Turnstile atau reCAPTCHA: gratis belum tentu paling kuat menahan bot

Untuk formulir dengan volume kiriman tinggi, Cloudflare Turnstile memberi biaya yang lebih mudah diperkirakan karena paket gratisnya tidak membatasi jumlah permintaan verifikasi. reCAPTCHA lebih menarik bila situs membutuhkan penilaian risiko per tindakan atau perlindungan akun yang lebih khusus, dengan konsekuensi kuota dan fitur berbayar. Keduanya tetap memerlukan pemeriksaan token di server; pilihan layanan saja tidak menentukan apakah kiriman bot akhirnya ditolak.

Biaya gratis juga tidak menjamin tingkat deteksi tertinggi. Dalam uji Proof of Human atas 750 sesi otomatis, tingkat deteksi sistem yang dibandingkan berkisar 33–87 persen dan reCAPTCHA v3 mengidentifikasi lebih banyak bot daripada Turnstile. Hasil itu menjawab sebagian pertanyaan tentang bot, tetapi belum menunjukkan berapa banyak pengunjung manusia yang akan keliru terhambat.

Biaya: volume besar mengubah perbandingan

Paket Turnstile Free mencakup tantangan dan permintaan verifikasi tanpa batas volume, dengan batas 20 widget per akun serta 10 nama host per widget. Artinya, situs dengan lonjakan pengiriman formulir tidak perlu menghitung biaya Turnstile dari tiap permintaan verifikasi. Batas widget dan nama host tetap relevan bagi organisasi yang mengelola banyak situs atau memisahkan lingkungan pengembangan dari produksi.

Harga reCAPTCHA di Google Cloud menetapkan Essentials gratis hingga 10.000 assessment per organisasi per bulan; Premium mengenakan biaya tetap US$8 untuk pemakaian 10.001–100.000 assessment dan US$1 per 1.000 assessment setelahnya. Jatah gratis dihitung bersama untuk seluruh akun dan situs dalam organisasi. Karena itu, perkiraan volume perlu mencakup semua tindakan yang dinilai, bukan hanya kunjungan ke satu formulir.

Cakupan produk juga memengaruhi arti harga tersebut. Essentials memberi pertahanan bot dasar, sementara Account Defense, Password Defense, dan Transaction Defense tercantum pada tingkat berbayar di platform Google Cloud Fraud Defense. Fitur perlindungan akun atau transaksi itu tidak otomatis diperoleh hanya karena situs memasang reCAPTCHA pada formulir. Untuk formulir kontak sederhana, selisih cakupan tersebut mungkin kecil artinya; untuk login, pendaftaran akun, atau pembayaran, perbedaan fitur dapat menentukan rancangan perlindungan.

Integrasi: token harus diperiksa oleh server

Pada Turnstile, widget menghasilkan token di browser, kemudian backend mengirim token itu ke Siteverify API. Panduan integrasi Turnstile menyatakan validasi server wajib dilakukan; token berlaku lima menit dan hanya dapat divalidasi sekali. Karena browser berada di sisi yang dapat dimanipulasi pengirim, menerima formulir hanya karena ada token di permintaan akan melewati pemeriksaan keasliannya. Server perlu memutuskan apakah kiriman diproses setelah menerima hasil validasi, termasuk ketika token sudah kedaluwarsa atau dipakai ulang.

Untuk integrasi reCAPTCHA berbasis assessment, backend juga menerima token dari halaman lalu mengirimnya ke layanan Google. Petunjuk assessment Google meminta pemeriksaan validitas token dan hasil penilaian di backend untuk kunci berbasis skor maupun checkbox; token sekali pakai itu kedaluwarsa dalam dua menit. Pada kunci berbasis skor, respons memuat skor risiko yang perlu diterjemahkan menjadi keputusan aplikasi. Karena itu, pekerjaan integrasi mencakup kebijakan untuk menerima, menahan, atau meminta verifikasi lanjutan pada tindakan tertentu.

Perbedaan ini terasa saat ada lebih dari satu tindakan yang dilindungi. Formulir kontak dapat memakai keputusan sederhana sesudah token Turnstile dinyatakan sah, sedangkan login dapat membutuhkan respons bertingkat terhadap skor dan sinyal akun. Apa pun layanannya, endpoint formulir harus menegakkan keputusan tersebut di server. Jika token kedaluwarsa sebelum pengunjung menekan kirim, alur juga perlu menyediakan kesempatan memperoleh token baru tanpa membuang isian yang sudah dibuat.

Angka deteksi bergantung pada aturan uji

Pengujian tersebut memakai formulir pendaftaran, survei, ulasan produk, akses artikel melalui email, dan tugas kognitif. Setiap sistem dihadapkan pada bot skrip, otomasi browser, dan agen AI dengan jumlah percobaan yang sama. Posisi reCAPTCHA v3 di atas Turnstile berlaku untuk tugas, bot, dan setelan keputusan yang dipakai dalam eksperimen itu.

Cara hasil diklasifikasikan patut diperhatikan. Untuk reCAPTCHA v3, peneliti memakai ambang skor bot yang mereka tentukan; untuk Turnstile, mereka menghitung sesi sebagai bot ketika API mengembalikan verifikasi tidak berhasil. Ambang skor dapat menggeser berapa banyak sesi yang ditandai, sedangkan respons validasi token menjawab pertanyaan yang berbeda dari skor risiko bertingkat. Itulah sebabnya peringkat uji tersebut tidak dapat langsung diubah menjadi janji bahwa setiap situs akan memperoleh selisih deteksi yang sama.

Penelitian itu disusun oleh pendiri Proof of Human, produk lain yang ikut dibandingkan. Mereka tidak menguji manusia untuk menghitung false positive, yaitu pengunjung sah yang keliru ditandai sebagai bot, dan menyatakan data interaksi uji sulit direproduksi secara independen. Keterbatasan itu penting karena layanan yang menahan lebih banyak bot belum tentu memberi pengalaman terbaik jika banyak pengunjung sah ikut tertolak. Hasilnya tetap berguna sebagai petunjuk kemampuan menghadapi jenis otomasi tertentu, bukan ukuran lengkap ketepatan pada lalu lintas nyata.

Friksi pengguna dan keputusan akhir

Pengalaman pengguna tidak cukup diwakili oleh apakah tantangan visual muncul. Verifikasi yang berjalan tanpa interaksi dapat terasa lancar bagi sebagian besar pengunjung, tetapi kegagalan token, keputusan skor, atau permintaan verifikasi tambahan tetap dapat menghentikan pengiriman. Pada formulir kontak, kiriman sah yang gagal mungkin berarti pertanyaan pelanggan tidak masuk; pada login atau pembayaran, dampaknya bisa mengganggu tindakan yang lebih sulit diulang. Besarnya gangguan itu bergantung pada kebijakan situs dan alur pemulihan yang disediakan.

Untuk situs yang terutama ingin menahan spam formulir dengan volume besar dan biaya verifikasi tetap, Turnstile merupakan titik awal yang masuk akal. Untuk alur akun atau transaksi yang membutuhkan sinyal risiko lebih rinci, reCAPTCHA bersama tingkat layanan yang sesuai patut dibandingkan, termasuk biaya setelah jatah gratis. Pilihan terbaik bergantung pada tindakan yang dilindungi, keputusan backend terhadap hasil verifikasi, dan toleransi situs terhadap kiriman bot yang lolos serta pengunjung sah yang terhambat. Mengukur kedua jenis kesalahan secara terpisah memberi dasar yang lebih kuat daripada mengambil satu peringkat benchmark sebagai jawaban akhir.

Baca juga:

• Sol, Terra, atau Luna: model termurah belum tentu paling cepat
• Enam level membership YouTube tersedia—lebih banyak belum tentu lebih efektif
• Zoho Books atau Xero: kurs dolar dan jumlah pengguna membalik pilihan