Turnstile või reCAPTCHA: tasuta lahendus ei pruugi roboteid paremini tabada

Lihtsa kontaktvormi jaoks on Cloudflare Turnstile sageli soodsam lähtekoht, sest tasuta kasutusel pole kontrollpäringute mahupiiri. reCAPTCHA Essentials sobib samuti väikese koormusega vormile, kuid selle tasuta hindamiste arv on piiratud. Kumbki hind ei tõesta, et teenus peatab rohkem roboteid: suure riskiga sisselogimise või makse juures loevad ka riskihinnang ja serveris tehtavad otsused.

Valik sõltub kaitstavast tegevusest. Rämpskirja vähendaval päringuvormil on ühe läbipääsenud roboti võimalik kahju väiksem kui kontode ülevõtmist või korduvaid maksekatseid lubavas voos. Privaatsust ja kasutajale tekkivat katkestust tuleb hinnata koos kuluga; eri saitide kiirusnäitajad ning kontrollitud ründetestid aitavad valiku piire mõista, kuid ei asenda oma liikluse vaatlust.

Hind: piiramatu kontrollide arv või tasuta kuupiir

Cloudflare'i Turnstile'i plaanide tabel lubab Free-paketis piiramatul arvul kontrollpäringuid, kuid kuni 20 vidinat konto kohta ja 10 hostinime ühe vidina kohta; teenus ei nõua Cloudflare'i sisuedastusvõrgu kasutamist. Väikese ettevõtte jaoks tähendab see võimalust kaitsta suurema liiklusega vormi ilma iga lisakontrolli eest tasumata. Mitme eraldi veebilehe korral tuleb siiski arvestada vidinate ja hostinimede piiridega.

Google'i reCAPTCHA toote- ja hinnakirjeldus annab Essentialsile kuni 10 000 tasuta hindamist kuus organisatsiooni kohta ning määrab Premiumis 10 001–100 000 hindamise hinnaks kokku 8 USA dollarit kuus; kirjeldus nimetab riskisignaalidena muu hulgas käitumist, seadet ja IP-aadressi ning ütleb, et kogutud andmeid ei kasutata isikupärastatud reklaamiks. Tasuta maht liidetakse organisatsiooni kõigi saitide peale. Üks tagasihoidlik vorm võib seega jääda tasuta piiridesse, kuid mitme poe või suure kampaania liiklust tuleb arvestada koos.

Hindamise ühik on kaitstud tegevus, mitte tingimata lõpetatud tellimus või kliendi päring. Kui kontroll käivitub sisselogimisel, registreerimisel ja ostu kinnitamisel, kasvatavad kõik need tegevused kasutusmahtu. Turnstile'i suurem tasuta kasutusruum annab kulueelise, ent mõlema teenuse väärtus sõltub sellest, millise kuritarvituse eest konkreetne vorm kaitset vajab.

Privaatsus ja nähtamatu kontrolli tegelik tähendus

Cloudflare'i Turnstile'i tehniline ülevaade ütleb, et teenus töötleb kontrolliks vajalikke brauseri- ja keskkonnasignaale, kuid ei loe, salvesta ega edasta vormi sisestatud sisu; seal on kinnitatud ka vastavus WCAG 2.2 AA nõuetele. Hallatav režiim võib riski põhjal näidata märkeruutu, teised režiimid toimivad kasutaja sekkumiseta või jäävad nähtamatuks. Nõuetele vastav vidin ei muuda siiski automaatselt ligipääsetavaks kogu vormi, sealhulgas selle veateateid ja taastumise võimalust.

Ka reCAPTCHA võib anda riskihinnangu ilma pildimõistatuseta. Nähtamatus ei tähenda kummagi teenuse puhul, et brauserist ei liiguks kaitseks signaale. Eesti veebipidaja jaoks on oluline teada, milline teenuse variant on kasutusel, milliseid andmeid tema seadistus töötleb ja kuidas seda külastajale selgitada.

Külastaja jaoks ilmneb kasutusmugavuse erinevus sageli tõrkehetkel. Kui kontroll ei laadi või takistab ekslikult inimest, saab kontaktvormile pakkuda muud ühenduskanalit; konto taastamisel või ostu kinnitamisel peab varutee säilitama sama turvalisuse. Selle kujundamine ja katsetamine on arenduskulu, mida kumbki tasuta pakett ei eemalda.

Kiirus: INP ei näita ühe vidina lisatud millisekundeid

2026. aasta teise kvartali veebivälja andmetes oli reCAPTCHAga saitide INP p75 114 ms 49 481 saidi hulgas ning Turnstile'iga saitidel 149 ms 387 saidi hulgas. INP mõõdab lehe reageerimist kasutaja tegevusele. Need on eri saitide tulemused, mitte katse, kus samale lehele lisati kord üks ja siis teine kontroll.

Valimite suurus ja saitide ülesehitus erinevad märgatavalt. Reageerimist võivad mõjutada vormi enda JavaScript, muud kolmanda osapoole skriptid ning see, millal kontroll käivitub. Seetõttu ei saa näitajate vahet tõlgendada Turnstile'i põhjustatud aeglustusena ega lubada reCAPTCHAga kiiremat ostukorvi. Konkreetse veebilehe puhul on sisukam võrrelda sama vormi kasutajate tegevusi enne ja pärast muudatust ning vaadata eraldi mobiilset liiklust.

Mida AI-agentide ründetest tegelikult näitas?

2026. aasta kontrollitud ründeuuringus katsetati kuut AI-brauseriagenti ja seitset kommertslikku CAPTCHA lahendusteenust eraldi testvormidel, mida kaitsesid muu hulgas Turnstile ning reCAPTCHA v2 ja v3. Lahendusteenused läbisid katsetes Turnstile'i mõlemad režiimid ja reCAPTCHA v2 variandid väga sageli, samal ajal kui reCAPTCHA v3 riskiskoor osutas neile rohkem vastupanu. See võrdlus käib testitud seadistuste, ründemeetodite ja vormide kohta; päris veebipoe tabamismäära sellest välja lugeda ei saa.

AI-agendid ise ei käitunud lahendusteenustega ühtemoodi. Paljud vaikeseadistuses agendid ei läbinud kaitset; eraldi lahendusmoodul või tavapärase kasutaja brauseriprofiiliga keskkond muutis mõnes katses tulemust. Sarnane nähtav käitumine võib anda erineva tulemuse, kui brauseri keskkonna usaldusväärsuse signaalid erinevad. Seepärast ei mõõda märkeruudu raskus üksi kogu robotikindlust.

Valikumaatriks vormi ja võimaliku kahju järgi

• Väike kontaktvorm. Turnstile on mõistlik esimene valik, kui põhikulu on rämpspäringute käsitlemine ja oluline on etteaimatav teenusehind. reCAPTCHA Essentials võib sama väikese koormuse korral samuti tasuta sobida. Otsustamisel loevad ka olemasolev tehniline seadistus, õigete päringute kohalejõudmine ja see, kas külastaja saab tõrke korral ühendust võtta.
• E-pood. Uudiskirjaga liitumisel, konto loomisel ja makse juures on kuritarvituse tagajärjed erinevad. Suure mahuga lihtsal vormil võib Turnstile'i piiramatu tasuta kontrollide arv kulusid vähendada. Maksepettuse või kampaania väärkasutuse korral on olulisem hinnata tellimuse, makse ja konto riskisignaale koos; laiema tehingukaitse vajadus võib viia Google Cloud Fraud Defense'i võimaluste juurde.
• Suure riskiga kasutajakonto. Võrdle seda, kas süsteem saab anda sisselogimisele ja taastamisele riskihinnangu ning kas rakendus oskab kahtlase katse peatada või nõuda lisakinnitust. Konto- ja paroolikaitse võimalused kuuluvad reCAPTCHA tasulistesse pakettidesse, mitte Essentialsi. Turnstile võib jääda üheks kontrolliks, kui konto ülejäänud kaitse on rakenduses eraldi korraldatud.

Kontrolli tulemus peab jõudma serveri otsuseni

Vidina kuvamine brauseris ei kinnita serverile, et päring on lubatud. Rakendus peab saadud kontrollitõendi enne sõnumi saatmist, konto loomist või tellimuse vastuvõtmist teenuse poolel valideerima ning siduma tulemuse õige toiminguga. Vastasel juhul saab vormi lõpp-punkti kutsuda ka ilma tavapärast lehte läbimata. Kui valideerimine ebaõnnestub, peab rakendus määrama selge ja turvalise vastuse, mitte vaikimisi jätkama.

Lisaks tasub piirata korduvate katsete kiirust konto ja tegevuse järgi. Riskiskoor annab väärtust alles siis, kui selle põhjal tehakse eri tegevustele sobiv otsus: kahtlane sisselogimine võib vajada lisakinnitust, samal ajal kui kontaktpäringu puhul piisab teistsugusest kontrollist. Nii ei muutu vormikaitse ainsaks läbipääsupunktiks, mille ületamine avab ründajale kogu konto või ostuprotsessi.

Loe ka:

• Brave või Firefox: vaikekaitse ei lahenda kogu privaatsusvalikut
• Google Drive või OneDrive: kiirus ei pruugi valikut üldse otsustada
• Cursor või GitHub Copilot: odavam plaan ei tähenda odavamat agenti