Bot Protection vs Cloudflare Turnstile

O Turnstile prova, num formulário, que um navegador passou nas checagens da Cloudflare, de graça. O Bot Protection diz ao seu servidor quem está por trás da requisição, uma pessoa ou um bot e por quê, em cada ação que você protege, sem nada para o visitante ver. Cada um resolve uma metade do problema: muitos sites usam o Turnstile como o desafio que o Bot Protection pede.

Resumo

	Bot Protection	Cloudflare Turnstile
Como funciona	Uma tag nas suas páginas lê como o navegador se comporta; antes de um cadastro, login ou checkout, o seu servidor faz uma chamada e recebe uma decisão.	Um widget na página roda pequenas checagens não interativas (proof of work, APIs do navegador); o seu servidor verifica o token dele no endpoint siteverify da Cloudflare.
O que o seu visitante vê	Nada.	O widget: no modo managed, uma caixa de seleção quando o visitante parece arriscado; os modos não interativo e invisível não mostram nada.
No caminho da sua requisição	Não. O seu servidor chama com o timeout que você escolher.	Não. O navegador carrega o widget da Cloudflare; o seu servidor chama o siteverify.
O que o seu servidor recebe	Uma classe (de human high a bot high), um bot score, os motivos e uma ação: allow, challenge ou block.	Sucesso ou falha, o hostname, uma ação e dados personalizados. Sem score. Um token vale 5 minutos e pode ser verificado uma vez.
Se ficar fora do ar	O seu servidor deixa o visitante passar: fail open.	Não informado. A documentação pede um plano B, novas tentativas e um timeout; o exemplo dela trata uma chamada que falhou como verificação reprovada.
Observar antes de bloquear	Sim: no monitor mode toda resposta é allow, com o que o block mode teria feito.	Não há esse modo: as análises mostram os desafios depois, e as chaves de teste sempre passam ou sempre falham.
Preço para começar	Trial grátis de 14 dias com 10.000 decisões, depois US$ 29 por mês por 1 milhão.	Grátis, com desafios ilimitados e até 20 widgets. O único plano pago é o Enterprise, pelo time de vendas, sem preço público.
Integração	A tag e uma chamada do seu servidor; um prompt para o seu agente de código faz as duas.	O widget em cada formulário e uma checagem do token no servidor.
Onde roda	Servidores na Alemanha (UE); IPs e tokens ficam só como hashes com chave.	Na rede da Cloudflare; o seu site não precisa estar na Cloudflare.

Quando o Cloudflare Turnstile é a melhor escolha

Você quer um desafio grátis e testado num formulário, e um sim ou não basta.
Os seus visitantes podem ver uma caixa de seleção de vez em quando, e tudo bem para você.
Você já roda na Cloudflare e quer tudo num painel só.

Quando o Bot Protection é a melhor escolha

Você quer saber o porquê: a classe, o score e os motivos, para registrar, revisar ou ajustar.
Você protege cadastro, login e checkout sem acrescentar nada que o visitante veja, e começa em monitor mode para ver o que seria bloqueado.
Você quer pegar fazendas: grupos de sessões que dividem uma rede, um dispositivo ou um ritmo, que um widget num formulário não enxerga.

Usar os dois

A ação challenge do Bot Protection é o lugar do desafio. Pergunte ao Bot Protection primeiro; para os poucos visitantes que recebem challenge, mostre o Turnstile, e deixe o resto passar sem nada.

Perguntas

O Turnstile é um CAPTCHA?

É a alternativa da Cloudflare ao CAPTCHA: a maioria dos visitantes nunca resolve nada, e o widget decide sozinho quando mostrar uma caixa de seleção.

O Bot Protection substitui o Turnstile?

Na maioria dos cadastros, sim: ele decide sem widget. Quando você quer uma prova visível para os poucos duvidosos, mantenha o Turnstile como desafio.

Fontes

Conferido nas páginas dos próprios fornecedores em 17 de outubro de 2026; preços mudam, então confira na fonte antes de decidir.

Bot Protection: o início rápido, os preços e todas as comparações.