Turnstile vs reCAPTCHA vs hCaptcha: fullständig jämförelse (2026)

Tre verktyg dominerar det här beslutet, och de flesta jämförelser slutar i adjektiv: ”dålig upplevelse”, ”bättre integritet”, ”hög träffsäkerhet”. Adjektiv är billiga. Den här artikeln ger siffror — priser avlästa på leverantörernas egna sidor och en sidvikt uppmätt i en webbläsare samma dag som texten skrevs.

Två av siffrorna är obekväma för oss. De står här ändå, i ett eget avsnitt, för en jämförelse där författaren vinner varje rad är inte värd att läsa.

Jämförelsen i siffror

Uppgifterna kommer från leverantörernas officiella sidor, hämtade den 4 oktober 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). De ändras — kontrollera datumet innan ni förlitar er på dem.

Google reCAPTCHA är gratis upp till 10 000 bedömningar i månaden på Essentials-nivån; ni måste lägga in ett betalningsmedel. På Premium-nivån kostar 10 001 till 100 000 bedömningar fasta 8 $, därefter 1 $ per 1 000; ovanför det finns Enterprise. hCaptcha har en gratis Basic-nivå; Pro kostar 99 $ i månaden vid årsbetalning eller 139 $ per månad, och Enterprise finns på förfrågan. Passivt läge utan synlig uppgift finns bara i Pro och Enterprise. Cloudflare Turnstile är gratis med obegränsat antal verifieringar — gratisnivån begränsar funktioner, inte trafik: upp till 20 widgetar, 10 värdnamn per widget, sju dagars statistik. Den kräver ingen Cloudflare-proxy framför er webbplats. SilentShields gratisnivå täcker 500 förfrågningar i månaden på en domän; Basic kostar 9 € i månaden för 5 000 förfrågningar, Pro 29 € för 25 000 förfrågningar på fem domäner.

Vad var och en faktiskt laddar in i er sida

Priset är bara halva kostnaden. Den andra halvan landar i besökarens webbläsare, och den publiceras sällan. Så vi mätte den: Chromium, en färsk profil, varje leverantörs egen demosida och den överförda storleken på varje begäran till den leverantören — komprimerad, så som den färdas. Mätt den 4 september 2026.

Spridningen är större än vad leverantörernas sidor låter ana. reCAPTCHA:s api.js är en startare på 1 KB; filen den sedan hämtar, recaptcha__en.js, väger ensam 345 KB komprimerad. Den osynliga v3-varianten laddar samma kärnskript — dess demosida nådde 459 KB. ”Osynlig” betyder alltså inte ”lätt”. hCaptchas demo överförde 742 KB, till största delen två paket från newassets.hcaptcha.com.

Läs det ärligt: Turnstile är lättast av de fyra, och avståndet till oss är tydligt. Vi är tvåa, på 48,9 KB — 45,0 KB för beteendemodulen plus en laddare på 3,9 KB (mätt på nytt den 23 september 2026). Mot reCAPTCHA och hCaptcha går avståndet åt andra hållet, med en faktor på ungefär nio och femton.

Google reCAPTCHA: den ärvda jätten

reCAPTCHA gör två saker bra: en igenkänning som vilar på Googles datamängd, och en spridning så bred att den inte behöver förklaras för någon. Det är på upplevelsen det rasar. Bildpussel är friktion, i telefonen är de en plåga, och besökare hoppar av innan formuläret är klart.

Sedan är det datavägen. reCAPTCHA laddar Google-skript i er sida och skickar resultatet till Googles infrastruktur. Sedan den 2 april 2026 agerar Google enligt sin egen FAQ som personuppgiftsbiträde för tjänsten (docs.cloud.google.com/recaptcha/docs/faq). Om ni får ladda det utan samtycke är fortfarande en fråga för juridisk bedömning, och i praktiken diskuteras det ofta. Också modellen har åldrats: den vilar på uppgift och svar, medan robotar i allt högre grad löser uppgifterna med samma maskininlärning som ska fånga dem.

Kort sagt: bredast spridning, en last på 423 KB och en dataväg till Google som kräver en juridisk bedömning.

hCaptcha: integritet, med en hake

hCaptcha laddar inget Google-skript och erbjuder en gratis Basic-nivå. Där är användningen densamma som reCAPTCHA:s: samma bildrutnät, samma irritation, samma avhopp. Passivt läge utan synlig uppgift finns bara i Pro och Enterprise (hcaptcha.com/pricing).

I vår mätning var den dessutom tyngst av de fyra, med 742 KB.

Kort sagt: inget Google-skript, men i gratisnivån finns en synlig kontroll kvar.

Cloudflare Turnstile: det bästa av den gamla världen

Turnstile är den som faktiskt blev bättre. Den kräver inga bilder eller texter att tyda — i läget Managed visar den en kryssruta vid risk — går varsamt fram i integritetsfrågan och är med 27,5 KB med god marginal lättast i den här jämförelsen. Är frågan ”vilken CAPTCHA”, är svaret Turnstile, och den här artikeln kommer inte att låtsas något annat.

Två saker bör ni veta. Vid tvivel frågar den besökaren — upptäck, tvivla, fråga — så en dålig dag hålls en riktig kund upp en kort stund; detsamma gäller för oss, förutom att vi visar en kort räkneuppgift. Och Cloudflare är ett amerikanskt företag — inte samma sak som en leverantör med säte i EU.

Kort sagt: den bästa CAPTCHA:n — och fortfarande en CAPTCHA.

Kärnan i problemet: system med uppgifter har tjänat ut

Alla tre delar samma arv: upptäck — tvivla — låt besökaren bevisa sig. Den modellen var rimlig 2010. År 2026 löser robotar bilder med AI, människor överger formulär när de förhörs, och dataskyddsrätten ber om mindre spårning, inte mer.

Risken är det sämsta av två världar: den automatiserade trafik som betyder något tar sig igenom — och en del av era riktiga kunder gör det inte.

Så ser modernt skydd ut

Nästa generation frågar i normalfallet besökaren ingenting. Den ser hur formuläret faktiskt fylls i — tider, rörelse, skrivandets rytm — bedömer det i bakgrunden och lämnar ett utslag vid inskicket. Som standard: inget pussel, ingen kaka, inget avbrott.

Det är vad SilentShield gör — som standard, inte i varje fall: när resultatet är oklart visar det en kort räkneuppgift. Därför står det ”ingen som standard” och inte ”ingen” i kolumnen ”synlig uppgift” ovan.

Inbyggnaden: koden det handlar om

En skripttagg i er sida, ett anrop på er server. Inget annat ändras.

Widgeten hör hemma på sidan som bär formuläret:

<script src="https://api.silentshield.io/client.js?k=DIN_API_NYCKEL" crossorigin="anonymous" defer></script>

Den startar själv, hämtar sina inställningar (utseende, språk, märke) från er kontrollpanel och skriver ett fält som heter behavior_nonce i ert formulär. Er server kontrollerar fältet vid inskicket. I PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Kontrollen misslyckades.');
}
// Manniska — behandla inskicket.

I Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Kontrollen misslyckades");

En detalj är värd mer än resten av det här avsnittet: false betyder inte alltid ”robot”. Kontrollen avvisar vid tvivel, så den svarar false även när vi inte kunde svara alls — bland annat när er månadskvot är förbrukad. Båda SDK:erna talar om vilket fall ni befinner er i (lastFailure() i PHP, reason i Node). Är det kvoten, luta er mot era egna kontroller i stället för att avvisa varje verklig besökare fram till den första nästa månad. Leverantörer skriver sällan ned det; och det är just det felläget som verkligen biter.

Det finns SDK:er för PHP, Node, Go och edge-miljöer, plus ett WordPress-tillägg som gör båda stegen åt er.

Byta från reCAPTCHA: vad byts ut, vad blir kvar

Bytet är mindre än det ser ut, för en CAPTCHA rör exakt tre ställen i er kod.

Vad som byts ut: <script>-taggen i er sida, serveranropet till siteverify och fältnamnet — g-recaptcha-response blir behavior_nonce. Vad som blir kvar: ert formulär, era egna kontroller, er honungsfälla, era frekvensgränser. Botskydd är ett lager, inte en ersättning för det ni redan har.

Gör det i den här ordningen. Lägg in det nya skriptet medan reCAPTCHA fortfarande körs och jämför utslagen i några dagar; då ser ni er egen trafik i stället för att tro på en tabell. Flytta sedan kontrollen på servern. Och först därefter tar ni bort reCAPTCHA-skriptet och Google-posten ur er integritetspolicy och ert register över behandling — det är det sista steget team glömmer, och det är det en myndighet tittar på.

Där SilentShield är det svagare valet

Tre rader där vi förlorar, sagt rakt ut.

Vårt skript är större än Turnstiles. 48,9 KB mot 27,5 KB — vi laddas asynkront efter renderingen och blockerar inget som en besökare väntar på; men slåss man på er sida om varje kilobyte är det ett verkligt argument mot oss.

Vi är inte gratis på volym. Turnstile kostar ingenting oavsett storlek. Vår gratisnivå slutar vid 500 förfrågningar i månaden. Är priset ert enda kriterium är vi inte svaret.

Vi är yngre. reCAPTCHA har körts i över ett decennium och har sett angreppsmönster vi inte har sett. Det är ingen småsak, och ingen positionering ändrar det.

Det de 9 € köper i stället är ett annat byte: inget Google-skript laddas, ingen kaka sätts, besökaren ser som standard ingen uppgift — bara en kort räkneuppgift när resultatet är oklart — och med EU-slutpunkten körs kontrollen direkt på våra servrar i Tyskland, utan CDN. Är det värt mer för er än gratis är vi det bättre valet. Är det inte det — ta Turnstile; det är ett försvarbart beslut, och den här artikeln kommer inte att låtsas annat.

Vad det betyder för er verksamhet

Varje extra steg i ett formulär kostar intäkter, och en uppgift är det dyraste steg ni kan lägga till: det kommer precis i det ögonblick någon har bestämt sig för att kontakta er. Övergivna formulär, avbrutna köp, förlorade förfrågningar och en användning i telefonen som är sämre än den ni testade vid skrivbordet — även Turnstile, bäst av de tre, tar inte bort risken helt, eftersom den fortfarande kan välja att fråga — och även vi frågar när resultatet är oklart, med en kort räkneuppgift.

Frågan är inte vilken CAPTCHA som stör era kunder minst. Frågan är hur sällan era kunder alls behöver förhöras.

Utslaget

• reCAPTCHA — störst spridning, 423 KB, data till Google. För en EU-webbplats ett fall för juridisk bedömning, ofta med en diskussion om samtycke.
• hCaptcha — inget Google-skript, tyngst av de fyra med 742 KB, samma pussel för besökaren i gratisnivån (passivt bara i Pro/Enterprise).
• Turnstile — den bästa CAPTCHA:n: gratis, 27,5 KB, oftast tyst. Fortfarande ett amerikanskt företag och under ytan fortfarande en CAPTCHA.
• SilentShield — ingen uppgift som standard (en kort räkneuppgift när resultatet är oklart), ingen kaka, datalagring på servrar i Tyskland, 48,9 KB. 9 € i månaden så snart ni passerar 500 förfrågningar.

Alla fyra frågar besökaren vid tvivel; skillnaden ligger i hur ofta och med vad.

Prova SilentShield — botskydd som är osynligt som standard