Turnstile vs reCAPTCHA vs hCaptcha: comparație completă (2026)

Trei instrumente domină această decizie, iar cele mai multe comparații se termină în adjective: „experiență slabă", „confidențialitate mai bună", „precizie ridicată". Adjectivele sunt ieftine. Acest articol dă cifre — prețuri citite de pe paginile furnizorilor înșiși și o greutate a paginii măsurată într-un browser în ziua redactării.

Două dintre aceste cifre ne sunt incomode. Se află totuși aici, într-o secțiune proprie, pentru că o comparație în care autorul câștigă fiecare rând nu merită citită.

Comparația în cifre

Informațiile provin de pe paginile oficiale ale furnizorilor, consultate la 4 octombrie 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Se schimbă — verificați data înainte de a vă baza pe ele.

Google reCAPTCHA este gratuit până la 10.000 de evaluări pe lună în nivelul Essentials; trebuie să înregistrați o metodă de plată. În nivelul Premium, între 10.001 și 100.000 de evaluări costă forfetar 8 $, apoi 1 $ per 1.000; peste acesta se află Enterprise. hCaptcha păstrează un nivel Basic gratuit; Pro costă 99 $ pe lună la plata anuală sau 139 $ lunar, iar Enterprise este disponibil la cerere. Modul pasiv fără sarcină vizibilă există doar în Pro și Enterprise. Cloudflare Turnstile este gratuit, cu verificări nelimitate — planul gratuit limitează funcțiile, nu traficul: până la 20 de widgeturi, 10 nume de gazdă per widget, șapte zile de statistici. Nu necesită un proxy Cloudflare în fața site-ului dumneavoastră. Planul gratuit al SilentShield acoperă 500 de cereri pe lună pe un domeniu; Basic costă 9 € pe lună pentru 5.000 de cereri, iar Pro 29 € pentru 25.000 de cereri pe cinci domenii.

Ce încarcă fiecare, de fapt, în pagina dumneavoastră

Prețul este doar jumătate din cost. Cealaltă jumătate ajunge în browserul vizitatorului dumneavoastră și rareori este publicată. Așa că am măsurat-o: Chromium, un profil curat, pagina demonstrativă a fiecărui furnizor și dimensiunea transferată a fiecărei cereri către acel furnizor — comprimată, așa cum circulă. Măsurat la 4 septembrie 2026.

Diferența este mai mare decât lasă să se înțeleagă paginile furnizorilor. api.js de la reCAPTCHA este un pornitor de 1 KB; fișierul pe care îl aduce apoi, recaptcha__en.js, cântărește singur 345 KB comprimat. Varianta invizibilă v3 încarcă același script de bază — pagina ei demonstrativă a ajuns la 459 KB. „Invizibil" nu înseamnă, așadar, „ușor". Demonstrația hCaptcha a transferat 742 KB, în cea mai mare parte două pachete de la newassets.hcaptcha.com.

Citiți acest lucru cu onestitate: Turnstile este cel mai ușor dintre cele patru, iar distanța față de noi este clară. Suntem pe locul al doilea, la 48,9 KB — 45,0 KB modulul de comportament plus un încărcător de 3,9 KB (măsurat din nou la 23 septembrie 2026). Față de reCAPTCHA și hCaptcha, distanța merge în sens invers, de aproximativ nouă și de cincisprezece ori.

Google reCAPTCHA: gigantul moștenit

reCAPTCHA face bine două lucruri: o detecție sprijinită pe volumul de date al Google și o răspândire atât de largă încât nu trebuie explicată nimănui. Se prăbușește la capitolul experiență. Puzzle-urile cu imagini sunt frecare, pe telefon sunt un chin, iar vizitatorii renunță înainte de a termina formularul.

Apoi este drumul datelor. reCAPTCHA încarcă scripturi Google în pagina dumneavoastră și trimite rezultatul către infrastructura Google. Din 2 aprilie 2026, Google acționează în acest scop ca persoană împuternicită, potrivit propriilor întrebări frecvente (docs.cloud.google.com/recaptcha/docs/faq). Dacă îl puteți încărca fără consimțământ rămâne o chestiune de evaluare juridică, iar în practică acest lucru este adesea dezbătut. S-a învechit și modelul: se sprijină pe provocare și răspuns, în vreme ce boții rezolvă tot mai des aceste provocări cu aceeași învățare automată care ar trebui să îi prindă.

Pe scurt: cea mai largă răspândire, o încărcătură de 423 KB și un drum al datelor către Google care necesită o evaluare juridică.

hCaptcha: confidențialitate, cu un dedesubt

hCaptcha nu încarcă niciun script Google și oferă un nivel Basic gratuit. Acolo, experiența este cea de la reCAPTCHA: aceleași grile de imagini, aceeași enervare, aceleași abandonuri. Modul pasiv fără sarcină vizibilă există doar în Pro și Enterprise (hcaptcha.com/pricing).

În măsurătoarea noastră a fost, în plus, cel mai greu dintre cele patru, cu 742 KB.

Pe scurt: fără script Google, dar în planul gratuit rămâne o verificare vizibilă.

Cloudflare Turnstile: ce e mai bun din lumea veche

Turnstile este cel care s-a îmbunătățit cu adevărat. Nu cere imagini sau texte de descifrat — în modul Managed afișează o casetă de bifat când detectează un risc —, abordează confidențialitatea cu grijă și, cu 27,5 KB, este de departe cel mai ușor din această comparație. Dacă întrebarea este „care CAPTCHA", răspunsul este Turnstile, iar acest articol nu va pretinde altceva.

Două lucruri ar trebui să știți. La îndoială întreabă vizitatorul — detectează, se îndoiește, întreabă —, așa că într-o zi proastă un client real este oprit pentru scurt timp; la fel este și la noi, doar că noi afișăm o scurtă sarcină de calcul. Iar Cloudflare este o companie americană — nu același lucru cu un furnizor cu sediul în UE.

Pe scurt: cel mai bun CAPTCHA — și tot un CAPTCHA.

Problema de fond: sistemele bazate pe provocări și-au trăit traiul

Toate trei împart aceeași zestre: detectează — se îndoiește — pune vizitatorul să demonstreze. Modelul acesta avea sens în 2010. În 2026, boții rezolvă imaginile cu IA, oamenii abandonează formularele când sunt interogați, iar dreptul protecției datelor cere mai puțină urmărire, nu mai multă.

Riscul adună ce e mai rău din ambele lumi: traficul automat care contează trece, iar o parte dintre clienții dumneavoastră reali, nu.

Cum arată protecția modernă

Generația următoare nu întreabă, în mod normal, nimic vizitatorul. Urmărește cum este completat efectiv formularul — ritm, mișcare, cadența tastării —, evaluează asta în fundal și dă un verdict la trimitere. Implicit: fără puzzle, fără cookie, fără întrerupere.

Exact asta face SilentShield — implicit, nu în orice caz: când rezultatul este neclar, afișează o scurtă sarcină de calcul. De aceea în coloana „sarcină vizibilă“ de mai sus scrie „implicit niciuna“ și nu „niciuna“.

Integrarea: codul, concret

O etichetă de script în pagina dumneavoastră, un apel pe serverul dumneavoastră. Nimic altceva nu se schimbă.

Widgetul intră în pagina care poartă formularul:

<script src="https://api.silentshield.io/client.js?k=CHEIA_TA_API" crossorigin="anonymous" defer></script>

Pornește singur, își ia configurația (aspect, limbă, insignă) din panoul dumneavoastră și scrie în formular un câmp numit behavior_nonce. Serverul dumneavoastră verifică acest câmp la trimitere. În PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Verificarea a esuat.');
}
// Om — proceseaza trimiterea.

În Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Verificarea a esuat");

Un detaliu valorează mai mult decât restul acestei secțiuni: false nu înseamnă întotdeauna „bot". Verificarea respinge la îndoială, deci întoarce false și atunci când nu am putut răspunde deloc — inclusiv când cota dumneavoastră lunară s-a epuizat. Ambele SDK vă spun în ce caz vă aflați (lastFailure() în PHP, reason în Node). Dacă este cota, sprijiniți-vă pe propriile verificări în loc să respingeți fiecare vizitator real până în prima zi a lunii următoare. Furnizorii rareori scriu asta; și tocmai acest mod de eșec mușcă cu adevărat.

Există SDK-uri pentru PHP, Node, Go și medii edge, plus un plugin WordPress care face ambii pași în locul dumneavoastră.

Migrarea de la reCAPTCHA: ce se schimbă, ce rămâne

Trecerea este mai mică decât pare, pentru că un CAPTCHA atinge exact trei locuri din codul dumneavoastră.

Ce se înlocuiește: eticheta <script> din pagină, apelul de server către siteverify și numele câmpului — g-recaptcha-response devine behavior_nonce. Ce rămâne: formularul dumneavoastră, propriile validări, capcana pentru boți, limitele de frecvență. Protecția împotriva boților este un strat, nu un înlocuitor pentru ceea ce aveți deja.

Procedați în această ordine. Adăugați noul script în timp ce reCAPTCHA încă rulează și comparați verdictele câteva zile; veți vedea propriul trafic în loc să credeți un tabel. Apoi mutați verificarea de pe server. Și abia atunci scoateți scriptul reCAPTCHA și mențiunea despre Google din politica de confidențialitate și din registrul activităților de prelucrare — tocmai acest ultim pas îl uită echipele și tocmai la el se uită o autoritate.

Unde SilentShield este alegerea mai slabă

Trei rânduri la care pierdem, spuse deschis.

Scriptul nostru este mai mare decât cel al Turnstile. 48,9 KB față de 27,5 KB — ne încărcăm asincron după randare și nu blocăm nimic ce așteaptă vizitatorul; dar dacă pe pagina dumneavoastră se luptă pentru fiecare kilooctet, acesta este un argument real împotriva noastră.

Nu suntem gratuiți la volum. Turnstile nu costă nimic la nicio dimensiune. Planul nostru gratuit se termină la 500 de cereri pe lună. Dacă prețul este singurul dumneavoastră criteriu, nu suntem răspunsul.

Suntem mai tineri. reCAPTCHA rulează de peste un deceniu și a văzut tipare de atac pe care noi nu le-am văzut. Nu este puțin lucru și nicio poziționare nu schimbă asta.

Ce cumpărați cu acei 9 € este un alt schimb: nu se încarcă niciun script Google, nu se pune niciun cookie, vizitatorul nu vede implicit nicio sarcină — doar o scurtă sarcină de calcul când rezultatul este neclar —, iar cu endpoint-ul UE verificarea rulează direct pe serverele noastre din Germania, fără CDN. Dacă asta valorează pentru dumneavoastră mai mult decât gratuitatea, suntem alegerea mai bună. Dacă nu, luați Turnstile — este o decizie apărabilă, iar acest articol nu va pretinde altceva.

Ce înseamnă asta pentru afacerea dumneavoastră

Fiecare pas suplimentar într-un formular costă venit, iar o provocare este cel mai scump pas pe care îl puteți adăuga: vine exact în clipa în care cineva a decis să vă contacteze. Formulare abandonate, cumpărături pierdute, solicitări ratate și o utilizare pe telefon mai proastă decât cea testată la birou — chiar și Turnstile, cel mai bun dintre cele trei, nu înlătură complet acest risc, pentru că poate decide oricând să întrebe — și și noi întrebăm când rezultatul este neclar, cu o scurtă sarcină de calcul.

Întrebarea nu este care CAPTCHA vă deranjează cel mai puțin clienții. Întrebarea este cât de rar trebuie interogați clienții dumneavoastră.

Verdictul

• reCAPTCHA — cea mai largă răspândire, 423 KB, date către Google. Pentru un site din UE, un caz pentru evaluarea juridică, adesea cu o discuție despre consimțământ.
• hCaptcha — fără script Google, cel mai greu dintre cele patru cu 742 KB, în planul gratuit același puzzle pentru vizitator (pasiv doar în Pro/Enterprise).
• Turnstile — cel mai bun CAPTCHA: gratuit, 27,5 KB, cel mai adesea tăcut. Rămâne o companie americană și, dedesubt, rămâne un CAPTCHA.
• SilentShield — implicit nicio sarcină (o scurtă sarcină de calcul când rezultatul este neclar), niciun cookie, stocarea datelor pe servere din Germania, 48,9 KB. 9 € pe lună de îndată ce depășiți 500 de cereri.

Toate patru întreabă vizitatorul la îndoială; diferența constă în cât de des și prin ce.

Încercați SilentShield — protecție împotriva boților care rămâne invizibilă implicit