Turnstile sau reCAPTCHA: gratuitatea nu oprește boții moderni

15 octombrie 2026 la 23:00|Autor: Echipa editorială QUASA|6 min de citit| 1

Pentru un formular obișnuit sau o autentificare cu trafic mare, Cloudflare Turnstile are avantajul unui cost al verificărilor fără plafon de volum în planul gratuit. reCAPTCHA devine mai interesant când aplicația are nevoie de evaluări de risc și de opțiuni pentru protecția conturilor ori a tranzacțiilor. Alegerea depinde de acțiunea protejată, de câte evaluări generează și de regulile pe care aplicația le poate aplica după verificare.

Prețul unui widget nu măsoară rezistența întregului serviciu. Serviciile comerciale de rezolvare pot furniza rezultate valide pentru configurații anti-bot testate, astfel că trecerea unei provocări trebuie tratată ca un semnal, nu ca aprobarea automată a unei autentificări sau plăți. Controlul final aparține aplicației, pe server.

Unde se schimbă costul

Fișa planurilor Turnstile indică pentru Free provocări și cereri de verificare nelimitate, până la 20 de widgeturi per cont și 10 nume de gazdă per widget; Cloudflare declară și conformitate WCAG 2.2 AAA pentru widgeturi. Limitele de configurare contează pentru proiectele cu multe domenii, chiar dacă traficul nu schimbă tariful. Declarația privind widgetul nu garantează accesibilitatea formularului complet în care acesta apare.

Grila de prețuri reCAPTCHA oferă prin Essentials 10.000 de evaluări gratuite lunar, cumulate la nivelul organizației; Premium cere un mijloc de plată valid, costă 8 USD pentru intervalul de la 10.001 la 100.000 de evaluări și adaugă 1 USD pentru fiecare 1.000 de evaluări peste acest prag. În aceeași grilă, Premium include opțiuni pentru apărarea conturilor și tranzacțiilor, iar unele funcții cer evaluări suplimentare. Acestea sunt tarifele serviciului, nu costul total al unei implementări.

Ca exemple ipotetice calculate din pragurile publicate, 50.000 de evaluări într-o lună ar costa 8 USD în Premium, iar 150.000 ar costa 58 USD. Pentru Turnstile Free, aceleași volume nu produc taxe de verificare dacă proiectul rămâne în limitele de configurare ale planului. O vizită poate genera mai multe evaluări, de pildă la înregistrare, autentificare și plată; traficul site-ului și volumul facturabil nu sunt aceeași măsură.

Formular mic: ambele pot fi gratuite

Un formular web cu 8.000 de trimiteri lunare ipotetice se încadrează în pragul gratuit reCAPTCHA și în verificările gratuite Turnstile.

Un formular de contact cu 8.000 de trimiteri evaluate lunar, într-un exemplu ipotetic, încape în plafonul gratuit reCAPTCHA numai dacă celelalte site-uri ale organizației nu consumă restul alocării. Turnstile elimină această grijă legată de volum, dar administratorul trebuie să țină cont de widgeturile și domeniile folosite. Pentru un proiect simplu, diferența de preț poate fi nulă; contează atunci efortul de integrare și experiența vizitatorului.

Fr icțiunea nu poate fi dedusă doar din denumirea modului de verificare. Un utilizator poate trece fără întrerupere, în timp ce altul poate primi o provocare sau poate întâmpina o eroare, în funcție de evaluarea făcută și de integrarea site-ului. Pentru un formular folosit pe mobil ori cu tastatura, accesibilitatea trebuie judecată la nivelul întregului flux: câmpuri, mesaje de eroare, verificare și confirmarea trimiterii.

Autentificare intensă: factura și apărarea contului

La 150.000 de autentificări evaluate lunar, în exemplul ipotetic de mai sus, Turnstile Free păstrează taxa de verificare la zero, iar calculul pentru reCAPTCHA Premium ajunge la 58 USD. Dacă sunt evaluate și înregistrarea sau recuperarea contului, consumul crește. O estimare făcută doar din numărul de accesări ale paginii de autentificare poate rata atât încercările repetate, cât și evaluările din celelalte fluxuri.

Costul acesta trebuie pus lângă riscul unui cont compromis. Un token valid poate însoți o încercare făcută cu o parolă furată; verificarea anti-bot nu stabilește dreptul persoanei de a folosi contul. Limitarea încercărilor, autentificarea suplimentară la risc ridicat și supravegherea activității după conectare răspund unor probleme diferite. Sunt decizii ale aplicației, indiferent de furnizorul widgetului.

Tranzacții cu risc: ce cumpără evaluarea suplimentară

O tranzacție online trece de verificarea anti-bot, apoi necesită o decizie separată privind riscul plății.

La o plată sau la folosirea unei promoții, întrebarea depășește distincția dintre om și automatizare: tranzacția poate fi abuzivă chiar dacă interacțiunea a trecut verificarea. Opțiunile Premium pentru conturi și tranzacții adaugă semnale de risc, dar funcțiile care cer evaluări suplimentare pot ridica volumul facturabil. De aceea, bugetul unui magazin trebuie construit din acțiunile evaluate efectiv, nu numai din numărul comenzilor finalizate.

Turnstile poate rămâne o verificare ieftină la intrarea în flux, în timp ce aplicația decide separat ce face cu o comandă neobișnuită. Frecvența încercărilor, istoricul contului și rezultatul verificării plății pot justifica o confirmare suplimentară. Nici blocarea bazată pe un singur semnal nu este neutră: poate opri un client legitim. Pragurile trebuie raportate la pierderea posibilă și la costul respingerilor greșite.

Integrarea: tokenul ajunge pe server

Tokenul Turnstile al unui formular este validat prin Siteverify înainte ca serverul să accepte cererea.

Instrucțiunile Turnstile cer generarea tokenului în pagină și validarea lui pe server prin Siteverify; tokenul expiră după cinci minute și poate fi validat o singură dată. Afișarea widgetului fără această cerere către Siteverify lasă ruta formularului fără verificarea promisă. Cheia secretă trebuie păstrată pe server, iar un token invalid, expirat sau reutilizat trebuie respins.

Pentru reCAPTCHA, documentația evaluărilor web descrie trimiterea tokenului din backend către serviciu și verificarea răspunsului, inclusiv a validității și a scorului de risc; în integrările bazate pe acțiuni, aplicația trebuie să compare acțiunea returnată cu cea așteptată. Scorul permite reguli diferite pentru conectare și plată, dar aplicația trebuie să stabilească pragurile și reacțiile. În ambele integrări, tokenul verificat este începutul deciziei serverului, nu înlocuitorul ei.

Ce au reușit să ocolească serviciile comerciale

Studiul Broken Gates a testat șapte servicii comerciale de rezolvare și șase agenți web pe configurații de reCAPTCHA v2, reCAPTCHA v3, Cloudflare Turnstile și hCaptcha. În mediul controlat al cercetării, serviciile care acceptau configurațiile Turnstile Managed și Invisible au reușit ocolirea în toate încercările măsurate; serviciile testate pe variantele reCAPTCHA v2 au avut tot succes complet. Pentru reCAPTCHA v3, media serviciilor a fost de 23% la pragul de scor folosit în experiment. Aceste rezultate descriu configurațiile și metoda studiului, nu rata garantată pe orice site.

Agenții web testați separat au avut, în general, rezultate mai slabe fără un modul dedicat de rezolvare. Diferența arată de ce „bot modern” nu desemnează o singură capacitate: o automatizare poate apela un serviciu comercial, iar rezultatul depinde și de mediul browserului și de modul de verificare ales. Pentru acțiunile cu miză mare, aplicația are nevoie de reguli care limitează abuzul chiar și atunci când solicitarea vine cu un token valid.

Citește și:

Distribuie: