Turnstile vs reCAPTCHA vs hCaptcha: fullständig jämförelse (2026)

Tre verktyg dominerar det här beslutet, och de flesta jämförelser slutar i adjektiv: ”dålig upplevelse”, ”bättre integritet”, ”hög träffsäkerhet”. Adjektiv är billiga. Den här artikeln ger siffror — priser avlästa på leverantörernas egna sidor och en sidvikt uppmätt i en webbläsare samma dag som texten skrevs.

Två av siffrorna är obekväma för oss. De står här ändå, i ett eget avsnitt, för en jämförelse där författaren vinner varje rad är inte värd att läsa.

Jämförelsen i siffror

Priserna kontrollerades den 3 september 2026 på leverantörernas sidor. De ändras — kontrollera datumet innan ni förlitar er på dem.

Google reCAPTCHA är gratis upp till 10 000 bedömningar i månaden på Essentials-nivån. Däröver kostar Standard fasta 8 $ upp till 100 000 bedömningar, och längre upp går ni över till Enterprise med 0,001 $ per bedömning. hCaptcha har en permanent gratis Basic-nivå; Pro kostar 99 $ i månaden vid årsbetalning eller 139 $ per månad, innehåller 100 000 bedömningar och tar 0,99 $ per ytterligare 1 000. Cloudflare Turnstile är gratis utan publicerad volymgräns — gratisnivån begränsar funktioner, inte trafik: upp till 20 widgetar, 10 värdnamn per widget, sju dagars statistik, ingen tillgänglighetsgaranti och inga regler per slutpunkt. SilentShields gratisnivå täcker 500 förfrågningar i månaden på en domän; Basic kostar 9 € i månaden för 5 000 förfrågningar, Pro 29 € för 25 000 förfrågningar på fem domäner.

Vad var och en faktiskt laddar in i er sida

Priset är bara halva kostnaden. Den andra halvan landar i besökarens webbläsare, och den publiceras sällan. Så vi mätte den: Chromium, en färsk profil, varje leverantörs egen demosida och den överförda storleken på varje begäran till den leverantören — komprimerad, så som den färdas. Mätt den 4 september 2026.

Spridningen är större än vad leverantörernas sidor låter ana. reCAPTCHA:s api.js är en startare på 1 KB; filen den sedan hämtar, recaptcha__en.js, väger ensam 345 KB komprimerad. Den osynliga v3-varianten laddar samma kärnskript — dess demosida nådde 459 KB. ”Osynlig” betyder alltså inte ”lätt”. hCaptchas demo överförde 742 KB, till största delen två paket från newassets.hcaptcha.com.

Läs det ärligt: Turnstile är lättast av de fyra, och avståndet till oss är tydligt. Vi är tvåa, på ungefär 47 KB — 42,6 KB för beteendemodulen plus 3,7 KB laddare. Mot reCAPTCHA och hCaptcha går avståndet åt andra hållet, med en faktor nio och sexton.

Google reCAPTCHA: den ärvda jätten

reCAPTCHA gör två saker bra: en igenkänning som vilar på Googles datamängd, och en spridning så bred att den inte behöver förklaras för någon. Det är på upplevelsen det rasar. Bildpussel är friktion, i telefonen är de en plåga, och besökare hoppar av innan formuläret är klart.

Sedan är det datavägen. reCAPTCHA laddar Google-skript, följer beteende mellan webbplatser och skickar resultatet till Googles infrastruktur — därför har flera europeiska tillsynsmyndigheter invänt, och därför krävs som regel samtycke innan det laddas. För en webbplats i EU avgör det redan frågan. Också modellen har åldrats: den vilar på uppgift och svar, medan robotar i allt högre grad löser uppgifterna med samma maskininlärning som ska fånga dem.

Kort sagt: bredast spridning, tyngst last och svårast juridiskt läge av de fyra.

hCaptcha: integritet, med en hake

hCaptcha placerar sig bättre än Google i fråga om integritet och lägger till ersättning — ni får betalt för de uppgifter era besökare löser. Användningen är densamma som reCAPTCHA:s: samma bildrutnät, samma irritation, samma avhopp.

Ersättningen är det avslöjande. Era besökare blir i praktiken dataetiketterare, och drivkraften bakom produkten är att skapa data, inte ett snabbt formulär. I vår mätning var den dessutom tyngst av de fyra, med 742 KB.

Kort sagt: den ersätter Googles spårning och behåller pusslet.

Cloudflare Turnstile: det bästa av den gamla världen

Turnstile är den som faktiskt blev bättre. Den visar en synlig uppgift betydligt mer sällan, går varsamt fram i integritetsfrågan och är med 27,5 KB med god marginal lättast i den här jämförelsen. Är frågan ”vilken CAPTCHA”, är svaret Turnstile, och den här artikeln kommer inte att låtsas något annat.

Två saker löser den inte. Under ytan bygger den fortfarande på uppgifter — upptäck, tvivla och fråga besökaren vid tvivel — så en dålig dag stoppas en riktig kund fortfarande. Och Cloudflare är ett amerikanskt företag: bättre än Google för GDPR-ändamål, men inte samma sak som en behandling som aldrig lämnar EU.

Kort sagt: den bästa CAPTCHA:n — och fortfarande en CAPTCHA.

Kärnan i problemet: system med uppgifter har tjänat ut

Alla tre delar samma arv: upptäck — tvivla — låt besökaren bevisa sig. Den modellen var rimlig 2010. År 2026 löser robotar bilder med AI, människor överger formulär när de förhörs, och dataskyddsrätten ber om mindre spårning, inte mer.

Resultatet blir det sämsta av två världar: den automatiserade trafik som betyder något tar sig igenom — och en del av era riktiga kunder gör det inte.

Så ser modernt skydd ut

Nästa generation frågar besökaren ingenting. Den ser hur formuläret faktiskt fylls i — tider, rörelse, skrivandets rytm — bedömer det i bakgrunden och lämnar ett utslag vid inskicket. Inget pussel, ingen kaka, inget avbrott.

Det är vad SilentShield gör, och därför står det ingenting i kolumnen ”synlig uppgift” ovan: det finns inget en besökare ser och inget hon kan misslyckas med.

Inbyggnaden: koden det handlar om

En skripttagg i er sida, ett anrop på er server. Inget annat ändras.

Widgeten hör hemma på sidan som bär formuläret:

<script src="https://api.silentshield.io/client.js?k=DIN_API_NYCKEL" crossorigin="anonymous" defer></script>

Den startar själv, hämtar sina inställningar (utseende, språk, märke) från er kontrollpanel och skriver ett fält som heter behavior_nonce i ert formulär. Er server kontrollerar fältet vid inskicket. I PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Kontrollen misslyckades.');
}
// Manniska — behandla inskicket.

I Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Kontrollen misslyckades");

En detalj är värd mer än resten av det här avsnittet: false betyder inte alltid ”robot”. Kontrollen avvisar vid tvivel, så den svarar false även när vi inte kunde svara alls — bland annat när er månadskvot är förbrukad. Båda SDK:erna talar om vilket fall ni befinner er i (lastFailure() i PHP, reason i Node). Är det kvoten, luta er mot era egna kontroller i stället för att avvisa varje verklig besökare fram till den första nästa månad. Leverantörer skriver sällan ned det; och det är just det felläget som verkligen biter.

Det finns SDK:er för PHP, Node, Go och edge-miljöer, plus ett WordPress-tillägg som gör båda stegen åt er.

Byta från reCAPTCHA: vad byts ut, vad blir kvar

Bytet är mindre än det ser ut, för en CAPTCHA rör exakt tre ställen i er kod.

Vad som byts ut: <script>-taggen i er sida, serveranropet till siteverify och fältnamnet — g-recaptcha-response blir behavior_nonce. Vad som blir kvar: ert formulär, era egna kontroller, er honungsfälla, era frekvensgränser. Botskydd är ett lager, inte en ersättning för det ni redan har.

Gör det i den här ordningen. Lägg in det nya skriptet medan reCAPTCHA fortfarande körs och jämför utslagen i några dagar; då ser ni er egen trafik i stället för att tro på en tabell. Flytta sedan kontrollen på servern. Och först därefter tar ni bort reCAPTCHA-skriptet och Google-posten ur er integritetspolicy och ert register över behandling — det är det sista steget team glömmer, och det är det en myndighet tittar på.

Där SilentShield är det svagare valet

Tre rader där vi förlorar, sagt rakt ut.

Vårt skript är större än Turnstiles. 47 KB mot 27,5 KB — vi laddas asynkront efter renderingen och blockerar inget som en besökare väntar på; men slåss man på er sida om varje kilobyte är det ett verkligt argument mot oss.

Vi är inte gratis på volym. Turnstile kostar ingenting oavsett storlek. Vår gratisnivå slutar vid 500 förfrågningar i månaden. Är priset ert enda kriterium är vi inte svaret.

Vi är yngre. reCAPTCHA har körts i över ett decennium och har sett angreppsmönster vi inte har sett. Det är ingen småsak, och ingen positionering ändrar det.

Det de 9 € köper i stället är ett annat byte: ingenting laddas från en amerikansk leverantör, ingen kaka sätts, ingen besökare behöver bevisa något, och bedömningen stannar i EU. Är det värt mer för er än gratis är vi det bättre valet. Är det inte det — ta Turnstile; det är ett försvarbart beslut, och den här artikeln kommer inte att låtsas annat.

Vad det betyder för er verksamhet

Varje extra steg i ett formulär kostar intäkter, och en uppgift är det dyraste steg ni kan lägga till: det kommer precis i det ögonblick någon har bestämt sig för att kontakta er. Övergivna formulär, avbrutna köp, förlorade förfrågningar och en användning i telefonen som är sämre än den ni testade vid skrivbordet — även Turnstile, bäst av de tre, tar inte bort risken helt, eftersom den fortfarande kan välja att fråga.

Frågan är inte vilken CAPTCHA som stör era kunder minst. Frågan är om era kunder alls behöver förhöras.

Utslaget

• reCAPTCHA — störst spridning, 423 KB, data till USA. Svår att försvara för en EU-webbplats 2026.
• hCaptcha — bättre än Google på integritet, tyngst av de fyra med 742 KB, samma pussel för besökaren.
• Turnstile — den bästa CAPTCHA:n: gratis, 27,5 KB, oftast tyst. Fortfarande ett amerikanskt företag och under ytan fortfarande en CAPTCHA.
• SilentShield — ingen uppgift, ingen kaka, behandling i EU, 47 KB. 9 € i månaden så snart ni passerar 500 förfrågningar.

Alla tre CAPTCHA:erna delar ett fel: den dag de är osäkra skickar de problemet vidare till er kund.

Prova SilentShield — skydd som era besökare aldrig ser