Pular para o conteúdo principal

Comparação de provedores de CAPTCHA para páginas de login: reCAPTCHA, hCaptcha, Turnstile, GeeTest e Alibaba Cloud no Casdoor

· Leitura de 9 min
Yang Luo
Yang Luo
Casdoor Maintainer

Para a maioria das páginas de login e cadastro na internet global, o Cloudflare Turnstile é a escolha mais fácil: o plano gratuito não tem limite de desafios, e seu modo padrão mostra uma caixa de seleção apenas para visitantes arriscados. Se muitos dos seus usuários estão na China continental, use o Alibaba Cloud Captcha ou GeeTest em vez disso, pois a Cloudflare informa que o Turnstile não é suportado lá. Se você precisa que o captcha funcione sem qualquer serviço externo, use o captcha de imagem integrado do Casdoor. O Casdoor suporta todos esses, além do Google reCAPTCHA (v2 e v3) e hCaptcha, como provedores de captcha, e você escolhe quando o captcha aparece por aplicação.

A comparação​

Os preços e disponibilidade abaixo foram verificados contra os sites próprios de cada fornecedor em 2026-11-02. Onde um fornecedor não publica um número, a tabela diz isso em vez de chutar.

ProvedorO que o usuário vêModo invisívelDados e privacidadePlano gratuito e preçosChina ContinentalTipo no Casdoor
Padrão do CasdoorDigita cinco dígitos de uma imagemNãoGerado e verificado pelo seu servidor Casdoor; sem terceirosGrátis, parte do CasdoorFunciona, sem chamada externaDefault
Google reCAPTCHA v2Caixa de seleção; alguns usuários recebem um desafio de imagemO v2 também tem uma variante invisível que desafia apenas tráfego suspeitoGoogle; define o cookie _GRECAPTCHA para análise de riscoTier Essentials grátis até 10.000 avaliações por mês por organização; Premium é $8 fixo até 100.000, depois $1 por 1.000O Google diz para usar www.recaptcha.net onde www.google.com não é acessívelreCAPTCHA, reCAPTCHA v2 (checkbox)
Google reCAPTCHA v3Nothing; returns a score (Casdoor rejects scores below 0.5)YesSame as v2Same as v2Same as v2reCAPTCHA v3
hCaptchaCaixa de seleção com desafios de imagem no plano gratuitoModo passivo no Pro ("99,9% passivo") e um modo sem CAPTCHA no EnterpriseDiz que o plano gratuito está em conformidade com GDPR, CCPA, LGPD e PIPL; certificado pelo EU-U.S. Data Privacy FrameworkBasic é grátis; Pro é $139 por mês (ou $99 por mês cobrado anualmente) com 100.000 avaliações, depois $0,99 por 1.000; Enterprise através de vendasNão documentado pelo hCaptchahCaptcha
Cloudflare TurnstileO modo gerenciado mostra uma caixa de seleção apenas quando necessárioModos de widget não interativo e invisívelA Cloudflare diz que processa apenas os dados estritamente necessários e não lê entradas de formulário; nenhum proxy da Cloudflare é necessárioPlano gratuito: desafios ilimitados, até 20 widgets; Enterprise através de vendasCloudflare: "não suportado na China Continental"Cloudflare Turnstile
GeeTest CAPTCHA v4Clique único, puzzle deslizante, clique em texto, jogo da memóriaNão listado na página do produto v4Fornecedor chinês; política de privacidade específica do produtoSem lista de preços pública; teste grátis de 30 dias, depois vendasFornecedor chinêsGEETEST
Alibaba Cloud Captcha 2.0Clique único, slider, quebra-cabeça, restauração de imagemModo sem rastros nas edições Standard e EnterpriseExecuta na Alibaba CloudPague conforme uso: 0,005 CNY por chamada na China continental, 0,007 CNY fora; edições por assinatura e pacotes de recursos também disponíveisSim; o Casdoor verifica contra o endpoint da região de XangaiAliyun Captcha

Duas observações sobre as linhas do reCAPTCHA. O Google moveu o reCAPTCHA para o Google Cloud Fraud Defense com tiers Essentials, Premium e Enterprise, e a franquia gratuita de 10.000 avaliações é compartilhada em toda a organização do Google Cloud. O Casdoor se comunica com o reCAPTCHA usando uma chave de site e uma chave secreta através do endpoint padrão siteverify, e carrega o script de recaptcha.net em vez de google.com, tanto para o script do navegador quanto para a verificação no lado do servidor.

Qual escolher​

SaaS Global​

Comece com o Cloudflare Turnstile. O plano gratuito não mede os desafios, o modo gerenciado impede que a maioria dos usuários clique em algo, e você não precisa rotear seu site pela Cloudflare. Se você já roda no Google Cloud e quer os sinais de risco do reCAPTCHA, o reCAPTCHA é bom, mas fique atento às 10.000 avaliações gratuitas: uma página de login movimentada ou um ataque de bombagem de SMS pode passar disso em um dia. O hCaptcha é a outra escolha comum; seu plano gratuito sempre mostra um desafio, e os modos passivos são pagos.

Um app com usuários na China Continental​

O Turnstile está fora, pela própria documentação da Cloudflare. Para o reCAPTCHA, o Google documenta www.recaptcha.net como o domínio a ser usado quando www.google.com não está acessível, e o Casdoor já usa isso, mas você ainda deve testar a partir das redes dos seus usuários antes de depender disso. O hCaptcha não publica nenhuma declaração sobre a China, então o mesmo conselho se aplica.

As duas escolhas seguras são o Alibaba Cloud Captcha e o GeeTest. O Alibaba Cloud publica preços por chamada e permite começar com pagamento conforme uso; seu modo sem rastros (no Casdoor, use o subtipo Popup para isso) chega perto da experiência invisível do Turnstile. O GeeTest vende através de sua equipe de vendas após um teste de 30 dias. Se você atende tanto a China quanto o resto do mundo a partir de um único Casdoor, lembre-se de que uma aplicação tem um provedor de captcha, então divida os públicos em duas aplicações se eles precisarem de captchas diferentes.

Usuários sensíveis à privacidade na UE​

Todo captcha hospedado envia alguns dados sobre o navegador do visitante para o fornecedor. Se sua equipe jurídica não quiser nenhum terceiro no fluxo de login, o captcha padrão do Casdoor é a única opção na tabela que mantém tudo em seu próprio servidor. Entre os hospedados, Turnstile e hCaptcha descrevem a privacidade como parte do produto (dados limitados ao necessário para a verificação, GDPR e EU-U.S. Data Privacy Framework, respectivamente). O reCAPTCHA define um cookie _GRECAPTCHA; o Google observa que servir a partir de www.recaptcha.net evita outros cookies que www.google.com pode definir. Independentemente da escolha, liste-o em sua política de privacidade.

Auto-hospedado, intranet ou offline​

Use o captcha padrão. Ele não requer chaves nem acesso à rede externa, portanto funciona em instalações isoladas (air-gapped). Combine-o com a regra Internet-Only (abaixo) para que pessoas na rede do escritório nunca o vejam, enquanto solicitações vindas da internet pública ainda o exibam.

O captcha padrão é o mais fraco do grupo contra solucionadores automatizados, pois é uma imagem simples de dígitos distorcidos. Para uma página de login pública com alto tráfego, combine-o com autenticação multifator ou migre os usuários para login sem senha, o que elimina as tentativas de adivinhação de senha que os captchas existem para desacelerar.

Como o CAPTCHA funciona no Casdoor​

Você adiciona um provedor com Category definido como Captcha e um destes tipos: Default, reCAPTCHA, reCAPTCHA v2, reCAPTCHA v3, hCaptcha, Cloudflare Turnstile, GEETEST ou Aliyun Captcha. Em seguida, adiciona-o a uma aplicação na aba Providers. Uma aplicação pode conter apenas um provedor de captcha; o Casdoor recusa salvar um segundo. As etapas de configuração para cada fornecedor estão na documentação dos provedores de captcha.

Onde o Casdoor solicita​

O mesmo provedor protege várias ações, e o Casdoor verifica o token no servidor, não apenas no navegador:

  • Login com senha.
  • Envio do formulário de cadastro.
  • Envio de um código de verificação por e-mail ou SMS, o que cobre a etapa de código do cadastro, a página de recuperação de senha e o login baseado em código. Esta é a proteção contra bots que consomem seu orçamento de SMS.

Quando o Casdoor solicita​

A Rule do provedor de captcha na aplicação decide quando ele aparece:

RuleBehavior
NoneNunca; o captcha está desativado
DynamicSomente após as tentativas de login malsucedidas do usuário atingirem o limite Failed signin limit da aplicação
AlwaysToda vez
Internet-OnlyPara solicitações vindas de endereços IP públicos; não para endereços privados, loopback ou outros não públicos

Dynamic é a configuração mais suave para o login: usuários honestos nunca veem um desafio, e alguém tentando adivinhar senhas encontra um após algumas falhas. No entanto, isso se aplica apenas a contas que já existem. Um cadastro, ou um código enviado para um endereço que ainda não possui conta, não o aciona. Se o abuso de SMS ou e-mail no cadastro for sua preocupação, use Always ou Internet-Only.

Onde ele aparece na página​

Nos itens de login da aplicação, o item Captcha tem sua própria regra: Pop up mostra o captcha em uma caixa de diálogo quando necessário, e Inline coloca-o diretamente na página. Veja Alterar o captcha. O Alibaba Cloud Captcha tem um Sub type extra: Embed mostra-o dentro da caixa de diálogo do Casdoor, e Popup passa o controle para a própria janela pop-up do Alibaba Cloud, o que é necessário para cenários sem rastreamento (traceless).

Use o botão Preview na página do provedor para verificar as chaves antes de ativar a regra.

Referências​