Cloudflare Turnstile kontra reCAPTCHA – co wybrać w 2026

Wprowadzenie – dlaczego CAPTCHA traci na znaczeniu

W 2022 roku Cloudflare uruchomił Turnstile jako odpowiedź na rosnące zmęczenie użytkowników klasycznymi zagadkami CAPTCHA. W połowie 2026 roku pytanie brzmi już inaczej niż na starcie – nie „czy warto spróbować", tylko „kiedy Turnstile się sprawdzi, a kiedy lepiej zostać przy rozwiązaniu Google".

Przez lata standardem w ochronie formularzy była reCAPTCHA – najpierw w wersji z zaznaczaniem zdjęć, później w wersji niewidocznej opartej na punktacji ryzyka. Problem w tym, że ten standard ma swoją cenę: spowalnia stronę, irytuje odwiedzających i budzi coraz więcej pytań o zgodność z RODO. Turnstile powstał właśnie po to, żeby zaadresować te trzy słabości naraz.

W tym artykule zestawiam oba rozwiązania na podstawie konkretnych danych – wydajności, wpływu na sprzedaż, skuteczności wobec botów i zgodności z przepisami o ochronie danych. Bo wybór między Turnstile a reCAPTCHA to nie kwestia gustu, tylko decyzja techniczna z realnymi konsekwencjami dla konwersji i bezpieczeństwa strony.

Czym właściwie jest Cloudflare Turnstile

Turnstile korzysta z tej samej technologii, co wyzwania ochronne Cloudflare stosowane od lat do filtrowania ruchu na milionach stron w sieci. Zamiast zmuszać użytkownika do wskazywania sygnalizacji świetlnej, rowerów czy przejść dla pieszych na zdjęciach, system po cichu analizuje środowisko przeglądarki.

Sprawdza między innymi, jak renderuje się Canvas, jaki procesor graficzny jest używany, jaką rozdzielczość ma ekran i jakie czcionki są zainstalowane w systemie. Do tego dorzuca proof-of-work, czyli niewielką łamigłówkę obliczeniową, którą przeglądarka rozwiązuje w ułamku sekundy, a także sygnały behawioralne – sposób poruszania myszą, przewijania strony i uderzania w klawiaturę.

Cloudflare twierdzi, że po roku testów porównawczych Turnstile w trybie nieinteraktywnym był równie skuteczny w wykrywaniu botów, co tradycyjna CAPTCHA. Firma poszła zresztą za ciosem i całkowicie zrezygnowała z używania CAPTCHA na własnych stronach, zastępując ją w pełni własnym rozwiązaniem.

Trzy tryby działania widgetu

Turnstile oferuje trzy warianty widgetu, które różnią się poziomem ingerencji w doświadczenie użytkownika. Wybór trybu ma bezpośredni wpływ na to, jak często odwiedzający w ogóle zauważą, że jakakolwiek weryfikacja miała miejsce.

• Managed – tryb zalecany przez Cloudflare. System sam decyduje, czy pokazać checkbox, czy przepuścić użytkownika bez żadnego pytania, w zależności od oceny ryzyka.
• Non-interactive – wyświetla krótki pasek postępu i zbiera sygnały przez chwilę dłużej, bez angażowania użytkownika w żadne zadanie.
• Invisible – działa całkowicie w tle. Odwiedzający zwykle w ogóle nie wie, że weryfikacja miała miejsce.

W typowych warunkach – zwykła przeglądarka, czyste IP, brak Tora czy VPN – odwiedzający w ogóle nie widzi Turnstile. Challenge rate, czyli odsetek użytkowników, którym pokazuje się jakakolwiek forma weryfikacji, wynosi według różnych szacunków od 2 do 5 procent. Dla porównania, w przypadku reCAPTCHA v2 jest to od 60 do 80 procent, co oznacza, że większość odwiedzających musi się z nią mierzyć bezpośrednio.

Wydajność – różnica najbardziej namacalna

To obszar, w którym różnica między oboma rozwiązaniami jest najłatwiejsza do zmierzenia i odczucia. Skrypt reCAPTCHA waży około 80–150 kilobajtów po kompresji i jest render-blocking – strona nie może w pełni się załadować, dopóki nie pobierze i nie przetworzy całego pliku.

W testach na urządzeniach mobilnych sam skrypt obniża wynik PageSpeed z 69 do 45 punktów. Time to Interactive wydłuża się z 5,8 do 9,6 sekundy, a First Input Delay skacze z 90 milisekund do ponad 1300 – czyli użytkownik dosłownie czeka, zanim strona zacznie reagować na jego działania.

Turnstile waży około 18–30 kilobajtów i rozwiązuje wyzwania leniwie, w tle, nie blokując renderowania reszty strony. Typowy czas weryfikacji to poniżej 100 milisekund. Total Blocking Time – czas, przez który główny wątek przeglądarki jest zablokowany – spada z około 200 milisekund w przypadku reCAPTCHA do około 40 milisekund przy Turnstile.

Są tu jednak niuanse, o których warto wiedzieć przed wdrożeniem. Społeczność Cloudflare zgłasza, że w przeglądarce Chrome Turnstile rozwiązuje się nawet dwukrotnie wolniej niż w Firefox – różnica między 1,2 a 3 sekundami bywa odczuwalna dla użytkownika, zwłaszcza na wolniejszym łączu. Producent jak dotąd nie odniósł się oficjalnie do tego problemu, więc warto testować zachowanie widgetu w różnych przeglądarkach przed pełnym wdrożeniem.

Wpływ na konwersje i porzucanie koszyka

Dla właściciela sklepu internetowego czy formularza leadowego liczy się przede wszystkim jedno: ile osób rezygnuje w trakcie weryfikacji. I tu różnica między oboma rozwiązaniami jest wyjątkowo wyraźna.

reCAPTCHA v2 może obniżać współczynnik konwersji w koszyku o 25 do 35 procent. Na urządzeniach mobilnych strata bywa jeszcze wyższa – nawet 40 procent. Widget ma 304 piksele szerokości, na małych ekranach wygląda jak kwadratowa plama, a tryb compact po prostu się nie starzeje razem z nowszymi rozdzielczościami ekranów. Użytkownicy porzucają zakupy, zamiast dopasowywać obrazki do siebie.

Badanie USENIX Security z 2023 roku pokazało, że puzzle CAPTCHA są porzucane przez około 15 procent użytkowników już przy pierwszej próbie. Jeśli pierwsza próba się nie uda, mediana czasu rozwiązania skacze o dodatkowe 32 sekundy, a co trzeci użytkownik po dwóch nieudanych próbach rezygnuje z dalszego korzystania ze strony.

W przypadku Turnstile spadek konwersji szacuje się na 2–5 procent, czyli o rząd wielkości mniej. Dla sklepu, który generuje realny ruch, taka różnica przekłada się bezpośrednio na liczbę sfinalizowanych zamówień, a nie tylko na komfort odwiedzających.

Skuteczność w blokowaniu botów

To nie jest proste porównanie jeden do jednego, bo oba rozwiązania mierzy się nieco innymi metodami. Według danych zebranych przez jedno ze źródeł reCAPTCHA v2 blokuje 90–95 procent botów, a Turnstile 97–99 procent.

Inne badanie, przeprowadzone przez UC Irvine, wykazało z kolei, że reCAPTCHA v3 przepuszcza około 50 procent ruchu botów. Problem w tym, że reCAPTCHA v3 ma też wysoki wskaźnik fałszywie pozytywnych rozpoznań – 10–15 procent rzeczywistych użytkowników bywa błędnie oznaczanych jako boty. W przypadku Turnstile ten wskaźnik wynosi zaledwie 1–3 procent.

Turnstile najlepiej sprawdza się wtedy, gdy ruch przechodzi przez sieć Cloudflare – wówczas ma dostęp do znacznie większej liczby sygnałów reputacyjnych zebranych z całej sieci. Dla stron, które nie korzystają z Cloudflare, skuteczność bywa nieco niższa, choć nadal wyraźnie zauważalna.

W rankingu trudności automatyzacji z 2026 roku najtrudniejszym do obejścia rozwiązaniem jest reCAPTCHA v3 z wysokim progiem ryzyka. Na drugim miejscu plasuje się Turnstile na stronach za Cloudflare, potem reCAPTCHA v2 w trybie niewidocznym, a na końcu Turnstile poza siecią Cloudflare i standardowa reCAPTCHA v2 z checkboxem.

Prywatność i zgodność z RODO

reCAPTCHA wysyła do Google dane o ruchu myszy, wzorcach przewijania, timingach klawiatury, odcisku przeglądarki, rozdzielczości ekranu, strefie czasowej i adresie IP. Google może wykorzystywać te dane do ulepszania własnych produktów, w tym reklam. reCAPTCHA ustawia dwa ciasteczka: NID o ważności sześciu miesięcy oraz sesyjne _GRECAPTCHA. Żadne z nich nie jest technicznie niezbędne do działania strony.

Francuski urząd ochrony danych CNIL uznał, że reCAPTCHA wymaga zgody użytkownika. W praktyce oznacza to konieczność banerka cookie z aktywną zgodą na przetwarzanie danych przez Google. W Niemczech zdarzały się już kary finansowe za nieprawidłową implementację reCAPTCHA na stronach firmowych.

Turnstile nie używa ciasteczek w trybie podstawowym. Ustawia plik cf_clearance tylko wtedy, gdy włączysz tryb Pre-Clearance, który pozwala przepuszczać użytkownika bez ponownej weryfikacji przez całą sesję. ConsentStack klasyfikuje Turnstile jako usługę niezbędną, która nie wymaga zgody, bo chroni stronę przed atakami, a nie profiluje odwiedzających w celach marketingowych.

Trzeba jednak pamiętać, że Turnstile również zbiera sygnały – w tym fingerprinting WebGL, który pozwala identyfikować model karty graficznej i sterowników używanych przez odwiedzającego. Cloudflare nie wymienia tych danych wprost w polityce prywatności Turnstile, a okres przechowywania danych jest opisany dość nieprecyzyjnie, jako „tak długo, jak to konieczne". Obie firmy – Google i Cloudflare – podlegają amerykańskiemu CLOUD Act, co oznacza, że amerykańskie służby mogą zażądać dostępu do danych przechowywanych gdziekolwiek na świecie.

Dla właściciela strony oznacza to, że Turnstile jest znacznie łatwiejszy do pogodzenia z RODO niż reCAPTCHA, ale nie jest rozwiązaniem całkowicie wolnym od ryzyka. W obu przypadkach trzeba wykazać podstawę prawną przetwarzania danych i poinformować użytkowników w polityce prywatności strony.

Łatwość wdrożenia w WordPressie i innych technologiach

Cloudflare zaprojektował interfejs programistyczny Turnstile tak, żeby migracja z reCAPTCHA była jak najprostsza i nie wymagała przebudowy istniejących formularzy od podstaw. Na froncie wystarczy wymienić odpowiednią klasę widgetu i podmienić klucz witryny. Na backendzie zmienia się adres punktu weryfikacji z domeny Google na domenę Cloudflare, ale sama logika walidacji pozostaje identyczna: przychodzi token od użytkownika, wysyłasz go razem z sekretnym kluczem do serwera weryfikującego i dostajesz odpowiedź o powodzeniu lub niepowodzeniu.

Dla WordPressa integracja jest jeszcze prostsza. Wtyczka Contact Form 7 od wersji 6.1 ma wbudowane wsparcie Turnstile – wystarczy wkleić klucz witryny i klucz sekretny w ustawieniach, bez instalowania dodatkowych rozszerzeń czy ręcznej edycji formularza.

Dostępne są też gotowe biblioteki integracyjne dla najpopularniejszych frameworków frontendowych i backendowych – Reacta, Vue, Angulara, Svelte, Nuxt, Laravela i Phoenixa. Cloudflare oficjalnie rekomenduje paczkę @marsidev/react-turnstile jako preferowany sposób integracji z aplikacjami opartymi na Reakcie.

Kiedy Turnstile nie wystarczy

Turnstile sprawdza się bardzo dobrze w typowych scenariuszach spotykanych na większości stron: formularze kontaktowe, rejestracja użytkowników, zapisy do newslettera, sekcje komentarzy czy standardowy sklep WooCommerce. Zwykłe, masowo rozsyłane boty nie radzą sobie z pasywną detekcją opartą na sygnałach przeglądarki.

Problem zaczyna się, gdy potrzebna jest ocena ryzyka, czyli różnicowanie reakcji w zależności od poziomu zagrożenia. reCAPTCHA v3 zwraca wynik w skali od 0.0 do 1.0, który pozwala podejmować różne decyzje – na przykład wymagać dodatkowej weryfikacji tylko przy finalizacji płatności, ale przepuszczać bez pytania podczas zwykłego przeglądania oferty. Turnstile działa w modelu pass/fail, więc żeby uzyskać podobne warstwowanie ryzyka, trzeba połączyć go z Cloudflare WAF i własnymi regułami filtrowania ruchu.

Turnstile nie ma też tak rozwiniętej ochrony przed wyrafinowanymi, ukierunkowanymi atakami, jak reCAPTCHA Enterprise. Google zbiera dane z setek milionów stron internetowych i na bieżąco dostosowuje swoje modele do najnowszych zagrożeń, podczas gdy Cloudflare opiera się głównie na sygnałach zebranych z ruchu przechodzącego przez własną sieć.

Jeśli strona nie korzysta z Cloudflare, traci część skuteczności widgetu – najlepsze wyniki Turnstile osiąga wtedy, gdy ruch jest już analizowany przez tę sieć na wcześniejszym etapie. Warto też pamiętać o zdarzeniach, w których Turnstile działał w trybie fail closed i blokował cały ruch na stronie przez kilkadziesiąt minut. Dla witryny, dla której każda minuta dostępności ma realne znaczenie finansowe, to ryzyko, które warto znać przed podjęciem decyzji o migracji.

Dla kogo jest Turnstile, a dla kogo reCAPTCHA Enterprise

Dla małych i średnich stron, blogów firmowych, sklepów opartych na WooCommerce, SaaS-ów działających w modelu B2B oraz witryn opartych na WordPressie Turnstile jest dzisiaj rozsądniejszym wyborem niż klasyczna reCAPTCHA. Niższe tarcie w procesie zakupowym, lepsza wydajność strony, prostsza zgodność z RODO i nieograniczona liczba weryfikacji przemawiają za tym rozwiązaniem w zdecydowanej większości typowych zastosowań.

Dla dużych platform e-commerce, systemów płatniczych, bankowości i aplikacji, w których każde fałszywe oznaczenie prawdziwego użytkownika kosztuje realne pieniądze, reCAPTCHA Enterprise wciąż oferuje więcej możliwości warstwowej oceny ryzyka. Ale nawet w tych przypadkach warto rozważyć Turnstile jako pierwszą, lekką warstwę ochrony, z przejściem na reCAPTCHA dopiero przy bardziej ryzykownych operacjach, takich jak logowanie czy finalizacja płatności.

Podsumowanie – czy warto zmienić CAPTCHA na Turnstile

Cloudflare Turnstile nie jest po prostu „tańszą wersją reCAPTCHA". To inne podejście do weryfikacji użytkownika, oparte na założeniu, że nie trzeba zmuszać ludzi do rozwiązywania zadań, żeby udowodnili, że nie są robotami. Dla większości stron internetowych to podejście sprawdza się lepiej niż tradycyjne puzzle.

Technicznie Turnstile wygrywa w prawie każdym bezpośrednim porównaniu – wydajności, wpływie na konwersje, prywatności i prostocie wdrożenia – poza jednym obszarem: dostępem do ogromnej ilości danych, jakie ma Google dzięki skali swojego ekosystemu. To, czy ta przewaga Google jest dla Ciebie zaletą, czy raczej problemem, zależy w dużej mierze od tego, jaką stronę prowadzisz i przed czym właściwie chcesz ją chronić.

Jeśli prowadzisz typowy sklep WooCommerce, blog firmowy albo stronę usługową opartą na WordPressie, migracja na Turnstile to zazwyczaj kilka godzin pracy, a efekty w postaci szybszego ładowania strony i mniejszej liczby porzuconych formularzy widać niemal od razu.