Turnstile
Turnstile je alternativa CAPTCHA od Cloudflare: malý widget, který pomocí neviditelných testů v prohlížeči potvrdí, že návštěvník je člověk — žádné klikání na semafory, žádný pokroucený text a žádný prodej uživatelských dat komukoli.
Přehled
Tradiční CAPTCHA zdaňují vaše legitimní uživatele, aby znepříjemnily život útočníkům — a ekonomika se mezitím obrátila: řešitelské služby a ML modely luští obrázkové hádanky lacino, zatímco skuteční lidé formuláře raději opustí, než aby s nimi bojovali. Každá vteřina tření navíc na registračním či objednávkovém formuláři měřitelně stojí konverze.
Turnstile nahrazuje hádanku neinteraktivními testy v prohlížeči: drobnými proofs of work a behaviorálními signály vyhodnocovanými v prohlížeči návštěvníka, v naprosté většině případů neviditelně. Do libovolného webu se vkládá jako widget všude tam, kde byste použili reCAPTCHA nebo hCaptcha, a funguje na jakémkoli webu — váš web nemusí běžet na Cloudflare.
Klíčové funkce
- Neviditelné ověření pro většinu návštěvníků — nikdy žádné obrázkové ani textové hádanky
- Tři režimy widgetu: managed (Cloudflare rozhodne, zda je potřeba interakce), neinteraktivní a plně neviditelný
- Drop-in kompatibilita s integračními vzory ve stylu reCAPTCHA, díky níž je migrace přímočará
- Funguje na jakémkoli webu bez ohledu na to, zda jeho provoz prochází přes Cloudflare
- Ověření na straně serveru přes Siteverify API, takže tokeny nelze přehrát ani padělat
- Soukromí od návrhu: žádné reklamní sledovací cookies, žádný prodej uživatelských dat, minimální sběr dat
- Pre-clearance integrace s Cloudflare WAF/Bot Managementem, která na chráněných webech omezuje opakované challenge
- Analytika úspěšnosti řešení, výkonu widgetu a podezřelé aktivity
Jak to funguje
Na stránky, které chcete chránit — přihlášení, registraci, checkout, kontaktní formuláře — vložíte odlehčený JavaScriptový widget. V prohlížeči návštěvníka Turnstile spouští rotující sadu neinteraktivních testů: JavaScriptové proofs of work, kontroly konzistence prostředí prohlížeče a behaviorální signály, podpořené poznatky strojového učení, které Cloudflare získává z botího provozu potíraného napříč jeho sítí. Většina lidí nevidí nic než krátký spinner a fajfku.
Při úspěchu widget vytvoří jednorázový token, který váš frontend odešle spolu s formulářem. Váš backend pak před přijetím akce zavolá Siteverify API a token ověří — tento krok na straně serveru je nezbytný, protože právě on brání botům tokeny jednoduše přehrávat nebo si je vymýšlet.
Pokud váš web navíc běží za Cloudflare, může Turnstile vydat clearance, kterou WAF a Bot Management respektují, takže ověřený uživatel není při dalším procházení znovu challengován. Signály nikdy nezávisejí na sledování uživatelů napříč webem — a právě to umožňuje, aby byl Turnstile účinný a zároveň vyhověl přísným nárokům na soukromí.
Tarify a licencování
Turnstile je pro typické použití zdarma, včetně komerčních webů, se štědrými limity počtu widgetů a hostnames. Úroveň Enterprise přidává vyšší limity, podnikové funkce a podporu. Nevyžaduje vůbec žádný zónový tarif Cloudflare. Stav k roku 2026, může se měnit — ověřte si s námi aktuální limity.
Nasazení s Integrity
Integrity jako certifikovaný partner Cloudflare pro střední a východní Evropu dodává tento produkt od začátku do konce — včetně bezplatného pilotního provozu, díky němuž uvidíte výsledky na vlastním provozu ještě předtím, než se k čemukoli zavážete. Typické nasazení:
- Analýza. Identifikujeme formuláře a endpointy trpící zneužíváním — falešné registrace, credential stuffing, spam — a případnou stávající CAPTCHA k nahrazení.
- Bezplatný pilot. Turnstile se přidá na jeden silně zneužívaný formulář spolu s ověřením na straně serveru; porovnáme objem botů a míru dokončení formuláře lidmi proti předchozímu stavu.
- Integrace. Widgety se rozšíří na další formuláře; backendové ověření se implementuje v každé službě přijímající chráněná odeslání; odstraní se závislosti na staré CAPTCHA.
- Ladění. Pro každý formulář se zvolí režim widgetu (neviditelný, kde to jde) a analytika se kontroluje na anomálie v úspěšnosti řešení.
- Obrana do hloubky. Kde web běží na Cloudflare, Turnstile se zkombinuje s rate limitingem WAF a pravidly pro boty pro vrstvenou ochranu.
- Předání. Vaši vývojáři dostanou integraci zdokumentovanou a otestovanou — a ozvěte se nám, pokud se vzorce zneužívání později změní.
Chcete začít? Kontaktujte nás a domluvíme bezplatný pilotní provoz.
Časté dotazy
Uvidí návštěvníci někdy hádanku?
Ne. Turnstile nikdy nezobrazuje obrázkové ani textové hádanky. V managed režimu může být malá menšina podezřelých relací požádána o jediné kliknutí na checkbox; všichni ostatní vidí nanejvýš krátké automatické ověření.
Jak náročná je migrace z reCAPTCHA?
Obvykle hodiny, ne dny. Widget na straně klienta se řídí stejnými implicitními/explicitními vzory renderování a na straně serveru jde o výměnu jednoho ověřovacího endpointu a secretu za jiný. Drop-in výměny jsme provedli bez jakéhokoli redesignu formulářů.
Stačí Turnstile sám o sobě na zastavení botů?
Pro formuláře, které chrání, je silnou bránou — odhodlaní útočníci ale zkoušejí i API a endpointy bez widgetů. Berte Turnstile jako jednu vrstvu: v kombinaci s rate limitingem a (na webech proxovaných přes Cloudflare) skórováním botů je celek mnohem silnější než kterákoli jednotlivá kontrola.