Turnstile vagy reCAPTCHA: az ingyenes keret nem az egyetlen kockázat

Egyszerű kapcsolatfelvételi vagy rendelési űrlaphoz a Cloudflare Turnstile gyakran jó kiindulópont. A Google reCAPTCHA akkor lehet indokolt, ha az üzemeltető a Google kockázatértékelését és a hozzá kapcsolódó funkciókat kívánja használni. A választást azonban a díjkeret mellett az dönti el, hogy az ellenőrzés mennyi akadályt jelent a jogos látogatóknak, és hogyan működik hibák vagy automatizált támadások esetén.

Azonos űrlapfolyamatban érdemes összevetni a havi értékelésszámot, a látogatónak megjelenő feladatot, a szerveroldali döntést és a továbbított adatokat. Az ingyenes használat önmagában nem sokat ér, ha a kvóta kimerülése megakasztja a beküldést, vagy a böngészőben sikeresnek látszó ellenőrzést a kiszolgáló nem érvényesíti.

Mit jelent valójában az ingyenes keret?

A Turnstile csomagleírása szerint az ingyenes változat korlátlan számú ellenőrzési kérést enged, de fiókonként legfeljebb 20 widgetet és widgetenként 10 előre megadott hostnevet kínál; az elemzési adatok legfeljebb 7 napra tekinthetők vissza. Egy webáruház néhány űrlapjánál ezért a forgalom önmagában nem indokol csomagváltást. Több különálló ügyféloldalt kezelő fejlesztőnél inkább a widgetek és a hostnevek kiosztása válhat korláttá.

A Google számlázási szabályai szervezetenként és naptári hónaponként 10 000 ingyenes reCAPTCHA-értékelést adnak, az összes fiók és webhely forgalmát együtt számolva. Számlázás nélküli Essentials-projektben az ezt követő kérések 429-es kvótahibát kapnak. Számlázással működő Premium-projektben a 10 001 és 100 000 közötti havi értékelések díja 8 dollár átalányban, efölött pedig további 1 dollár ezer értékelésenként.

A költségterv alapja az értékelések száma, nem a sikeresen elküldött űrlapoké. A belépés, a regisztráció és a rendelés ugyanannak a szervezetnek a közös keretét fogyaszthatja; ismételt próbálkozáskor új értékelésre is szükség lehet. A csúcsforgalom ezért fontosabb tervezési adat, mint egyetlen űrlap átlagos havi beküldésszáma.

Mekkora akadályt jelent a látogatónak?

A felhasználói élmény a kiválasztott beállítástól függ. A Turnstile kínál látható widgetet és háttérben működő ellenőrzést; a reCAPTCHA kínál jelölőnégyzetes, illetve pontszámra épülő változatot. Nem volna tisztességes egy látogatói beavatkozást kérő beállítást egy háttérben futóval összehasonlítani, majd a különbséget kizárólag a szolgáltatónak tulajdonítani.

Rendelési űrlapnál a megjelenő feladvány mellett az is számít, hány jogos vásárló jut el a megerősítésig, és hánynak kell újrakezdenie a beküldést. Mobilon vagy segítő technológiával egy rövidnek tűnő megszakítás is eltérő akadályt jelenthet. Ezeket az adatokat az adott űrlapon lehet értelmezni: a szolgáltató általános ígérete nem mutatja meg, hogy a saját vásárlók hol akadnak el.

Mi történik a böngészőben kapott tokennel?

A Turnstile bevezetési útmutatója szerint a böngészőben létrejött tokent a kiszolgálónak a Siteverify API-val kell ellenőriznie. A token egyszer használható és 5 percig érvényes; a widget olyan webhelybe is beépíthető, amelynek forgalma nem halad át a Cloudflare hálózatán. A felületen látható sikerjelzés tehát nem helyettesíti a szerveroldali jóváhagyást.

A Google értékelési útmutatója minden webes kulcstípusnál szerveroldali assessment létrehozását írja elő. A reCAPTCHA-token egyszer használható és 2 perc után lejár; a válaszban ellenőrizhető az érvényessége és a kockázati eredmény, a műveletet használó integrációnál pedig az elvárt és a visszakapott művelet egyezése. Pontszámot adó változatnál az üzemeltetőnek kell meghatároznia, mely eredmény engedi tovább a beküldést.

Az integráció része az is, hogy mi történik lejárt tokennél, hibás válasznál vagy az ellenőrző szolgáltatás átmeneti elérhetetlenségénél. A feltétel nélküli továbbengedés visszaélési lehetőséget teremt, a minden hibát végleges elutasításként kezelő szabály pedig jogos ügyfeleket állíthat meg. Más következménye van egy elveszett kapcsolatfelvételi üzenetnek és egy tévesen elfogadott fiókbelépésnek, ezért a hibaszabályt az űrlap feladatához kell igazítani.

Milyen adatkezelési döntést hoz az üzemeltető?

Mindkét szolgáltatásnál számít, hogy az ellenőrzés mely oldalakon töltődik be, és a saját kiszolgáló milyen adatokat ad át az értékeléshez. A Google az imént hivatkozott útmutatóban a felismerés javítására a böngésző azonosítóját, a felhasználó IP-címét, valamint hálózati ujjlenyomatokat is javasol továbbítani. E mezők használata külön döntés az alapvető tokenellenőrzésen felül, ezért a tényleges integrációt kell összevetni az adatkezelési tájékoztatóval.

A magyarországi űrlapüzemeltetőnek azt is tisztáznia kell, ki fér hozzá a védelmi naplókhoz, mennyi ideig őrzi őket, és hogyan kezeli a sikertelen ellenőrzéseket. Érzékeny adatot kérő űrlapnál különösen lényeges elválasztani a beküldött tartalmat a botvédelemhez átadott jelektől. A feladvány hiánya a látogatói élményről mond valamit; az adatkezelés megítéléséhez a tényleges adatáramlás szükséges.

Mit mutat az MI-ügynökök elleni mérés?

Egy 2026-ban közzétett kontrollált mérés hét kereskedelmi CAPTCHA-megoldó szolgáltatást vizsgált azonos alaplogikájú tesztűrlapokon, többek között Turnstile-, reCAPTCHA v2- és reCAPTCHA v3-beállítások ellen. A támogatott szolgáltatások a vizsgált Turnstile-beállításokon, valamint a reCAPTCHA v2 két változatán rendre sikeresek voltak a tesztelt próbálkozásokban. A reCAPTCHA v3 esetében a megoldó szolgáltatások átlagos sikere 23% volt a tanulmányban használt pontszámküszöbnél.

A böngészőügynökök eredménye nem rendezhető egyszerű márkarangsorba. A vizsgált alapbeállítások között több ügynök elakadt, míg a valódi böngészőprofilban működő NanoBrowser egyes védelmeket átjutva teljesítette a beküldést. A tanulmány külön konfigurációkat és támadói eszközöket mért, így az eredmény nem jósolja meg egy magyar webáruház támadási arányát. Arra viszont rámutat, hogy a látogatónak megjelenő feladat nehézsége nem azonos a teljes űrlapfolyamat támadási ellenállásával.

Hogyan áll össze a döntés ugyanazon az űrlapon?

Összevethető próba esetén azonos beküldési ponton, azonos üzleti szabályok mellett kell figyelni a két megoldást. A döntési mátrixban ezek a kérdések adnak külön információt:

• Keret: mennyi a szervezet teljes havi értékelésszáma, mekkora a csúcs, és mit okoz egy kvótahiba?
• Ügyfélélmény: hány jogos látogató próbálkozik újra vagy hagyja félbe az űrlapot a választott megjelenítési módban?
• Integráció: hogyan kezeli a kiszolgáló az érvénytelen tokent, a kockázati eredményt és a szolgáltatási hibát?
• Adatkezelés és visszaélés: milyen jelek kerülnek a szolgáltatóhoz, és hány kéretlen beküldés jut át a teljes ellenőrzésen?

Ha a forgalomhoz kötött díj elkerülése és az egyszerű beépítés a fő szempont, a Turnstile jó kiindulópont. Ha a Google pontszámra épülő kockázatértékelése vagy további védelmi funkciói illeszkednek a meglévő rendszerhez, a reCAPTCHA lehet indokolt. A választást az adott űrlapon tapasztalt ügyfélélmény, a vállalható adatkezelés és a ténylegesen érvényesített szerveroldali szabály együtt dönti el.

Olvassa el ezt is:

• AnswerThePublic és Google Trends együtt: a kérdés még nem bizonyít keresletet
• n8n vagy Make: az önálló üzemeltetés ára nem csak a szerverdíj
• EV vagy kft: a 3 milliós tőke nem az egyetlen választóvonal