Turnstile или reCAPTCHA: безплатният трафик не означава еднаква защита

За контактна форма с променлив обем Cloudflare Turnstile е удобен избор, когато искате разходът да не зависи от броя проверки. При регистрация reCAPTCHA може да е по-полезна, ако ще вземате различни решения според оценката на риска. При плащане с висок риск нито един от двата продукта не е достатъчен като единствена преграда пред автоматизацията.

И двата имат безплатно ползване, но ограничават различни неща: Turnstile поставя граници пред конфигурацията на уиджетите, а reCAPTCHA — пред месечния брой оценки. Посетителят може да види задача или да премине без видима намеса според избрания режим. За собственика на сайта решаващо е и какво прави сървърът с получения резултат.

Цена: измервайте заявките за оценка, а не посещенията

Плановете на Cloudflare, обновени през август 2026 г., дават на безплатния Turnstile до 20 уиджета, неограничени проверки и до 10 хост имена за уиджет. Това прави разхода предвидим при резки промени в броя опити за изпращане. Безплатният план обаче може да стане неудобен за агенция или платформа с много отделни сайтове: лимитът за хостове остава, дори когато трафикът е малък.

Условията за таксуване на Google, обновени през октомври 2026 г., определят общ безплатен лимит от 10 000 оценки за календарен месец на организация, събран от всички нейни акаунти и сайтове. След изчерпването му заявките в Essentials връщат грешка за квота. При включено таксуване Premium продължава да обработва заявки: за обема от 10 001 до 100 000 оценки месечно се начисляват фиксирани 8 долара, а над него — 1 долар за всяка следваща хиляда оценки. Броят посещения сам по себе си не показва сметката; значение има за кои действия сайтът създава оценка.

Домейни, видими задачи и достъпност

При отделни домейни за клиенти, кампании и тестови среди конфигурацията може да тежи повече от цената на заявките. Указанията на Google за уеб ключове допускат до 250 домейна за ключ и препоръчват отделни ключове за тестова и работна среда, за да не се смесват данните за риска. Ако проверката на домейните се изключи, приложението трябва само да проверява хоста в получената оценка. Това е различен вид ограничение от броя хостове за уиджет при Turnstile.

Видимата задача добавя пречка и за легитимния посетител, особено когато е трудно да я изпълни или формата е дълга. Режимът с оценка без видима задача намалява това триене, но оставя на приложението решението как да реагира на несигурен резултат. Добър резервен път пази вече въведения текст и позволява нов опит, вместо да кара човека да попълва всичко отначало. При услуга, за която контактът е спешен, отделен публичен канал може да е по-достъпен от форма, блокирана от проверката.

Три форми, три различни решения

Контактна форма

При условни 500 изпращания месечно от един домейн и по една оценка за изпращане и двата безплатни варианта покриват обема. Turnstile е разумният избор, ако основният риск е масов спам и не искате пикът в заявките да изчерпи месечна квота. Сървърът трябва да приема съобщението след валидна проверка и да ограничава честотата на изпращане: преминалата проверка не гарантира, че съдържанието е желано.

При временен отказ на услугата за проверка покажете разбираемо съобщение и предложете повторен опит, без да изтривате написаното. Ако формата е основният начин за връзка, посочете друг канал за контакт. Тихото приемане на непроверени заявки би премахнало защитата точно когато тя е недостъпна.

Регистрация

При условни 30 000 опита за регистрация месечно Essentials няма да покрие всички проверки безплатно, ако за всеки опит се създава оценка и другите сайтове в организацията не ползват квотата. Turnstile позволява такъв обем без цена на отделна проверка. Premium има смисъл, когато екипът действително използва оценката, например за допълнително потвърждение на съмнителен опит, вместо да прилага един и същ отговор към всички.

Резултатът трябва да е обвързан с действието по регистрация, а правилата за честота да ограничават повтарящите се опити. При отказ на външната проверка акаунтът може да остане несъздаден до нов опит, като въведените данни се запазят по подходящ за формата начин. Тук цената на фалшивите акаунти и затруднените истински потребители е по-съществен критерий от самата цена на услугата.

Плащане с висок риск

Дори при условни 5000 опита месечно безплатният праг не решава избора. Успешната проверка на посетителя е само сигнал към правилата за честота, проверките на платежния доставчик и обработката на необичайни поръчки. Ако външната проверка откаже, операцията може да изчака нов опит или допълнителна проверка според риска; автоматичното ѝ одобрение би заобиколило тази контролна точка.

Сайтът трябва ясно да различава невалиден резултат от техническа недостъпност. Първият изисква нова проверка или отказ, докато вторият изисква предвиден резервен процес и разбираемо съобщение към клиента. Това решение принадлежи на платежния процес, а не на уиджета, който показва или скрива задача.

Какво показва измереното заобикаляне

Изследването Broken Gates изпитва Turnstile, reCAPTCHA v2 и v3, както и hCaptcha, срещу седем търговски услуги за решаване на задачи и шест браузърни агента с езикови модели. В тези тестове услугите за решаване заобикалят с много висок успех защитите с интерактивни задачи. Агентите също могат да преминат такива задачи, когато разполагат със специализиран модул за решаването им.

Неинтерактивната reCAPTCHA v3 показва по-силна устойчивост в изследваните конфигурации. Авторите обаче наблюдават различни резултати при агенти с почти еднакво поведение заради средата, от която действат. Това ограничава стойността на проста класация по името на продукта: режимът, настройките и видът нападател променят резултата. За формата има значение и каква злоупотреба остава след преминалите проверки — спам, фалшиви регистрации или рискови поръчки.

Сървърната проверка определя какво се приема

Указанията на Cloudflare за Siteverify изискват всеки токен да се проверява на сървъра; той е за еднократна употреба и изтича след пет минути. Уиджетът в браузъра сам не защитава крайната точка на формата. Когато са зададени очаквани хост и действие, сървърът трябва да ги сравни с отговора. При reCAPTCHA той също трябва да използва получената оценка в собственото си решение, вместо да приема сигнал от браузъра за окончателно одобрение.

Изтеклият токен е особено важен при дълга форма: човек може да е попълнил коректно данните, но да има нужда от нова проверка при изпращането. При недостъпна услуга за проверка поведението трябва да следва риска на конкретната форма — повторен опит за контактно съобщение, задържана регистрация или отложена рискова операция. За интеграцията на Cloudflare ролята на сървърната проверка на Turnstile е решаваща и след инсталирането на уиджета.

Прочетете също:

• Turnstile Spin инсталира защитата, но сървърната проверка остава решаваща
• Matomo или Google Analytics: безплатното измерване има цена в контрола
• Bitwarden или 1Password: безплатният план срещу по-полираната услуга