Turnstile atau reCAPTCHA untuk Formulir Website?

Untuk formulir kontak dan checkout di website bisnis kecil, Cloudflare Turnstile, Google reCAPTCHA, dan hCaptcha sama-sama bisa menahan spam bot, dan ketiganya punya pilihan gratis; yang membedakan adalah kuota, cara tantangan tampil ke pengunjung, dan siapa yang memproses datanya.

Kenapa pilihan ini penting? CAPTCHA ada di halaman yang paling dekat dengan uang: formulir pemesanan, pendaftaran, dan pembayaran. CAPTCHA yang terlalu rewel membuat calon pelanggan menyerah, sedangkan yang terlalu longgar membuat kotak masuk penuh pesan spam dan database berisi akun palsu. Perbandingan di bawah memakai informasi resmi dari halaman masing-masing penyedia, per 4 November 2026.

Seperti apa perbandingannya secara ringkas?

Harga dalam dolar AS belum termasuk pajak dan bisa berubah. Paket Pro hCaptcha menurut halaman harganya mencakup 100 ribu evaluasi per bulan, lalu US$0,99 per 1.000.

Turnstile: tanpa teka-teki gambar

Turnstile tidak meminta pengunjung memilih gambar lampu lalu lintas. Menurut dokumentasi Cloudflare, mode Managed (yang dianjurkan) otomatis memilih antara pemeriksaan tanpa interaksi atau kotak centang sesuai tingkat risiko pengunjung. Mode Non-Interactive menampilkan widget dengan indikator loading tanpa perlu diklik, dan mode Invisible berjalan sepenuhnya di latar belakang.

Dua hal yang sering terlewat. Pertama, menurut Cloudflare, Turnstile bisa dipasang di website mana pun tanpa mengalirkan trafik lewat Cloudflare, jadi DNS-mu tidak perlu dipindah. Kedua, bila memakai mode Invisible, Cloudflare mensyaratkan kebijakan privasimu merujuk Turnstile Privacy Addendum.

reCAPTCHA: kuota dan versi

reCAPTCHA punya dua gaya yang dikenal luas. Versi 2 menampilkan kotak centang "Saya bukan robot", kadang diikuti tantangan gambar. Versi 3 tidak menampilkan apa pun ke pengunjung dan memberi skor risiko, lalu websitemu yang memutuskan tindakan untuk skor rendah, misalnya menahan pesan untuk ditinjau.

Google kini mendokumentasikan reCAPTCHA sebagai layanan Google Cloud dengan beberapa tier. Menurut halaman perbandingan tier resmi, Essentials gratis sampai 10.000 assessment per bulan kalender per organisasi. Premium juga gratis sampai 10.000, tapi butuh metode pembayaran terdaftar, lalu dikenai biaya tetap US$8 untuk 10.001 sampai 100.000 assessment dan US$1 per 1.000 di atasnya. Untuk formulir kontak UMKM, 10.000 per bulan biasanya lapang, tapi hitung ulang bila CAPTCHA dipasang di halaman login atau pencarian yang sering dipanggil.

hCaptcha: fokus privasi, fitur pasif berbayar

Halaman harga hCaptcha menyebut paket Basic gratis dan mengklaim kepatuhan pada regulasi privasi seperti GDPR, CCPA, dan LGPD. Mode pasif yang minim gangguan (disebut "99.9% Passive Mode") ada di paket Pro, sedangkan paket Enterprise menambah skor risiko dan fitur lanjutan lain. Pro bisa dicoba 14 hari tanpa pembayaran, lalu kembali ke Basic bila tidak dilanjutkan.

Karena mode pasif tidak termasuk di Basic, uji dulu seberapa sering pengunjungmu diminta menyelesaikan tantangan sebelum memasangnya di checkout.

Seberapa repot memasangnya?

Polanya sama untuk ketiganya, dan langkah kedua yang paling sering dilupakan:

1. Daftarkan website untuk mendapat site key (publik, dipasang di halaman) dan secret key (rahasia, hanya di server).
2. Pasang skrip widget di formulir. Saat pengunjung lolos, widget menyisipkan token ke formulir.
3. Di server, kirim token itu bersama secret key ke endpoint verifikasi penyedia, lalu proses formulir hanya bila hasilnya valid.

Tanpa langkah 3, bot cukup mengirim formulir langsung ke server tanpa token dan CAPTCHA tidak berguna sama sekali. Banyak plugin formulir WordPress menyediakan integrasi untuk satu atau beberapa layanan ini. Bila plugin-mu mendukungnya, cukup masukkan kedua kunci di pengaturan plugin.

Jadi, mana yang dipilih?

• Pilih Turnstile bila kamu ingin gratis tanpa memikirkan kuota dan tanpa teka-teki gambar, misalnya untuk formulir kontak dan checkout toko online.
• Pilih reCAPTCHA v3 bila tim sudah memakai Google Cloud dan ingin skor risiko untuk keputusan bertingkat, dengan catatan memantau kuota bulanan.
• Pilih hCaptcha bila ada alasan kebijakan untuk tidak memakai Google atau Cloudflare, atau bila kamu siap berlangganan Pro untuk mode pasifnya.

Yang lebih penting dari merek adalah tempat memasangnya. Pasang di formulir yang benar-benar disalahgunakan, bukan di setiap halaman. Kalau sedang menyiapkan toko baru, alur formulir yang perlu dilindungi dibahas di cara membuat toko online, dan pengamanan halaman login WordPress di keamanan WordPress dasar.