Turnstile proti reCAPTCHA proti hCaptcha: Popolna primerjava (2026)

Tej odločitvi vladajo tri orodja, večina primerjav pa se konča pri pridevnikih: »slaba uporaba«, »boljša zasebnost«, »visoka natančnost«. Pridevniki so poceni. Ta članek navaja številke — cene, odčitane na straneh samih ponudnikov, in težo strani, izmerjeno v brskalniku na dan pisanja.

Dve od teh številk sta za nas neprijetni. Kljub temu sta tu, v svojem razdelku, kajti primerjava, v kateri avtor zmaga v vsaki vrstici, ni vredna branja.

Primerjava v številkah

Podatki so vzeti z uradnih strani ponudnikov, pridobljeni 4. oktobra 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Spreminjajo se — preden se nanje zanesete, preverite datum.

Google reCAPTCHA je v ravni Essentials brezplačna do 10.000 ocen na mesec; dodati morate plačilno sredstvo. Na ravni Premium stane od 10.001 do 100.000 ocen pavšalno 8 $, nato 1 $ za vsakih 1.000; nad tem je Enterprise. hCaptcha ohranja brezplačno raven Basic; Pro stane 99 $ na mesec ob letnem plačilu ali 139 $ mesečno, Enterprise je na voljo na zahtevo. Pasivni način brez vidne naloge je na voljo le v Pro in Enterprise. Cloudflare Turnstile je brezplačen, z neomejenim številom preverjanj — brezplačni paket omejuje funkcije, ne prometa: do 20 gradnikov, 10 imen gostiteljev na gradnik, sedem dni statistike. Pred vašim spletnim mestom ne zahteva Cloudflarovega posredniškega strežnika. Brezplačni paket SilentShield pokriva 500 zahtevkov na mesec na eni domeni; Basic stane 9 € na mesec za 5.000 zahtevkov, Pro 29 € za 25.000 zahtevkov na petih domenah.

Kaj vsak od njih dejansko naloži v vašo stran

Cena je le polovica stroška. Druga polovica pride v brskalnik vašega obiskovalca in je le redko objavljena. Zato smo jo izmerili: Chromium, svež profil, predstavitvena stran vsakega ponudnika in prenesena velikost vsakega zahtevka, namenjenega temu ponudniku — stisnjena, takšna, kot potuje po povezavi. Merjeno 4. septembra 2026.

Razlika je večja, kot dajejo slutiti strani ponudnikov. api.js pri reCAPTCHA je zaganjalnik velikosti 1 KB; datoteka, ki jo nato potegne, recaptcha__en.js, sama tehta 345 KB stisnjeno. Nevidna različica v3 nalaga isti jedrni skript — njena predstavitvena stran je dosegla 459 KB. »Nevidno« torej ne pomeni »lahko«. Predstavitev hCaptcha je prenesla 742 KB, večinoma dva paketa z newassets.hcaptcha.com.

Preberite to pošteno: Turnstile je najlažji od štirih in razmik do nas je jasen. Smo drugi, pri 48,9 KB — 45,0 KB za vedenjski modul in 3,9 KB za nalagalnik (ponovno izmerjeno 23. septembra 2026). Nasproti reCAPTCHA in hCaptcha teče razmik v drugo smer, za faktor približno devet in petnajst.

Google reCAPTCHA: uveljavljeni velikan

reCAPTCHA dve stvari opravi dobro: zaznavanje, oprto na Googlovo količino podatkov, in razširjenost, ki je ni treba nikomur pojasnjevati. Razpade pri izkušnji. Slikovne uganke so trenje, na telefonu so muka, obiskovalci pa odnehajo, preden obrazec dokončajo.

Nato je tu pot podatkov. reCAPTCHA v vašo stran nalaga Googlove skripte in pošilja rezultat v Googlovo infrastrukturo. Od 2. aprila 2026 Google zanjo po lastnih pogostih vprašanjih (FAQ) deluje kot obdelovalec (docs.cloud.google.com/recaptcha/docs/faq). Ali jo smete naložiti brez privolitve, ostaja stvar pravne presoje, v praksi pa se o tem pogosto razpravlja. Postaral se je tudi model: sloni na nalogi in odgovoru, medtem ko boti te naloge vse pogosteje rešujejo z istim strojnim učenjem, ki naj bi jih lovilo.

Na kratko: največja razširjenost, 423 KB tovora in pot podatkov do Googla, ki zahteva pravno presojo.

hCaptcha: zasebnost s pastjo

hCaptcha ne naloži Googlovega skripta in ponuja brezplačno raven Basic. Tam je uporaba enaka kot pri reCAPTCHA: iste mreže slik, ista jeza, isti odhodi. Pasivni način brez vidne naloge je na voljo le v Pro in Enterprise (hcaptcha.com/pricing).

V naši meritvi je bila poleg tega najtežja od štirih, s 742 KB.

Na kratko: brez Googlovega skripta, a v brezplačnem paketu ostane vidno preverjanje.

Cloudflare Turnstile: najboljše iz starega sveta

Turnstile je tisti, ki se je resnično izboljšal. Ne zahteva razbiranja slik ali besedila — v načinu Managed ob zaznanem tveganju prikaže potrditveno polje —, k zasebnosti pristopa obzirno in je s 27,5 KB z veliko prednostjo najlažji v tej primerjavi. Če se vprašanje glasi »kateri CAPTCHA«, je odgovor Turnstile in ta članek se ne bo delal drugače.

Dve stvari morate vedeti. V dvomu vpraša obiskovalca — zaznaj, podvomi, vprašaj —, zato bo ob slabem dnevu resnična stranka za kratek čas zadržana; enako velja za nas, le da mi prikažemo kratko računsko nalogo. In Cloudflare je ameriško podjetje — ni isto kot ponudnik s sedežem v EU.

Na kratko: najboljši CAPTCHA — in še vedno CAPTCHA.

Jedro težave: sistemi z nalogami so odsluženi

Vsi trije imajo isto zasnovo: zaznaj — podvomi — naj se obiskovalec izkaže. Ta model je imel smisel leta 2010. Leta 2026 boti rešujejo slike z UI, ljudje opuščajo obrazce, ko jih zaslišujemo, pravo varstva podatkov pa zahteva manj sledenja, ne več.

Tveganje združuje najslabše iz obeh svetov: samodejni promet, ki šteje, pride skozi — del vaših resničnih strank pa ne.

Kako je videti sodobna zaščita

Naslednja generacija obiskovalca v običajnem primeru ne vpraša ničesar. Opazuje, kako se obrazec dejansko izpolnjuje — časi, gibanje, ritem tipkanja —, to oceni v ozadju in ob pošiljanju vrne sodbo. Privzeto brez uganke, brez piškotka, brez prekinitve.

Prav to počne SilentShield — privzeto, ne v vsakem primeru: ko rezultat ni jasen, prikaže kratko računsko nalogo. Zato v stolpcu »vidna naloga« zgoraj piše »privzeto nobene« in ne »nobene«.

Vgradnja: koda, za katero gre

Ena skriptna oznaka v vaši strani, en klic na vašem strežniku. Nič drugega se ne spremeni.

Gradnik sodi v stran, ki nosi obrazec:

<script src="https://api.silentshield.io/client.js?k=VAS_API_KLJUC" crossorigin="anonymous" defer></script>

Zažene se sam, svoje nastavitve (videz, jezik, značko) prevzame z vaše nadzorne plošče in v obrazec zapiše polje z imenom behavior_nonce. Vaš strežnik to polje ob pošiljanju preveri. V PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Preverjanje ni uspelo.');
}
// Clovek — obdelaj oddajo.

V Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Preverjanje ni uspelo");

Ena podrobnost je vredna več kot preostanek tega razdelka: false ne pomeni vedno »bot«. Preverjanje je v dvomu zavrnilno, zato vrne false tudi takrat, ko sploh nismo mogli odgovoriti — med drugim, kadar je vaša mesečna kvota izčrpana. Oba SDK vam povesta, za kateri primer gre (lastFailure() v PHP, reason v Node). Če gre za kvoto, se oprite na lastna preverjanja, namesto da bi do prvega dne naslednjega meseca zavračali vsakega resničnega obiskovalca. Ponudniki tega redko zapišejo; prav ta odpoved pa zares ugrizne.

Na voljo so SDK za PHP, Node, Go in robna okolja, poleg tega vtičnik za WordPress, ki oba koraka opravi namesto vas.

Prehod z reCAPTCHA: kaj se spremeni, kaj ostane

Prehod je manjši, kot je videti, saj se CAPTCHA dotakne natanko treh mest v vaši kodi.

Kaj se nadomesti: oznaka <script> v vaši strani, strežniški klic siteverify in ime polja — g-recaptcha-response postane behavior_nonce. Kaj ostane: vaš obrazec, vaša lastna preverjanja, vaša past za bote, vaše omejitve pogostosti. Zaščita pred boti je plast, ne nadomestilo za to, kar že imate.

Ravnajte v tem vrstnem redu. Novi skript dodajte, medtem ko reCAPTCHA še teče, in nekaj dni primerjajte sodbe; videli boste svoj promet, namesto da bi verjeli razpredelnici. Nato prestavite preverjanje na strežniku. In šele nato odstranite skript reCAPTCHA ter Googlov vpis iz svoje politike zasebnosti in evidence dejavnosti obdelave — prav ta zadnji korak ekipe pozabijo in prav vanj pogleda nadzorni organ.

Kje je SilentShield šibkejša izbira

Tri vrstice, v katerih izgubimo, povedane naravnost.

Naš skript je večji od Turnstilovega. 48,9 KB proti 27,5 KB — nalagamo se asinhrono po izrisu in ne blokiramo ničesar, na kar obiskovalec čaka; če pa se na vaši strani bori za vsak kilobajt, je to resničen argument proti nam.

Pri obsegu nismo brezplačni. Turnstile ne stane nič pri nobeni velikosti. Naš brezplačni paket se konča pri 500 zahtevkih na mesec. Če je cena vaše edino merilo, nismo odgovor.

Mlajši smo. reCAPTCHA teče že več kot desetletje in je videla napadalne vzorce, ki jih mi nismo. To ni malenkost in nobeno pozicioniranje tega ne spremeni.

Kar za teh 9 € dobite, je druga menjava: ne naloži se noben Googlov skript, ne nastavi se noben piškotek, obiskovalec privzeto ne vidi nobene naloge — le kratko računsko nalogo, ko rezultat ni jasen —, s končno točko EU pa preverjanje teče neposredno na naših strežnikih v Nemčiji, brez CDN. Če je to za vas vredno več kot brezplačno, smo boljša izbira. Če ni, vzemite Turnstile — to je zagovorljiva odločitev in ta članek se ne bo delal drugače.

Kaj to pomeni za vaše poslovanje

Vsak dodaten korak v obrazcu stane prihodek, naloga pa je najdražji korak, ki ga lahko dodate: pride natanko v trenutku, ko se je nekdo odločil stopiti v stik z vami. Opuščeni obrazci, nedokončani nakupi, izgubljena povpraševanja in uporaba na telefonu, slabša od tiste, ki ste jo preizkusili za mizo — tudi Turnstile, najboljši med tremi, tega tveganja ne odpravi povsem, saj se še vedno lahko odloči vprašati — in tudi mi vprašamo, ko rezultat ni jasen, s kratko računsko nalogo.

Vprašanje ni, kateri CAPTCHA vaše stranke najmanj moti. Vprašanje je, kako redko jih je sploh treba spraševati.

Sodba

• reCAPTCHA — največja razširjenost, 423 KB, podatki h Googlu. Za spletišče v EU primer za pravno presojo, pogosto tudi z razpravo o privolitvi.
• hCaptcha — brez Googlovega skripta, s 742 KB najtežja od štirih, za obiskovalca v brezplačnem paketu ista uganka (pasivno le v Pro/Enterprise).
• Turnstile — najboljši CAPTCHA: brezplačen, 27,5 KB, večinoma tih. Še vedno ameriško podjetje in spodaj še vedno CAPTCHA.
• SilentShield — privzeto brez naloge (kratka računska naloga, ko rezultat ni jasen), brez piškotka, hramba podatkov na strežnikih v Nemčiji, 48,9 KB. 9 € na mesec, takoj ko presežete 500 zahtevkov.

Vsi štirje v dvomu vprašajo obiskovalca; razlika je v tem, kako pogosto in s čim.

Preizkusite SilentShield — zaščito pred boti, ki privzeto ostane nevidna