Cloudflare Turnstile: protege tus formularios sin puzzles
Turnstile es el CAPTCHA gratuito de Cloudflare que casi nunca muestra puzzles. Cómo funciona, qué incluye el plan gratis y cómo validarlo bien en tu servidor.
Lanzas una campaña y tu formulario de contacto se llena de mensajes basura: enlaces raros, nombres sin sentido, ofertas de posicionamiento. Pones un CAPTCHA con semáforos y bicicletas, el spam baja, pero también bajan los clientes reales que se cansan de resolver puzzles en el celular.
Hay una salida intermedia, y no cuesta nada: Cloudflare Turnstile.
¿Qué es Cloudflare Turnstile?
Es la alternativa de Cloudflare a los CAPTCHA tradicionales: verifica que quien usa tu formulario sea una persona sin mostrarle un puzzle. Según la documentación de Cloudflare, corre pequeños desafíos de JavaScript que recogen señales del navegador y ajusta la dificultad a cada solicitud, por lo que la mayoría de visitantes nunca ve nada que resolver.
Además, se puede incrustar en cualquier sitio web sin enviar el tráfico por Cloudflare. Si tu web ya corre allí, mejor, como te contamos en qué incluye el plan gratis de Cloudflare.
¿Qué modos de widget tiene?
Tiene tres modos, y Cloudflare recomienda el gestionado.
| Modo | Qué hace |
|---|---|
| Managed (gestionado) | Decide si muestra una casilla según el riesgo del visitante |
| Non-interactive | El visitante nunca necesita interactuar con el widget |
| Invisible | El widget queda completamente oculto |
Para un formulario de contacto, el modo gestionado suele ser el punto medio: casi nadie lo nota, pero si algo huele a bot, aparece la casilla.
¿Cuánto cuesta y qué límites tiene?
El plan gratuito de Turnstile no tiene costo y permite desafíos ilimitados. Según la página de planes, estos son los límites del plan gratis frente a Enterprise:
| Característica | Gratis | Enterprise |
|---|---|---|
| Widgets | Hasta 20 por cuenta | Ilimitados |
| Hostnames | 10 por widget | 200 por widget |
| Historial de analítica | Máximo 7 días | Máximo 30 días |
| Quitar marca de Cloudflare | No | Sí |
Para una pyme con uno o dos sitios, 20 widgets sobran. Si quieres medir qué pasa con tus visitas, mira también Cloudflare Web Analytics.
¿Cómo se instala bien?
En tres pasos: crear el widget, incrustarlo y validar el token en tu servidor. Así lo describe la guía de primeros pasos:
- Crea el widget en el panel de Cloudflare. Recibes una clave de sitio (pública, va en tu HTML) y una clave secreta (privada, solo en tu servidor).
- Incrústalo en la página con la clave de sitio.
- Valida el token enviándolo a la API Siteverify con tu clave secreta.
Error común: poner el widget y olvidar la validación. Cloudflare es claro: sin llamar a Siteverify, tu configuración está incompleta. Un bot puede saltarse el widget y enviar el formulario directamente, así que la clave secreta nunca debe aparecer en el código del navegador.
¿Qué pasa con los tokens que vencen?
Cada token vence a los 300 segundos y solo se puede validar una vez. Si alguien tarda más de cinco minutos en llenar tu formulario, o intenta reenviarlo, el token deja de servir y hay que generar un desafío nuevo. Diseña el formulario para que, ante un error de validación, vuelva a pedir el desafío en vez de mostrar un fallo confuso.
¿Y si no quiero formularios?
Quitar el formulario también elimina el spam de raíz. En este sitio, por ejemplo, el contacto va directo a WhatsApp o a una agenda. Si prefieres ese camino, mira cómo funciona un embudo de captura con agenda. Pero si tu negocio necesita formularios (cotizaciones, registros, soporte), Turnstile es una forma barata de mantenerlos limpios.
Ojo: el CAPTCHA frena bots, no reemplaza el resto de la seguridad. Mantén el sitio actualizado y revisa el modo SSL/TLS de Cloudflare.
En resumen
Turnstile resuelve el dilema del lunes con el formulario lleno de spam: filtra bots sin ponerle puzzles a tus clientes. El plan gratis alcanza para la mayoría de pymes, siempre que valides el token en tu servidor con Siteverify. Si quieres que lo dejemos funcionando, lo hacemos dentro de nuestro servicio de hosting y dominios.
Preguntas frecuentes
¿Cloudflare Turnstile es gratis?
Sí. Según Cloudflare, el plan gratuito incluye desafíos ilimitados y permite hasta 20 widgets por cuenta, con 10 hostnames por widget.
¿Necesito tener mi sitio en Cloudflare para usar Turnstile?
No. La documentación de Cloudflare indica que Turnstile se puede incrustar en cualquier sitio web sin enviar el tráfico a través de Cloudflare.
¿Turnstile le muestra puzzles a mis visitantes?
Casi nunca. Corre desafíos no interactivos y ajusta la dificultad a cada solicitud, así que la mayoría de visitantes no ve ningún puzzle.
¿Basta con poner el widget en la página?
No. Debes enviar el token a la API Siteverify de Cloudflare desde tu servidor con tu clave secreta. Sin esa validación, la configuración está incompleta.
¿Cuánto dura un token de Turnstile?
Cada token vence a los 300 segundos (5 minutos) y solo se puede validar una vez. Si vence o ya se usó, hay que generar un desafío nuevo.
No te quedes con la teoría: aplícalo a tu negocio
Implementamos Hosting y dominios de punta a punta, con tu operación real. La primera conversación no tiene costo.
