Cloudflare Turnstile: proteja seus formulários sem quebra-cabeças
O Turnstile é o CAPTCHA gratuito da Cloudflare que quase nunca mostra quebra-cabeças. Como funciona, o que o plano grátis inclui e como validá-lo bem no seu servidor.
Você lança uma campanha e seu formulário de contato se enche de mensagens lixo: links estranhos, nomes sem sentido, ofertas de posicionamento. Você coloca um CAPTCHA com semáforos e bicicletas, o spam diminui, mas os clientes reais também somem, cansados de resolver quebra-cabeças no celular.
Existe um meio-termo, e não custa nada: o Cloudflare Turnstile.
O que é o Cloudflare Turnstile?
É a alternativa da Cloudflare aos CAPTCHAs tradicionais: verifica que quem usa o seu formulário é uma pessoa sem mostrar um quebra-cabeça. Segundo a documentação da Cloudflare, ele executa pequenos desafios de JavaScript que coletam sinais do navegador e ajusta a dificuldade a cada solicitação, então a maioria dos visitantes nunca vê nada para resolver.
Ele também pode ser incorporado em qualquer site sem enviar o tráfego pela Cloudflare. Se o seu site já roda lá, melhor ainda, como contamos em o que o plano grátis da Cloudflare inclui.
Quais modos de widget ele tem?
Tem três modos, e a Cloudflare recomenda o gerenciado.
| Modo | O que faz |
|---|---|
| Managed (gerenciado) | Decide se mostra uma caixa de seleção conforme o risco do visitante |
| Non-interactive | O visitante nunca precisa interagir com o widget |
| Invisible | O widget fica completamente oculto |
Para um formulário de contato, o modo gerenciado costuma ser o meio-termo: quase ninguém percebe, mas se algo cheira a bot, a caixa de seleção aparece.
Quanto custa e quais são os limites?
O plano gratuito do Turnstile não tem custo e permite desafios ilimitados. Segundo a página de planos, estes são os limites do plano grátis em comparação com o Enterprise:
| Recurso | Grátis | Enterprise |
|---|---|---|
| Widgets | Até 20 por conta | Ilimitados |
| Hostnames | 10 por widget | 200 por widget |
| Histórico de análises | No máximo 7 dias | No máximo 30 dias |
| Remover a marca da Cloudflare | Não | Sim |
Para uma pequena empresa com um ou dois sites, 20 widgets são mais que suficientes. Se você quer medir o que acontece com suas visitas, veja também o Cloudflare Web Analytics.
Como instalar corretamente?
Em três passos: criar o widget, incorporá-lo e validar o token no seu servidor. É assim que o guia de primeiros passos descreve:
- Crie o widget no painel da Cloudflare. Você recebe uma chave de site (pública, vai no seu HTML) e uma chave secreta (privada, apenas no seu servidor).
- Incorpore-o na página com a chave de site.
- Valide o token enviando-o para a API Siteverify com sua chave secreta.
Erro comum: colocar o widget e esquecer a validação. A Cloudflare é clara: sem chamar o Siteverify, sua configuração está incompleta. Um bot pode pular o widget e enviar o formulário diretamente, então a chave secreta nunca deve aparecer no código do navegador.
O que acontece com os tokens que expiram?
Cada token expira em 300 segundos e só pode ser validado uma vez. Se alguém demorar mais de cinco minutos para preencher o formulário, ou tentar reenviá-lo, o token deixa de servir e é preciso gerar um novo desafio. Projete o formulário para que, diante de um erro de validação, ele peça o desafio novamente em vez de mostrar uma falha confusa.
E se eu não quiser formulários?
Eliminar o formulário também elimina o spam pela raiz. Neste site, por exemplo, o contato vai direto para o WhatsApp ou para uma agenda. Se você prefere esse caminho, veja como funciona um funil de captura com agenda. Mas se o seu negócio precisa de formulários (orçamentos, cadastros, suporte), o Turnstile é uma forma barata de mantê-los limpos.
Atenção: o CAPTCHA freia bots, não substitui o resto da segurança. Mantenha o site atualizado e revise o modo SSL/TLS da Cloudflare.
Em resumo
O Turnstile resolve o dilema da segunda-feira com o formulário cheio de spam: filtra bots sem colocar quebra-cabeças na frente dos seus clientes. O plano grátis basta para a maioria das pequenas empresas, desde que você valide o token no seu servidor com o Siteverify. Se quiser que deixemos tudo funcionando, fazemos isso dentro do nosso serviço de hosting e domínios.
Perguntas frequentes
O Cloudflare Turnstile é gratuito?
Sim. Segundo a Cloudflare, o plano gratuito inclui desafios ilimitados e permite até 20 widgets por conta, com 10 hostnames por widget.
Preciso ter meu site na Cloudflare para usar o Turnstile?
Não. A documentação da Cloudflare indica que o Turnstile pode ser incorporado em qualquer site sem enviar o tráfego pela Cloudflare.
O Turnstile mostra quebra-cabeças para meus visitantes?
Quase nunca. Ele executa desafios não interativos e ajusta a dificuldade a cada solicitação, então a maioria dos visitantes não vê nenhum quebra-cabeça.
Basta colocar o widget na página?
Não. Você deve enviar o token para a API Siteverify da Cloudflare a partir do seu servidor com sua chave secreta. Sem essa validação, a configuração está incompleta.
Quanto tempo dura um token do Turnstile?
Cada token expira em 300 segundos (5 minutos) e só pode ser validado uma vez. Se expirar ou já tiver sido usado, é preciso gerar um novo desafio.
Não fique só na teoria: aplique no seu negócio
Implementamos hospedagem e domínios de ponta a ponta, com a sua operação real. A primeira conversa não tem custo.
