Turnstile o reCAPTCHA: gratis non significa stessa barriera ai bot

Per proteggere moduli e accessi, Turnstile è più prevedibile quando il volume delle verifiche gratuite è la priorità: non impone una soglia di traffico. reCAPTCHA offre invece una quota mensile e modalità di controllo diverse. Il prezzo, l'esperienza degli utenti e la capacità di fermare un abuso vanno valutati separatamente: superare un controllo non dimostra che la richiesta provenga da una persona.

Per un modulo molto frequentato, il modello gratuito di Turnstile può essere conveniente. Per un accesso esposto a tentativi ripetuti, pesa di più il modo in cui il sito usa il risultato della verifica insieme ai propri segnali. In entrambi i casi, il controllo nel browser è un filtro; la decisione di accettare una richiesta appartiene al server.

Il costo dipende da ciò che viene contato

Il piano Free di Cloudflare Turnstile comprende fino a 20 widget per account, challenge e richieste di verifica illimitate e fino a 10 nomi host per widget; Cloudflare dichiara inoltre la conformità WCAG 2.2 AAA. Un widget è una configurazione del controllo, non una singola verifica: un sito che riceve molti invii può restare nel piano gratuito, mentre chi gestisce numerose configurazioni separate deve considerare il limite sui widget e sugli host.

Il listino Google Cloud per reCAPTCHA assegna a Essentials fino a 10.000 assessment gratuiti al mese per organizzazione; Premium conserva quella franchigia, richiede uno strumento di fatturazione e prevede addebiti oltre soglia. Enterprise è presentato come abbonamento con un impegno mensile di volume. La denominazione del piano conta: la quota gratuita del listino attuale appartiene a Essentials e Premium, non all'offerta Enterprise a contratto.

Gli assessment gratuiti di Google sono condivisi fra account e siti della stessa organizzazione. Per stimare il costo bisogna quindi sommare le chiamate dei percorsi protetti, inclusi gli accessi e i moduli che generano molto traffico legittimo. Per Turnstile la domanda economica è diversa: occorre capire quante configurazioni e quanti host servono, oltre al volume atteso. Confrontare soltanto la parola «gratis» nasconde questa differenza.

Quale controllo incontra chi usa il sito

La guida Google alle versioni di reCAPTCHA distingue la casella di v2, che può richiedere una sfida, dalla variante v2 invisibile, che interviene sui casi ritenuti sospetti. v3 non chiede un'azione esplicita: restituisce un punteggio che il sito può usare per consentire l'operazione, chiedere un controllo aggiuntivo o limitare la richiesta. Parlare di reCAPTCHA come di un'unica esperienza utente è quindi poco utile.

Anche Turnstile può completare verifiche senza chiedere un'azione alla persona oppure presentare un controllo visibile, secondo la configurazione e il contesto. La differenza percepita non si esaurisce nel widget: contano il tempo di attesa, la possibilità di usare tastiera e tecnologie assistive, la chiarezza degli errori e il percorso previsto quando il controllo fallisce. La dichiarazione di accessibilità del prodotto non rende automaticamente accessibile l'intero modulo che lo contiene.

Un controllo silenzioso evita di interrompere molti invii, ma può rendere opaco un rifiuto. Su un accesso importante, un messaggio comprensibile e una via di recupero aiutano l'utente legittimo a capire come procedere. La scelta fra casella, verifica invisibile e punteggio riguarda dunque anche il costo dei falsi positivi, non solo la fluidità del percorso normale.

Privacy e integrazione cambiano la scelta

Le FAQ di Google su reCAPTCHA indicano che l'esecuzione imposta il cookie necessario _GRECAPTCHA per l'analisi del rischio e propongono recaptcha.net come alternativa a google.com, dominio che può impostare altri cookie. Per un sito rivolto al pubblico italiano, la valutazione della privacy deve riguardare la configurazione realmente adottata, i dati trattati e le informazioni fornite agli utenti. Un giudizio generico sul marchio non sostituisce questa verifica.

L'integrazione richiede che il server validi il token prima di accettare un invio o completare un accesso. Mostrare il controllo nella pagina senza verificare la risposta sul server lascia l'operazione esposta a richieste dirette all'endpoint. La chiave segreta deve restare fuori dal codice accessibile al browser e l'esito deve essere collegato all'azione che il sito sta autorizzando.

Conta anche il comportamento quando la verifica non riesce. Un token scaduto, un servizio temporaneamente indisponibile e una risposta respinta producono lo stesso ostacolo per l'utente, ma richiedono decisioni applicative diverse. Su un modulo si può offrire un nuovo tentativo; per un accesso sensibile, accettare automaticamente la richiesta in caso di errore svuoterebbe il controllo. Il percorso di recupero va progettato insieme alla regola di sicurezza.

Che cosa mostrano i test sui solver

Lo studio Broken Gates ha valutato sette servizi commerciali di solving e sei agenti di navigazione contro configurazioni che includevano reCAPTCHA v2, reCAPTCHA v3 e Turnstile. Nei test controllati, i servizi che supportavano reCAPTCHA v2 e Turnstile hanno superato con grande regolarità le configurazioni esaminate; contro la valutazione comportamentale di v3 gli esiti sono stati più deboli e variabili. Il risultato appartiene a quei servizi, a quelle configurazioni e al metodo dello studio: non è il tasso di aggiramento di qualunque sito che installi uno dei prodotti.

Solver commerciali e agenti non sono la stessa cosa. Un solver può fornire all'automazione un token valido; un agente deve anche attraversare il percorso del sito e operare in un ambiente browser che il controllo ritenga credibile. Nello studio, agenti con interazioni simili hanno ottenuto esiti diversi quando cambiava l'ambiente di esecuzione. La resistenza osservata di una modalità dipende quindi anche da come viene condotto l'attacco.

Una sfida visibile non offre per forza una barriera più robusta, così come un'esperienza poco invasiva non implica una protezione inferiore. Il confronto utile è fra configurazioni e avversari definiti, non fra etichette commerciali. Un token accettato indica che la verifica è stata superata: da solo non certifica l'identità o l'intenzione di chi invia il modulo.

La barriera efficace si costruisce sul server

Per lo spam su un modulo, il controllo anti-bot può ridurre gli invii indesiderati prima che raggiungano la gestione dei messaggi. Per gli accessi, va affiancato a limiti sui tentativi, segnali relativi all'account e all'origine delle richieste e verifiche aggiuntive quando il comportamento cambia. Sono misure con ruoli diversi: il widget valuta una richiesta, mentre le regole del sito possono riconoscere una sequenza di azioni che, presa una alla volta, sembrerebbe ammissibile.

Le soglie devono essere osservabili e correggibili. Se aumentano gli invii abusivi accettati, la difesa può essere troppo permissiva; se crescono gli utenti legittimi respinti o costretti a ripetere il controllo, può essere troppo severa. Registrare l'esito delle verifiche e rivedere i falsi positivi permette di adattare le regole senza trasferire indiscriminatamente il costo della difesa agli utenti.

La scelta per un sito ad alto volume può favorire Turnstile quando i suoi limiti di configurazione sono sufficienti. reCAPTCHA può essere più adatto quando il sito vuole usare una specifica modalità di valutazione e sa gestire la quota mensile e gli eventuali addebiti. In entrambi i casi, il criterio decisivo è quale risposta il server dà a un rischio rilevato, a una verifica fallita e a un utente bloccato per errore.

Leggi anche:

• Shopify o WooCommerce: il software gratis non azzera il costo del negozio
• Backup anti-ransomware: immutabile non significa già ripristinabile
• Codex o Claude Code: meno token non significa sempre lavorare meglio