Turnstile demuestra, en un formulario, que un navegador pasó las comprobaciones de Cloudflare, gratis. Bot Protection le dice a tu servidor quién está detrás de la petición, una persona o un bot y por qué, en cada acción que proteges, sin nada que el visitante vea. Cubren partes distintas del problema: muchos sitios usan Turnstile como el desafío que pide Bot Protection.
De un vistazo
| Bot Protection | Cloudflare Turnstile | |
|---|---|---|
| Cómo funciona | Un tag en tus páginas lee cómo se comporta el navegador; antes de un registro, login o checkout tu servidor hace una llamada y recibe una decisión. | Un widget en la página ejecuta pequeñas comprobaciones no interactivas (proof of work, APIs del navegador); tu servidor verifica su token en el endpoint siteverify de Cloudflare. |
| Qué ve tu visitante | Nada. | El widget: en modo managed, una casilla cuando el visitante parece sospechoso; los modos no interactivo e invisible no muestran nada. |
| En el camino de tu petición | No. Tu servidor lo llama con tu propio timeout. | No. El navegador carga el widget desde Cloudflare; tu servidor llama a siteverify. |
| Qué recibe tu servidor | Una clase (de human high a bot high), un bot score, los motivos y una acción: allow, challenge o block. | Éxito o fallo, el hostname, una acción y datos propios. Sin score. Un token vale 5 minutos y se puede verificar una vez. |
| Cuando se cae | Tu servidor deja pasar al visitante: fail open. | No indicado. La documentación pide un plan alternativo, reintentos y un timeout; su ejemplo trata una llamada fallida como una verificación fallida. |
| Observar antes de bloquear | Sí: en monitor mode cada respuesta es allow, con lo que habría hecho el block mode. | No existe ese modo: las analíticas muestran los desafíos después, y las claves de prueba siempre pasan o siempre fallan. |
| Precio para empezar | Prueba gratis de 14 días con 10.000 decisiones, luego US$ 29 al mes por 1 millón. | Gratis, con desafíos ilimitados y hasta 20 widgets. El único plan de pago es Enterprise, a través de ventas, sin precio público. |
| Integración | El tag y una llamada desde tu servidor; un prompt para tu agente de código hace ambas. | El widget en cada formulario y una comprobación del token en el servidor. |
| Dónde funciona | Servidores en Alemania (UE); IPs y tokens se guardan solo como hashes con clave. | En la red de Cloudflare; tu sitio no necesita estar en Cloudflare. |
Cuándo Cloudflare Turnstile es la mejor opción
- Quieres un desafío gratis y probado en un formulario, y un sí o no te basta.
- Tus visitantes pueden ver una casilla de vez en cuando, y te parece bien.
- Ya trabajas con Cloudflare y quieres todo en un solo panel.
Cuándo Bot Protection es la mejor opción
- Quieres saber el porqué: la clase, el score y los motivos, para registrar, revisar o ajustar.
- Proteges registro, login y checkout sin añadir nada que el visitante vea, y empiezas en monitor mode para ver qué se bloquearía.
- Quieres detectar granjas: grupos de sesiones que comparten una red, un dispositivo o un ritmo, que un widget en un formulario no ve.
Usar los dos
La acción challenge de Bot Protection es el momento de mostrar un desafío. Pregunta primero a Bot Protection; a los pocos visitantes que reciben challenge, muéstrales Turnstile, y deja pasar al resto sin nada.
Preguntas
¿Turnstile es un CAPTCHA?
Es la alternativa de Cloudflare a uno: la mayoría de los visitantes nunca resuelve nada, y el widget decide solo cuándo mostrar una casilla.
¿Bot Protection sustituye a Turnstile?
En la mayoría de los registros, sí: decide sin widget. Cuando quieres una prueba visible para los pocos dudosos, mantén Turnstile como desafío.
Fuentes
Comprobado en las páginas de cada proveedor el 17 de octubre de 2026; los precios cambian, así que revisa los suyos antes de decidir.
- Turnstile overview
- Turnstile server-side validation
- Turnstile plans
- Turnstile widget modes
- Turnstile analytics
Bot Protection: el inicio rápido, los precios y todas las comparaciones.