Turnstile は、1 つのフォームで、ブラウザが Cloudflare のチェックを通過したことを無料で証明します。Bot Protection は、保護するすべてのアクションで、リクエストの背後にいるのが人か bot か、そしてその理由をサーバーに伝えます。訪問者に見えるものは何もありません。両者が解決するのは別々の半分であり、多くのサイトは Bot Protection が求める challenge として Turnstile を使っています。
比較表
| Bot Protection | Cloudflare Turnstile | |
|---|---|---|
| 仕組み | ページ上のタグがブラウザの挙動を読み取ります。サインアップ、サインイン、チェックアウトの前に、サーバーが 1 回呼び出して判定を受け取ります。 | ページ上のウィジェットが、操作不要の小さなチェック（プルーフ・オブ・ワーク、ブラウザ API）を実行します。サーバーは Cloudflare の siteverify エンドポイントで token を検証します。 |
| 訪問者に見えるもの | 何もありません。 | ウィジェットです。マネージドモードでは訪問者が疑わしいときにチェックボックスが表示され、非インタラクティブモードと非表示モードでは何も表示されません。 |
| リクエスト経路上にあるか | いいえ。サーバーが独自の timeout で呼び出します。 | いいえ。ブラウザが Cloudflare からウィジェットを読み込み、サーバーが siteverify を呼び出します。 |
| サーバーが受け取るもの | クラス（human high から bot high まで）、bot score、理由、そしてアクション（allow、challenge、block）。 | 成功か失敗、ホスト名、アクション、カスタムデータ。スコアはありません。token の有効期間は 5 分で、確認できるのは 1 回だけです。 |
| 停止時の挙動 | サーバーは訪問者を通します。fail-open です。 | 記載なし。ドキュメントはフォールバック、再試行、timeout を求めており、サンプルでは呼び出しの失敗をチェックの失敗として扱っています。 |
| ブロック前の観察 | はい。monitor mode ではすべての応答が allow になり、block mode なら何をしたかも示します。 | そのようなモードはありません。分析画面は事後にチャレンジを示すだけで、テスト用キーは常に成功か常に失敗です。 |
| 開始時の料金 | 10,000 件の判定付き 14 日間の無料トライアル。その後は 100 万件で月額 $29。 | 無料。チャレンジ数は無制限、ウィジェットは 20 個まで。有料プランは営業経由の Enterprise のみで、公開価格はありません。 |
| 導入 | タグと、サーバーからの 1 回の呼び出し。コーディングエージェント用のプロンプトで両方を設定できます。 | 各フォームへのウィジェットの設置と、サーバー側での token の確認。 |
| 稼働場所 | ドイツ（EU）のサーバー。IP と token は鍵付きハッシュとしてのみ保持します。 | Cloudflare のネットワーク。サイト自体が Cloudflare 上にある必要はありません。 |
Cloudflare Turnstile が向いている場合
- フォームに無料で実績のあるチャレンジを置きたく、yes か no がわかれば十分。
- 訪問者にときどきチェックボックスが表示されても構わない。
- すでに Cloudflare を使っており、すべてを 1 つの dashboard で管理したい。
Bot Protection が向いている場合
- 理由を知りたい。クラス、score、理由を記録、レビュー、チューニングに使いたい。
- 訪問者に見えるものを何も加えずにサインアップ、サインイン、チェックアウトを守り、まず monitor mode で何がブロックされるかを確認したい。
- ファームを検知したい。ネットワーク、デバイス、リズムを共有するセッションのグループは、1 つのフォームにある 1 つのウィジェットからは見えません。
併用する場合
チャレンジを置くべき場所は、Bot Protection の challenge アクションです。まず Bot Protection に問い合わせ、challenge が返った少数の訪問者にだけ Turnstile を表示し、残りはそのまま通します。
よくある質問
Turnstile は CAPTCHA ですか
Cloudflare による CAPTCHA の代替です。ほとんどの訪問者は何も解く必要がなく、チェックボックスを表示するかどうかはウィジェットが自ら判断します。
Bot Protection で Turnstile を置き換えられますか
ほとんどのサインアップでは可能です。ウィジェットなしで判定できます。疑わしい少数の訪問者に目に見える証明を求めたい場合は、challenge として Turnstile を残してください。
出典
2026年10月17日に各ベンダーの公式ページで確認しました。料金は変わることがあるため、判断の前に各社のページをご確認ください。