Turnstile vs reCAPTCHA vs hCaptcha: comparação completa (2026)

Três ferramentas dominam esta decisão, e a maioria das comparações termina em adjetivos: «má experiência», «melhor privacidade», «grande precisão». Adjetivos são baratos. Este artigo apresenta números: preços lidos nas páginas dos próprios fornecedores e um peso de página medido num navegador no dia em que foi escrito.

Dois desses números são incómodos para nós. Estão aqui na mesma, numa secção própria, porque uma comparação em que o autor ganha todas as linhas não merece ser lida.

A comparação em números

As informações provêm das páginas oficiais dos fornecedores, consultadas a 4 de outubro de 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Mudam: verifique a data antes de confiar nelas.

O Google reCAPTCHA é gratuito até 10 000 avaliações por mês no nível Essentials; tem de registar um meio de pagamento. No nível Premium, de 10 001 a 100 000 avaliações custam 8 $ fixos, depois 1 $ por cada 1 000; acima disso fica o Enterprise. O hCaptcha mantém um nível Basic gratuito; o Pro custa 99 $ por mês com pagamento anual ou 139 $ mensais, e o Enterprise está disponível mediante pedido. O modo passivo sem tarefa visível só está disponível no Pro e no Enterprise. O Cloudflare Turnstile é gratuito, com verificações ilimitadas — o plano gratuito limita funções e não tráfego: até 20 widgets, 10 nomes de anfitrião por widget, sete dias de estatísticas. Não exige um proxy da Cloudflare à frente do seu sítio. O plano gratuito do SilentShield cobre 500 pedidos por mês num domínio; o Basic custa 9 € por mês por 5 000 pedidos e o Pro 29 € por 25 000 pedidos em cinco domínios.

O que cada um carrega realmente na sua página

O preço é apenas metade do custo. A outra metade chega ao navegador do seu visitante e raramente é publicada. Por isso medimo-la: Chromium, um perfil novo, a página de demonstração de cada fornecedor e o tamanho transferido de cada pedido dirigido a esse fornecedor — comprimido, tal como viaja. Medição de 4 de setembro de 2026.

A diferença é maior do que as páginas dos fornecedores deixam supor. O api.js do reCAPTCHA é um arrancador de 1 KB; o ficheiro que ele traz a seguir, recaptcha__en.js, pesa sozinho 345 KB comprimidos. A variante invisível v3 carrega o mesmo script central — a sua página de demonstração chegou a 459 KB. «Invisível» não significa, portanto, «leve». A demonstração do hCaptcha transferiu 742 KB, na maior parte dois pacotes de newassets.hcaptcha.com.

Leia isto com honestidade: o Turnstile é o mais leve dos quatro, e a distância para nós é clara. Ficamos em segundo, com 48,9 KB — 45,0 KB do módulo de comportamento mais 3,9 KB de carregador (medido novamente a 23 de setembro de 2026). Face ao reCAPTCHA e ao hCaptcha a distância inverte-se, por um fator de aproximadamente nove e quinze.

Google reCAPTCHA: o gigante herdado

O reCAPTCHA faz duas coisas bem: uma deteção apoiada na dimensão de dados da Google e uma difusão tão ampla que não é preciso explicá-la a nenhum cliente. É na experiência que se desfaz. Os quebra-cabeças de imagens são atrito, no telemóvel são penosos, e os visitantes desistem antes de terminar o formulário.

Depois há o caminho dos dados. O reCAPTCHA carrega scripts da Google na sua página e envia o resultado para a infraestrutura da Google. Desde 2 de abril de 2026, a Google atua como subcontratante, segundo as suas próprias FAQ (docs.cloud.google.com/recaptcha/docs/faq). Se o pode carregar sem consentimento continua a ser uma questão de avaliação jurídica, e na prática é muitas vezes debatido. O modelo também envelheceu: assenta em desafio e resposta, enquanto os robôs resolvem esses desafios com a mesma aprendizagem automática que os deveria apanhar.

Em síntese: a maior difusão, uma carga de 423 KB e um caminho dos dados até à Google que exige uma avaliação jurídica.

hCaptcha: privacidade, com senão

O hCaptcha não carrega nenhum script da Google e oferece um nível Basic gratuito. Aí, a experiência é a do reCAPTCHA: as mesmas grelhas de imagens, o mesmo incómodo, as mesmas desistências. O modo passivo sem tarefa visível só está disponível no Pro e no Enterprise (hcaptcha.com/pricing).

Na nossa medição foi ainda o mais pesado dos quatro, com 742 KB.

Em síntese: sem script da Google, mas no plano gratuito mantém-se uma verificação visível.

Cloudflare Turnstile: o melhor do velho mundo

O Turnstile é o que verdadeiramente melhorou. Não pede imagens nem textos para decifrar — no modo Managed mostra uma caixa de verificação quando deteta risco —, adota uma abordagem respeitadora da privacidade e, com 27,5 KB, é de longe o mais leve desta comparação. Se a pergunta é «qual CAPTCHA», a resposta é Turnstile, e este artigo não fingirá o contrário.

Duas coisas que deve saber. Na dúvida, pergunta ao visitante — detetar, duvidar, perguntar —, pelo que num dia mau um cliente verdadeiro é brevemente travado; o mesmo vale para nós, com a diferença de que mostramos uma breve tarefa de cálculo. E a Cloudflare é uma empresa norte-americana — não é o mesmo que um fornecedor estabelecido na UE.

Em síntese: o melhor CAPTCHA — e ainda assim um CAPTCHA.

O problema de fundo: os sistemas de desafio ficaram para trás

Os três partilham o mesmo ADN: detetar — duvidar — pôr o visitante à prova. Esse modelo fazia sentido em 2010. Em 2026 os robôs resolvem imagens com IA, as pessoas abandonam formulários quando são interrogadas, e o direito da proteção de dados pede menos rastreio, não mais.

O risco junta o pior dos dois mundos: o tráfego automatizado que interessa passa, e parte dos seus clientes reais não.

Como é a proteção moderna

A geração seguinte não pergunta nada ao visitante no caso normal. Observa como o formulário é efetivamente preenchido — tempos, movimento, ritmo da escrita —, avalia isso em segundo plano e devolve um veredicto no envio. Por predefinição: sem quebra-cabeças, sem cookie, sem interrupção.

É o que o SilentShield faz — por predefinição, não em todos os casos: quando o resultado não é claro, mostra uma breve tarefa de cálculo. É por isso que na coluna «tarefa visível» acima está «nenhuma por predefinição» e não «nenhuma».

A integração: o código, em concreto

Uma etiqueta de script na sua página e uma chamada no seu servidor. Nada mais muda.

O widget entra na página que contém o formulário:

<script src="https://api.silentshield.io/client.js?k=A_SUA_CHAVE_API" crossorigin="anonymous" defer></script>

Ele inicia-se sozinho, obtém a sua configuração (tema, idioma, distintivo) a partir do seu painel e escreve no formulário um campo chamado behavior_nonce. O seu servidor verifica esse campo no envio. Em PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Verificacao falhou.');
}
// Humano — processar o envio.

Em Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Verificacao falhou");

Um pormenor vale mais do que o resto desta secção: false nem sempre significa «robô». A verificação é prudente por conceção, pelo que também devolve false quando não conseguimos responder de todo — incluindo quando a sua quota mensal está esgotada. Ambos os SDK dizem em que caso está (lastFailure() em PHP, reason em Node). Se for a quota, recorra às suas próprias verificações em vez de recusar todos os visitantes reais até ao dia um do mês seguinte. Os fornecedores raramente escrevem isto; é a falha que realmente morde.

Existem SDK para PHP, Node, Go e ambientes edge, além de um plugin de WordPress que faz ambos os passos por si.

Migrar do reCAPTCHA: o que muda, o que fica

A mudança é menor do que parece, porque um CAPTCHA toca exatamente três pontos do seu código.

O que é substituído: a etiqueta <script> na sua página, a chamada do servidor a siteverify e o nome do campo — g-recaptcha-response passa a behavior_nonce. O que fica: o seu formulário, as suas validações, o seu campo-armadilha, os seus limites de frequência. A proteção contra robôs é uma camada, não um substituto do que já tem.

Faça-o por esta ordem. Acrescente o novo script enquanto o reCAPTCHA ainda funciona e compare os veredictos durante alguns dias; verá o seu próprio tráfego em vez de acreditar numa tabela. Depois mude a verificação do servidor. E só então retire o script do reCAPTCHA e a entrada da Google da sua política de privacidade e do seu registo de atividades de tratamento — é este último passo que as equipas esquecem, e é para ele que uma autoridade olha.

Onde o SilentShield é a escolha mais fraca

Três linhas em que perdemos, ditas com clareza.

O nosso script é maior do que o do Turnstile. 48,9 KB contra 27,5 KB — carregamos de forma assíncrona depois da renderização e não bloqueamos nada por que o visitante esteja à espera, mas se na sua página se disputa cada kilobyte, esse é um argumento real contra nós.

Não somos gratuitos em volume. O Turnstile não custa nada seja qual for a dimensão. O nosso plano gratuito termina nos 500 pedidos por mês. Se o preço é o seu único critério, não somos a resposta.

Somos mais novos. O reCAPTCHA corre há mais de uma década e viu padrões de ataque que nós não vimos. Não é pouco, e nenhum posicionamento o muda.

O que esses 9 € compram é outra troca: não é carregado nenhum script da Google, nenhum cookie é colocado, o visitante não vê nenhuma tarefa por predefinição — apenas uma breve tarefa de cálculo quando o resultado não é claro — e, com o endpoint da UE, a verificação corre diretamente nos nossos servidores na Alemanha, sem CDN. Se isso vale mais para si do que o gratuito, somos a melhor escolha. Se não vale, use o Turnstile — é uma decisão defensável, e este artigo não fingirá o contrário.

O que isto significa para o seu negócio

Cada passo adicional num formulário custa receita, e um desafio é o passo mais caro que pode acrescentar: chega exatamente no momento em que alguém decidiu contactá-lo. Formulários abandonados, compras perdidas, pedidos falhados e uma utilização no telemóvel pior do que a que testou na secretária — mesmo o Turnstile, o melhor dos três, não elimina totalmente esse risco, porque pode sempre decidir perguntar — e nós também perguntamos quando o resultado não é claro, com uma breve tarefa de cálculo.

A pergunta não é qual CAPTCHA incomoda menos os seus clientes. A pergunta é quão raramente os seus clientes precisam sequer de ser interrogados.

O veredicto

• reCAPTCHA — difusão máxima, 423 KB, dados para a Google. Para um sítio da UE, um caso para avaliação jurídica, muitas vezes com uma discussão sobre consentimento.
• hCaptcha — sem script da Google, o mais pesado dos quatro com 742 KB, para o visitante o mesmo quebra-cabeças no plano gratuito (passivo apenas no Pro/Enterprise).
• Turnstile — o melhor CAPTCHA: gratuito, 27,5 KB, quase sempre silencioso. Continua a ser uma empresa norte-americana e, por baixo, continua a ser um CAPTCHA.
• SilentShield — sem tarefa por predefinição (uma breve tarefa de cálculo quando o resultado não é claro), sem cookie, armazenamento de dados em servidores na Alemanha, 48,9 KB. 9 € por mês assim que passar os 500 pedidos.

Todos os quatro perguntam ao visitante em caso de dúvida; a diferença está na frequência e no meio.

Experimentar o SilentShield — proteção contra bots que permanece invisível por predefinição