abra uma página com formulário e grave o tráfego de rede. Qualquer pedido para
google.com/recaptcha,hcaptcha.comou um anfitrião semelhante significa que um terceiro vê os seus visitantes. - Veja quando dispara. Se carregar antes de o visitante aceitar seja o que for, o consentimento enquanto fundamento jurídico já se perdeu.
- Procure cookies e armazenamento. O
_GRECAPTCHAe afins são a parte visível; as entradas nolocalStoragetambém contam. - Releia a sua própria política de privacidade. Se a ferramenta não estiver lá nomeada, está a ser usada sem ser declarada.
- Abra o seu registo de atividades de tratamento. A maioria lista análise e correio — e esquece por completo a proteção contra bots.
Tudo o que encontrar aqui tem correção. O que não tem correção é a parte que ninguém procurou.
As alternativas — e quanto custam realmente
As informações seguintes provêm das páginas oficiais dos fornecedores, consultadas a 4 de outubro de 2026. Mudam; as fontes são indicadas em cada caso.
FriendlyCaptcha é um CAPTCHA alemão orientado para a privacidade que verifica em segundo plano. O plano Starter custa 9 €/mês, o Advanced 200 €/mês, e o Enterprise está disponível mediante pedido. É gratuito para projetos não comerciais (um domínio, 1.000 pedidos por mês) e para projetos open source (50 domínios, 50.000 pedidos por mês). Não conseguimos verificar os limites de pedidos dos planos pagos na página oficial de preços — peça-os ao fornecedor. Fonte: friendlycaptcha.com/free-captcha/.
Cloudflare Turnstile é gratuito, com verificações ilimitadas — gratuito a sério, não um período experimental, e o seu site não tem de passar pela Cloudflare. O plano gratuito limita funcionalidades em vez de volume: até 20 widgets, 10 nomes de anfitrião por widget, sete dias de análise. Não carrega nenhum script da Google e mantém a interação mínima: no modo Managed mostra uma caixa de verificação quando deteta risco, sem imagens nem textos para decifrar. O modo Invisible exige um aviso com referência ao «Turnstile Privacy Addendum». A Cloudflare continua a ser uma empresa norte-americana. Fonte: developers.cloudflare.com/turnstile/plans/.
Google reCAPTCHA (agora parte do «Google Cloud Fraud Defense») dá-lhe 10.000 avaliações por mês gratuitas no nível Essentials; tem de registar um meio de pagamento. No nível Premium, de 10.001 a 100.000 avaliações custam 8 $ fixos, depois 1 $ por cada 1.000; acima disso fica o Enterprise. Os desafios visuais estão disponíveis em todos os níveis. Desde 2 de abril de 2026, a Google atua como subcontratante, segundo as suas próprias FAQ. Aqui o preço não é a questão — o caminho dos dados para a Google é. Fonte: docs.cloud.google.com/recaptcha/docs/compare-tiers e /faq.
hCaptcha tem um nível Basic gratuito. O Pro custa 99 $/mês com pagamento anual ou 139 $ mensal, e o Enterprise está disponível mediante pedido. O modo passivo sem tarefa visível só está disponível no Pro e no Enterprise; no nível Basic mantém-se uma verificação visível. Fonte: hcaptcha.com/pricing.
SilentShield é proteção contra bots respeitadora da privacidade e invisível por predefinição, com armazenamento de dados nos nossos servidores na Alemanha: sem interação no caso normal (apenas uma breve tarefa de cálculo quando o resultado não é claro), sem cookies, sem rastreio entre sites, sem perfis e com um modo Zero-PII opcional que dispensa por completo as características do navegador e do dispositivo. O plano gratuito cobre 500 pedidos por mês num domínio; o Basic custa 9 €/mês por 5.000 pedidos, o Pro 29 €/mês por 25.000 pedidos em cinco domínios, e o Enterprise é individual.
Comparação rápida
| Ferramenta | Preço de entrada | Incluído | Interação | Transferência de dados |
|---|---|---|---|---|
| reCAPTCHA | grátis | 10.000 avaliações | Tarefa com imagens possível | |
| hCaptcha | grátis / 99 $ por mês (anual) | não verificado | Puzzle; passivo apenas Pro/Enterprise | não verificado |
| Turnstile | grátis | verificações ilimitadas | quase nunca; caixa de verificação em caso de risco | Cloudflare (empresa dos EUA) |
| FriendlyCaptcha | 9 € por mês | não verificado | Verificação em segundo plano | não verificado |
| SilentShield | grátis / 9 € por mês | 500 / 5.000 pedidos | nenhuma por predefinição; tarefa de cálculo quando o resultado não é claro | Servidores na Alemanha; sem CDN com o endpoint da UE |
Leia a primeira coluna com honestidade: só pelo preço, ganha o Turnstile. É gratuito, não tem limite de volume, e para um site pequeno sem exigências de conformidade é difícil argumentar contra.
Onde o SilentShield é a escolha mais fraca
Qualquer comparação em que o autor ganha em todas as linhas merece desconfiança. Aqui estão as três linhas em que não ganhamos.
O nosso script é maior do que o do Turnstile. O módulo de comportamento do SilentShield pesa 45,0 KB comprimidos, 48,9 KB com o carregador (medido novamente a 23 de setembro de 2026). A 4 de setembro de 2026 medimos num navegador o que cada fornecedor entrega realmente: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. O Turnstile é assim o mais leve dos quatro e nós ficamos em segundo. Carregamos de forma assíncrona depois da renderização, pelo que não bloqueamos nada por que o visitante esteja à espera — mas se na sua página se disputa cada kilobyte, esse é um argumento real contra nós.
Não somos gratuitos em volume. O Turnstile não custa nada, seja qual for o volume. O nosso plano gratuito termina nos 500 pedidos por mês. Se o preço é o seu único critério, não somos a escolha.
Somos mais recentes. O reCAPTCHA corre há mais de uma década e viu padrões de ataque que nós não vimos. Não é pouco, e nenhum posicionamento muda isso.
O que recebe por esses 9 € é outra troca: não se carrega nenhum script da Google, não é colocado nenhum cookie, o visitante não vê nenhuma tarefa por predefinição — apenas uma breve tarefa de cálculo quando o resultado não é claro — e, com o endpoint da UE, a verificação corre diretamente nos nossos servidores na Alemanha, sem CDN. Se isso valer para si mais do que grátis, somos a melhor escolha. Se não valer, escolha o Turnstile — é uma decisão defensável, e este artigo não vai fingir o contrário.
Conformidade ou conversão? Já não tem de escolher
A maioria das empresas encara isto como uma decisão jurídica. Não é: é uma decisão de crescimento. O CAPTCHA tradicional custa conversões, acrescenta atrito e prejudica a experiência móvel, ao passo que uma solução respeitadora da privacidade e invisível retira esse atrito do formulário — embora não faça a avaliação jurídica por si.
O SilentShield aposta em ambas: sem cookies, sem rastreio entre sites, sem perfis; o endereço IP é usado apenas para a verificação e não é guardado em texto simples — e uma verificação que permanece invisível por predefinição e só mostra uma breve tarefa de cálculo quando o resultado não é claro. Pensado para o SaaS moderno e as empresas europeias.
Atualize a sua proteção contra bots — com respeito pela privacidade
Não precisa de arriscar a conformidade com o RGPD, nem de sacrificar conversões.
Veja como o SilentShield funciona — e substitua o seu CAPTCHA