Como escolhi o CAPTCHA do meu projeto e o que aprendi no processo

Se você já colocou um formulário de login ou cadastro em produção, já enfrentou o dilema: como bloquear bots sem irritar usuários reais? O CAPTCHA existe pra isso, mas a experiência de cada solução é bem diferente.

Recentemente, ao construir o fórum do BikeClub, uma comunidade para ciclistas de bike elétrica, precisei fazer exatamente essa escolha. Acabei optando pelo Cloudflare Turnstile, e isso me fez revisitar as alternativas mais usadas no ecossistema web hoje.

As três principais opções

reCAPTCHA v3 (Google)

O mais popular, sem dúvida. Opera com um sistema de score de 0 a 1, quanto mais próximo de 1, mais "humano" o usuário parece. A vantagem é a precisão; a desvantagem é que ele depende de rastreamento comportamental do Google, o que levanta questões sérias de privacidade e conformidade com LGPD/GDPR. Além disso, aquele badge flutuante no canto da tela incomoda bastante gente.

hCaptcha

Surgiu como alternativa ao reCAPTCHA com foco em privacidade. Em vez de alimentar os dados do Google, o hCaptcha tem um modelo onde você pode até ser remunerado por resolver desafios (usado por empresas para treinar IA). A UX é razoável, mas ainda pode exibir desafios visuais ao usuário em casos de dúvida, o que gera fricção.

Cloudflare Turnstile

O mais novo dos três, lançado em 2022. O diferencial é que ele é invisível por padrão, analisa sinais passivos do navegador e do comportamento do usuário sem precisar mostrar nenhum desafio visual na grande maioria dos casos. Não coleta dados pessoais identificáveis e o plano gratuito cobre bem projetos de pequeno a médio porte.

Comparativo direto

Critério	reCAPTCHA v3	hCaptcha	Turnstile
UX (usuário final)	Badge visível	Às vezes pede clique	Invisível
Privacidade / LGPD	Problemático	Bom	Excelente
Precisão anti-bot	Alta	Média	Alta
Plano gratuito	Sim	Sim	Sim (generoso)
Facilidade de integração	Fácil	Fácil	Fácil
Dependência	Google (tracking)	hCaptcha Inc.	Cloudflare

Por que escolhi o Turnstile no bikeclub.app

O BikeClub é um fórum de bike elétrica, comunidade pequena, mas com usuários reais que merecem uma experiência fluida. Precisava de algo que:

• Não atrapalhasse o cadastro (ninguém quer resolver charadas de imagem pra entrar num fórum de bike)
• Fosse compatível com LGPD sem precisar de consentimento extra
• Integrasse fácil com minha stack

O Turnstile resolve tudo isso de forma elegante: ele roda em background, analisa sinais do navegador e do comportamento do usuário, e raramente se não nunca precisa mostrar um desafio visível.

A integração é simples: você adiciona o widget com a classe cf-turnstile, captura o token no formulário e valida no servidor via API da Cloudflare. Menos de 30 minutos pra colocar em produção.

Quando usar cada um?

• reCAPTCHA v3 → Faz sentido se você já tem toda a stack no ecossistema Google, tem volume alto e a conformidade com LGPD não é uma preocupação prioritária no seu contexto.
• hCaptcha → Boa escolha se privacidade é requisito e você quer se distanciar do Google. Também vale para produtos com público técnico que valoriza esse posicionamento.
• Turnstile → Melhor UX, boa privacidade, fácil integração. Favorito para projetos que já usam Cloudflare ou que querem mínima fricção no onboarding.

A pergunta que fica

Quero entender o cenário real de quem está aqui: qual solução vocês usam em produção? Já tiveram problemas com falsos positivos bloqueando usuários legítimos? Algum caso onde desistiram do CAPTCHA e foram por outro caminho, honeypot, rate limiting puro, magic links?

Esse artigo surgiu da experiência prática construindo o fórum do BickClub. Qualquer feedback sobre a escolha técnica é bem-vindo nos comentários.