Turnstile proti reCAPTCHA proti hCaptcha: Popolna primerjava (2026)

Tej odločitvi vladajo tri orodja, večina primerjav pa se konča pri pridevnikih: »slaba uporaba«, »boljša zasebnost«, »visoka natančnost«. Pridevniki so poceni. Ta članek navaja številke — cene, odčitane na straneh samih ponudnikov, in težo strani, izmerjeno v brskalniku na dan pisanja.

Dve od teh številk sta za nas neprijetni. Kljub temu sta tu, v svojem razdelku, kajti primerjava, v kateri avtor zmaga v vsaki vrstici, ni vredna branja.

Primerjava v številkah

Cene preverjene 3. septembra 2026 na straneh ponudnikov. Spreminjajo se — preden se nanje zanesete, preverite datum.

Google reCAPTCHA je v ravni Essentials brezplačna do 10.000 ocen na mesec. Nad tem Standard stane pavšalno 8 $ do 100.000 ocen, nato pa preidete na Enterprise z 0,001 $ na oceno. hCaptcha ohranja trajno brezplačno raven Basic; Pro stane 99 $ na mesec ob letnem plačilu ali 139 $ mesečno, vključuje 100.000 ocen in zaračuna 0,99 $ za vsakih nadaljnjih 1.000. Cloudflare Turnstile je brezplačen brez objavljene omejitve prometa — brezplačni paket omejuje funkcije, ne prometa: do 20 gradnikov, 10 imen gostiteljev na gradnik, sedem dni statistike, brez zagotovila razpoložljivosti in brez pravil za posamezne končne točke. Brezplačni paket SilentShield pokriva 500 zahtevkov na mesec na eni domeni; Basic stane 9 € na mesec za 5.000 zahtevkov, Pro 29 € za 25.000 zahtevkov na petih domenah.

Kaj vsak od njih dejansko naloži v vašo stran

Cena je le polovica stroška. Druga polovica pride v brskalnik vašega obiskovalca in je le redko objavljena. Zato smo jo izmerili: Chromium, svež profil, predstavitvena stran vsakega ponudnika in prenesena velikost vsakega zahtevka, namenjenega temu ponudniku — stisnjena, takšna, kot potuje po povezavi. Merjeno 4. septembra 2026.

Razlika je večja, kot dajejo slutiti strani ponudnikov. api.js pri reCAPTCHA je zaganjalnik velikosti 1 KB; datoteka, ki jo nato potegne, recaptcha__en.js, sama tehta 345 KB stisnjeno. Nevidna različica v3 nalaga isti jedrni skript — njena predstavitvena stran je dosegla 459 KB. »Nevidno« torej ne pomeni »lahko«. Predstavitev hCaptcha je prenesla 742 KB, večinoma dva paketa z newassets.hcaptcha.com.

Preberite to pošteno: Turnstile je najlažji od štirih in razmik do nas je jasen. Smo drugi, pri približno 47 KB — 42,6 KB za vedenjski modul in 3,7 KB za nalagalnik. Nasproti reCAPTCHA in hCaptcha teče razmik v drugo smer, za faktor devet in šestnajst.

Google reCAPTCHA: uveljavljeni velikan

reCAPTCHA dve stvari opravi dobro: zaznavanje, oprto na Googlovo količino podatkov, in razširjenost, ki je ni treba nikomur pojasnjevati. Razpade pri izkušnji. Slikovne uganke so trenje, na telefonu so muka, obiskovalci pa odnehajo, preden obrazec dokončajo.

Nato je tu pot podatkov. reCAPTCHA nalaga Googlove skripte, spremlja vedenje med spletišči in pošilja rezultat v Googlovo infrastrukturo — zato jo je več evropskih nadzornih organov grajalo in zato praviloma potrebuje privolitev, preden se naloži. Za spletišče v EU to vprašanje že razreši. Postaral se je tudi model: sloni na nalogi in odgovoru, medtem ko boti te naloge vse pogosteje rešujejo z istim strojnim učenjem, ki naj bi jih lovilo.

Na kratko: največja razširjenost, najtežji tovor in najtežji pravni položaj med štirimi.

hCaptcha: zasebnost s pastjo

hCaptcha se glede zasebnosti postavi bolje od Googla in dodaja plačilo — plačani ste za naloge, ki jih rešijo vaši obiskovalci. Uporaba je enaka kot pri reCAPTCHA: iste mreže slik, ista jeza, isti odhodi.

Plačilo je zgovorno. Vaši obiskovalci dejansko postanejo označevalci podatkov, spodbuda za izdelkom pa je ustvarjanje podatkov, ne hiter obrazec. V naši meritvi je bila poleg tega najtežja od štirih, s 742 KB.

Na kratko: nadomesti Googlovo sledenje in obdrži uganko.

Cloudflare Turnstile: najboljše iz starega sveta

Turnstile je tisti, ki se je resnično izboljšal. Vidno nalogo pokaže veliko redkeje, k zasebnosti pristopa obzirno in je s 27,5 KB z veliko prednostjo najlažji v tej primerjavi. Če se vprašanje glasi »kateri CAPTCHA«, je odgovor Turnstile in ta članek se ne bo delal drugače.

Dveh stvari ne reši. Spodaj še vedno sloni na nalogah — zaznaj, podvomi in v dvomu vprašaj obiskovalca — zato bo ob slabem dnevu resnična stranka še naprej ustavljena. In Cloudflare je ameriško podjetje: za namene GDPR bolje od Googla, a ne isto kot obdelava, ki EU nikoli ne zapusti.

Na kratko: najboljši CAPTCHA — in še vedno CAPTCHA.

Jedro težave: sistemi z nalogami so odsluženi

Vsi trije imajo isto zasnovo: zaznaj — podvomi — naj se obiskovalec izkaže. Ta model je imel smisel leta 2010. Leta 2026 boti rešujejo slike z UI, ljudje opuščajo obrazce, ko jih zaslišujemo, pravo varstva podatkov pa zahteva manj sledenja, ne več.

Rezultat združuje najslabše iz obeh svetov: samodejni promet, ki šteje, pride skozi — del vaših resničnih strank pa ne.

Kako je videti sodobna zaščita

Naslednja generacija obiskovalca ne vpraša ničesar. Opazuje, kako se obrazec dejansko izpolnjuje — časi, gibanje, ritem tipkanja —, to oceni v ozadju in ob pošiljanju vrne sodbo. Brez uganke, brez piškotka, brez prekinitve.

Prav to počne SilentShield, in zato v stolpcu »vidna naloga« zgoraj ni ničesar: ni ničesar, kar bi obiskovalec videl, in ničesar, kar bi lahko zgrešil.

Vgradnja: koda, za katero gre

Ena skriptna oznaka v vaši strani, en klic na vašem strežniku. Nič drugega se ne spremeni.

Gradnik sodi v stran, ki nosi obrazec:

<script src="https://api.silentshield.io/client.js?k=VAS_API_KLJUC" crossorigin="anonymous" defer></script>

Zažene se sam, svoje nastavitve (videz, jezik, značko) prevzame z vaše nadzorne plošče in v obrazec zapiše polje z imenom behavior_nonce. Vaš strežnik to polje ob pošiljanju preveri. V PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Preverjanje ni uspelo.');
}
// Clovek — obdelaj oddajo.

V Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Preverjanje ni uspelo");

Ena podrobnost je vredna več kot preostanek tega razdelka: false ne pomeni vedno »bot«. Preverjanje je v dvomu zavrnilno, zato vrne false tudi takrat, ko sploh nismo mogli odgovoriti — med drugim, kadar je vaša mesečna kvota izčrpana. Oba SDK vam povesta, za kateri primer gre (lastFailure() v PHP, reason v Node). Če gre za kvoto, se oprite na lastna preverjanja, namesto da bi do prvega dne naslednjega meseca zavračali vsakega resničnega obiskovalca. Ponudniki tega redko zapišejo; prav ta odpoved pa zares ugrizne.

Na voljo so SDK za PHP, Node, Go in robna okolja, poleg tega vtičnik za WordPress, ki oba koraka opravi namesto vas.

Prehod z reCAPTCHA: kaj se spremeni, kaj ostane

Prehod je manjši, kot je videti, saj se CAPTCHA dotakne natanko treh mest v vaši kodi.

Kaj se nadomesti: oznaka <script> v vaši strani, strežniški klic siteverify in ime polja — g-recaptcha-response postane behavior_nonce. Kaj ostane: vaš obrazec, vaša lastna preverjanja, vaša past za bote, vaše omejitve pogostosti. Zaščita pred boti je plast, ne nadomestilo za to, kar že imate.

Ravnajte v tem vrstnem redu. Novi skript dodajte, medtem ko reCAPTCHA še teče, in nekaj dni primerjajte sodbe; videli boste svoj promet, namesto da bi verjeli razpredelnici. Nato prestavite preverjanje na strežniku. In šele nato odstranite skript reCAPTCHA ter Googlov vpis iz svoje politike zasebnosti in evidence dejavnosti obdelave — prav ta zadnji korak ekipe pozabijo in prav vanj pogleda nadzorni organ.

Kje je SilentShield šibkejša izbira

Tri vrstice, v katerih izgubimo, povedane naravnost.

Naš skript je večji od Turnstilovega. 47 KB proti 27,5 KB — nalagamo se asinhrono po izrisu in ne blokiramo ničesar, na kar obiskovalec čaka; če pa se na vaši strani bori za vsak kilobajt, je to resničen argument proti nam.

Pri obsegu nismo brezplačni. Turnstile ne stane nič pri nobeni velikosti. Naš brezplačni paket se konča pri 500 zahtevkih na mesec. Če je cena vaše edino merilo, nismo odgovor.

Mlajši smo. reCAPTCHA teče že več kot desetletje in je videla napadalne vzorce, ki jih mi nismo. To ni malenkost in nobeno pozicioniranje tega ne spremeni.

Kar za teh 9 € dobite, je druga menjava: nič se ne naloži od ameriškega ponudnika, ne nastavi se noben piškotek, noben obiskovalec ne rabi ničesar dokazovati, ocena pa ostane v EU. Če je to za vas vredno več kot brezplačno, smo boljša izbira. Če ni, vzemite Turnstile — to je zagovorljiva odločitev in ta članek se ne bo delal drugače.

Kaj to pomeni za vaše poslovanje

Vsak dodaten korak v obrazcu stane prihodek, naloga pa je najdražji korak, ki ga lahko dodate: pride natanko v trenutku, ko se je nekdo odločil stopiti v stik z vami. Opuščeni obrazci, nedokončani nakupi, izgubljena povpraševanja in uporaba na telefonu, slabša od tiste, ki ste jo preizkusili za mizo — tudi Turnstile, najboljši med tremi, tega tveganja ne odpravi povsem, saj se še vedno lahko odloči vprašati.

Vprašanje ni, kateri CAPTCHA vaše stranke najmanj moti. Vprašanje je, ali jih je sploh treba spraševati.

Sodba

• reCAPTCHA — največja razširjenost, 423 KB, podatki v ZDA. Za spletišče v EU leta 2026 težko zagovorljivo.
• hCaptcha — glede zasebnosti boljša od Googla, s 742 KB najtežja od štirih, za obiskovalca ista uganka.
• Turnstile — najboljši CAPTCHA: brezplačen, 27,5 KB, večinoma tih. Še vedno ameriško podjetje in spodaj še vedno CAPTCHA.
• SilentShield — brez naloge, brez piškotka, obdelava v EU, 47 KB. 9 € na mesec, takoj ko presežete 500 zahtevkov.

Vsi trije CAPTCHA imajo eno skupno napako: na dan, ko niso prepričani, težavo predajo vaši stranki.

Preizkusite SilentShield — zaščito, ki je vaši obiskovalci nikoli ne vidijo