Cos'è hCaptcha? Come funziona, Quanto costa e come si confronta (2026) - IT

hCaptcha è un servizio CAPTCHA di Intuition Machines che riconosce le persone dai bot, e Cloudflare lo ha scelto al posto del reCAPTCHA di Google ad aprile 2020. Stare con Google, Cloudflare scrisse all'epoca, “avrebbe aggiunto milioni di dollari in costi annuali.”

Sei anni dopo, quella storia dell’alternativa economica necessita di una correzione. Fra 4 Giugno e 2 luglio 2026, hCaptcha ha tagliato il suo piano gratuito da 100,000 per 10,000 richieste un mese, la stessa indennità offerta da Google. Abbiamo valutato hCaptcha, reCAPTCHA e Cloudflare Turnstile a tre livelli di traffico reali, utilizzando il tariffario corrente di ciascun fornitore.

Risposta rapida: hCaptcha è un sostituto immediato del reCAPTCHA di Google che consente ai visitatori di dimostrare di essere umani prima che un modulo venga completato. Il piano Basic gratuito copre 10,000 richiede un mese e viene eseguito in quello che chiama hCaptcha “Sfida sempre” modalità. Pro costa 99 USD al mese con fatturazione annuale, e la sua modalità passiva sfida meno di 0.1% degli utenti reali. Utilizza hCaptcha su un piccolo modulo WordPress, o quando i dati dei visitatori devono restare lontani da Google. Per un negozio affollato che vuole costi zero e nessun puzzle di immagini, Vince il tornello Cloudflare: è gratuito senza limiti di richiesta.

Ultima revisione: settembre 2026. Prezzi e caratteristiche verificate.

How We Checked the Facts in This Guide

Ogni cifra riportata di seguito proviene dal tariffario del fornitore, pagina delle policy o registro delle modifiche, continua a leggere 11 settembre 2026. Per hCaptcha, ciò significava i suoi piani, prezzi e pagine Pro, documenti per sviluppatori, politica sulla riservatezza (ultimo aggiornamento 7 ottobre 2025), e GDPR e pagine di accessibilità. Per Google, abbiamo utilizzato la documentazione di fatturazione reCAPTCHA e le note di rilascio. Per Cloudflare, abbiamo utilizzato la documentazione del piano Turnstile e i post del blog di Cloudflare 2020 e 2023.

I conteggi e le valutazioni delle installazioni dei plugin provengono direttamente dalla directory dei plugin di WordPress.org. Ad oggi il taglio a livello gratuito di hCaptcha, abbiamo confrontato 11 copie archiviate della pagina dei suoi piani su Internet Archive, da aprile 2025 a luglio 2026.

Abbiamo confrontato hCaptcha con i due servizi offerti dal plug-in WordPress per la migrazione: Google reCAPTCHA e Cloudflare Turnstile. Ognuno ha un livello gratuito e un plugin WordPress aggiornato al suo interno 30 giorni dal nostro controllo. Il costo a volumi di traffico reali ha avuto il peso maggiore. Successivamente sono arrivati ​​i dati che lasciano il tuo sito, quanto attrito devono affrontare i visitatori reali, e quanto sia semplice la configurazione di WordPress. Le attestazioni del fornitore senza un metodo pubblicato vengono visualizzate qui come attestazioni, con la fonte nominata.

Si applicano due limiti. Non abbiamo eseguito attacchi bot contro nessuno dei tre, quindi non possiamo classificare quanti robot fermano ciascuno. Qualsiasi cifra di efficacia riportata di seguito rappresenta la classificazione del fornitore stessa. Anche, Le pagine di hCaptcha non sono d'accordo. La pagina dei piani indica il limite di 10.000 richieste, ma la pagina dei prezzi elenca Basic a USD 0 senza alcun limite indicato. Nessuno dei due dice cosa succede quando un sito gratuito termina.

What hCaptcha Is, and Who Runs It

hCaptcha appartiene a Intuition Machines, Inc., a Delaware corporation whose privacy policy gives an address in Miami, Florida. The company says the service dates from 2017. It does the same job as Google’s reCAPTCHA. A small widget sits on a login, iscrizione, comment or checkout form, and the form only goes through once the visitor passes.

Until mid-2023, hCaptcha also paid site owners. Its earnings program paid out quarterly, on a 60-day trailing basis, for hCaptcha traffic on their sites. That program ended on 15 giugno 2023. hCaptcha’s explanation was that its paid Pro and Enterprise tiers “have become our primary focus.” Tutorials that still sell hCaptcha as a way to earn from your visitors are describing something that no longer exists.

Cloudflare is the reason many people met hCaptcha in the first place. It swapped reCAPTCHA for hCaptcha on 8 aprile 2020. The reasons given were cost, I servizi di Google sono “bloccato ad intermittenza” in Cina, e clienti “preoccupato di fornire più dati a Google.” Quindi Cloudflare ha creato il proprio sostituto, Tornello. Su 29 settembre 2023, lo ha detto “non pubblicherà mai più un altro puzzle visivo a nessuno, per qualsiasi motivo.”

La scala è più difficile da definire. A gennaio 2022, hCaptcha ha affermato che continuava a funzionare “di 15% di Internet” e ha detto che ha preso la maggior parte di quella quota “direttamente da Google reCAPTCHA.” Non spiegava come misurava nessuna delle due cifre.

How Does hCaptcha Work?

Ci sono due metà: un widget nel browser del visitatore e un controllo sul tuo server. Salta la metà del server e il widget sarà decorativo. Un bot può pubblicare direttamente sul tuo gestore di moduli senza mai caricare la pagina.

What the visitor sees

La pagina carica lo script di hCaptcha, che disegna una casella di controllo. Mentre il visitatore lavora attraverso il form, la sceneggiatura raccoglie segnali. La politica sulla privacy di hCaptcha li elenca: indirizzo IP, browser e tipo di dispositivo, sistema operativo, fornitore di servizi Internet, movimenti del mouse, posizione di scorrimento, pressioni di tasti ed eventi touch. In combinazione con il livello di difficoltà scelto dal proprietario del sito, questi segnali decidono cosa viene mostrato al visitatore.

La frequenza con cui una persona reale incontra un puzzle dipende dal piano:

• Di base (gratuito): corre dentro “Sfida sempre” modalità, con quattro livelli di difficoltà tra cui scegliere: Facile, medio, Difficile e automatico.
• professionista: aggiunge a “99.9% Passivo” modalità, in cui meno di 0.1% degli utenti legittimi ricevere una sfida. Adatta anche la difficoltà al rischio, dall'assenza totale di CAPTCHA fino ai compiti visivi.
• impresa: aggiunge una modalità No-CAPTCHA completamente passiva e punteggi di rischio su cui il tuo codice può agire.

What happens on your server

Quando passa il visitatore, il widget aggiunge un token nascosto al modulo, in un campo chiamato risposta h-captcha. Il tuo server invia quel token, con la tua chiave segreta, all'endpoint di verifica di hCaptcha su api.hcaptcha.com/siteverify. La risposta è un breve messaggio JSON (un formato di testo strutturato): successo vero o falso, un timestamp, il nome host, e codici di errore se qualcosa non è riuscito.

Due regole nei documenti di hCaptcha individuano le configurazioni create manualmente. Ogni token funziona una volta, e deve essere verificato subito dopo la sua emissione. hCaptcha consiglia inoltre di inviare l'indirizzo IP del visitatore e la chiave del sito (l'ID pubblico del tuo widget) con ogni controllo. L'inclusione impedisce che un token emesso per un widget venga riutilizzato su un altro.

hCaptcha Pricing in 2026: The Free Plan Shrank by 90%

hCaptcha ha tagliato il suo piano Basic gratuito da 100,000 per 10,000 richieste al mese tra 4 Giugno e 2 luglio 2026. Le copie archiviate della pagina dei piani mostrano il cambiamento. Il 4 giugno 2026 istantanea legge ancora “Gratuito fino a 100,000 richieste al mese.” Di 2 luglio, diceva la stessa riga 10,000, e lo faceva ancora quando abbiamo controllato 11 settembre.

Ecco l'ironia. A gennaio 2024, hCaptcha ha attaccato Google per aver tagliato il livello gratuito di reCAPTCHA “a partire dal 1,000,000 richieste al mese a solo 10,000 richieste.” (Ha chiamato la mossa “ostile allo sviluppatore,” che ora si legge in modo diverso.) Nello stesso post, ha detto il proprio livello gratuito “rimane a 100,000 richieste al mese.” Due anni e mezzo dopo, i due livelli gratuiti hanno le stesse dimensioni.

I tre piani, come elencato su 11 settembre 2026:

• Di base: Dollaro statunitense 0, limitato a 10,000 richieste al mese. hCaptcha non dice cosa succede oltre il limite.
• professionista: USD 99/mese sulla fatturazione annuale (Dollaro statunitense 1,188 un anno) o USD 139 mese dopo mese. Include 100,000 valutazioni al mese, quindi addebita USD 0.99 per 1,000 extra. Una prova di 14 giorni non richiede alcun pagamento, e l'account torna a Basic se non mantieni Pro.
• impresa: solo citazione. Aggiunge punteggi di rischio, la modalità passiva No-CAPTCHA, SLA aziendali (disponibilità e garanzie di supporto), API SAML Single Sign-On e reporting.

La fatturazione mensile aggiunge USD 480 un anno allo stesso piano Pro. Anche la pagina dei prezzi di hCaptcha afferma che Enterprise lo è “fino a 50% più conveniente di reCAPTCHA.” Una nota a piè di pagina dice che la stima è “sulla base dei dati comparativi riportati dai clienti,” e si trova sulla carta Enterprise, non professionista. A prezzi di listino, come mostra il confronto qui sotto, Pro può costare più di Google.

hCaptcha vs reCAPTCHA vs Cloudflare Turnstile

Tutti e tre svolgono lo stesso lavoro di base. Differiscono in chi riceve i dati, cosa copre il piano gratuito, e se un visitatore sospettoso vede mai un puzzle.

Google reCAPTCHA: cheap past the free tier, but Google gets the data

reCAPTCHA viene ora fatturato tramite Google Cloud. Le note sulla versione di Google registrano il lancio di tre livelli basati sull'utilizzo 1 giugno 2024. Su 22 aprile 2026, Google ha reso reCAPTCHA parte di una famiglia di prodotti chiamata Google Cloud Fraud Defense, e ha affermato che le funzionalità esistenti non sono cambiate.

Il livello Essentials gratuito copre 10,000 valutazioni al mese per organizzazione, e le agenzie dovrebbero leggerlo due volte. Il documento di fatturazione di Google indica il limite “aggrega l'utilizzo in tutti gli account e in tutti i siti.” Così 20 i siti cliente di un'unica organizzazione Google Cloud condividono un unico sito 10,000 piscina. Passato, un progetto Essentials ottiene a 429 “Risorsa esaurita” errore fino al primo del mese successivo.

Scopri se il plug-in del modulo non riesce ad aprirsi o chiudersi in seguito a quell'errore. La mancata apertura consente il passaggio di ogni bot; il fallimento della chiusura blocca ogni visitatore reale. Neanche quello per cui ti sei iscritto.

Con la fatturazione attivata, il livello Premium addebita un USD 8 compenso forfettario per le valutazioni 10,001 Attraverso 100,000, poi USD 1 per 1,000. A 50,000 controlli al mese, questo è USD 8 contro USD 99 per hCaptcha Pro, un divario di 12,4x. Salta reCAPTCHA se la tua politica sulla privacy non può elencare Google come responsabile del trattamento, o se preferisci non aprire un account di fatturazione Google Cloud. hCaptcha risolve il primo problema. Il tornello risolve entrambi.

Cloudflare Turnstile: free and uncapped, with no image puzzles

Il piano gratuito di Turnstile consente sfide illimitate, fino a 20 widget per account e 10 nomi host per widget. C'è spazio per un massimo di 200 nomi host prima di aver bisogno di Enterprise. L'impresa alza il limite 200 nomi host per widget ed estende l'analisi da 7 giorni a 30. Inoltre non è necessario metti il ​​tuo sito dietro Cloudflare. I suoi documenti dicono Turnstile “può essere utilizzato in modo indipendente senza richiedere altri servizi Cloudflare.”

Il compromesso è il controllo. Turnstile non utilizza puzzle di immagini, quindi non c’è niente di più difficile a cui ricorrere quando un visitatore sembra sospettoso. hCaptcha Pro può passare da una casella di controllo a un'attività visiva man mano che il rischio aumenta. Su WordPress, ha il plug-in Simple CAPTCHA con Cloudflare Turnstile 200,000+ installazioni attive e a 4.7/5 valutazione da 256 giudizi. Il plugin di hCaptcha, hCaptcha per WP, ha 70,000+ installa e 4.6/5 a partire dal 86.

What each one costs at three traffic levels

Questi numeri presuppongono un assegno per l'invio di un modulo protetto, al prezzo di listino di ciascun fornitore. I fornitori denominano le loro unità di fatturazione in modo diverso (dice hCaptcha “valutazioni” o “richieste”, Google dice “valutazioni”), quindi leggili come stime approssimative piuttosto che come fatture.

• 8,000 controlli al mese, come un modulo di contatto per piccole imprese: hCaptcha Base USD 0, Elementi essenziali di reCAPTCHA USD 0, Tornello USD 0.
• 50,000 controlli al mese, come un affollato negozio WooCommerce: hCaptcha ProUSD 99 (Dollaro statunitense 139 mese dopo mese), reCAPTCHA USD 8, Tornello USD 0. Prima di giugno 2026, questo sito rientra nel piano gratuito di hCaptcha.
• 500,000 controlli al mese, come un grande sito di appartenenza: hCaptcha ProUSD 99 più USD 396 eccedenza, così Dollaro statunitense 495 un mese. reCAPTCHA USD 8 più USD 400, quindi USD 408. Tornello USD 0.

Al massimo livello, hCaptcha Pro costa 21% più di reCAPTCHA al prezzo di listino. Il tornello non costa assolutamente nulla.

What Data Does hCaptcha Collect?

Più di quanto suggerisca il marchio sulla privacy. L'informativa sulla privacy di hCaptcha afferma che raccoglie i movimenti del mouse, posizione di scorrimento, pressioni di tasti ed eventi touch perché lo sono “necessario per determinare se sono umani.” I dati provenienti da cookie e strumenti simili sono “scartato non appena possibile.” Potrebbero essere conservati fino a un anno dopo la scadenza del cookie, di solito in deidentificato, forma aggregata.

La vera differenza da Google è lo scopo, non volume. La politica di hCaptcha dice di no “venduto” informazioni personali nei dodici mesi precedenti e non le ha condivise per “pubblicità comportamentale multicontesto.” Google, al contrario, gestisce un'attività pubblicitaria.

Where the data goes is murkier. The privacy policy says personal data “will be transferred to, processed, and stored in the United States.” hCaptcha’s GDPR page says sessions run on equipment “within close proximity to End Users.” Metadata is processed in its main data centers in Europe and, se applicabile, gli Stati Uniti. It’s enrolled in the EU-US, UK-US and Swiss-US Data Privacy Framework and uses Standard Contractual Clauses. Both are legal mechanisms for sending European personal data to the US. It also holds ISO 27001, ISO 27701 e SOC 2 Certificazioni di tipo II.

For site owners in the EU, hCaptcha’s docs say it acts as a “data processor,” so your own privacy policy applies. Add hCaptcha to that policy and to your cookie notice. The stricter “Zero PII” controlli (PII is personally identifiable information) strip personal data before it reaches hCaptcha. They’re Enterprise-only.

Accessibilità: Switch On the Text Challenge

I puzzle di immagini bloccano i visitatori non vedenti e ipovedenti a meno che non esista un altro percorso. hCaptcha ne offre due. I visitatori possono registrarsi sulla sua pagina di accessibilità e ottenere un cookie crittografato. hCaptcha dice il cookie “può essere utilizzato più volte al giorno, ma deve essere aggiornato periodicamente tramite login.” C'è anche una sfida basata su testo, ma hCaptcha lo descrive come tale “che alcuni servizi potrebbero scegliere di abilitare.”

La seconda opzione rimane disattivata a meno che il proprietario del sito non la attivi. Senza esso, un utente di screen reader che ha saltato la registrazione del cookie rimane con puzzle di immagini. hCaptcha afferma di ritenere che il servizio soddisfi le WCAG 2.2 AA, un livello delle Linee guida per l’accessibilità dei contenuti Web del W3C. Si basa su questo “i nostri test e le revisioni esterne dell'accessibilità.” Anche questo lo dice chiaramente “questa non è una consulenza legale.” Public-sector and education sites should test with a screen reader before launch, or use Turnstile, which skips visual puzzles entirely.

How to Add hCaptcha to WordPress

Il plugin di hCaptcha, hCaptcha per WP, is the easiest route. It was last updated on 11 settembre 2026 (versione 5.3.0), needs WordPress 6.0 e PHP 7.4 o più tardi, and is tested up to WordPress 7.1.

• Passo 1: Create a free hCaptcha account, add your site, and copy two values: the sitekey and your account secret.
• Passo 2: Nella dashboard di WordPress, open Plugins, add a new plugin, cercare “hCaptcha per WP” and install it.
• Passo 3: Paste both keys under Settings > hCaptcha. The plugin can check the configuration before you save.
• Passo 4: Tick the forms to protect. The plugin covers WordPress core forms, WooCommerce, Modulo di Contatto 7, Elementor and “al di sopra di 60 other plugins and themes.”
• Passo 5: Turn on the honeypot (a hidden field only bots fill in) and the minimum submit time. Both stop simple bots before hCaptcha has to show anything.
• Passo 6: Set the API to load on user interaction, so the script stays out of the first page load. Puoi anche nascondere hCaptcha agli utenti che hanno effettuato l'accesso.
• Passo 7: Disconnettersi, aprire una finestra privata, e invia ogni modulo protetto una volta per confermarne il funzionamento.

Passando da reCAPTCHA o Turnstile? La procedura guidata di migrazione del plugin esegue il passaggio in pochi clic. Un plug-in di sicurezza imposta una politica di sicurezza dei contenuti (un'intestazione che limita gli script esterni che possono essere eseguiti)? Quindi consenti https://hcaptcha.com e https://*.hcaptcha.com per gli script, montatura, stili e connessioni. Altrimenti il ​​widget non verrà caricato. Un CAPTCHA copre solo i moduli, quindi lavora sul resto del nostro Lista di controllo per i test di sicurezza di WordPress pure.

Non su WordPress? Il front-end necessita di soli due pezzi: lo script da js.hcaptcha.com/1/api.js e un div con la classe h-captcha e la tua data-sitekey. Quindi verificare ciascun token sul server, come descritto sopra. hCaptcha pubblica anche chiavi di test per lo sviluppo, inclusa la chiave del sito 10000000-ffff-ffff-ffff-000000000001.

How to Choose Between hCaptcha, reCAPTCHA and Turnstile

Decidi prima in base al volume, quindi da dove sei disposto a inviare i dati dei visitatori.

• Budget: zero, con sotto 10,000 controlli del modulo al mese. Qui tutti e tre non costano nulla. Scegli hCaptcha se vuoi che Google sia fuori dal giro e vuoi un vero puzzle come supporto. Scegli Tornello se il traffico può passare 10,000 entro un anno, perché il suo piano gratuito non ha un limite di richiesta.
• Carico di lavoro: un negozio WooCommerce che tratta circa 50,000 accessi, registrazioni e checkout al mese. Utilizza Turnstile a USD 0, oppure reCAPTCHA Premium a 8 USD al mese se paghi già per Google Cloud. hCaptcha Pro costerebbe USD 91 un mese in più rispetto a Google qui. Se anche il negozio sta diventando troppo grande per il suo server, consulta la nostra guida a Hosting di e-commerce WordPress.
• Regola sulla privacy: la tua politica esclude Google, tu corri 500,000 controlli al mese, e il traffico sospetto ha bisogno di un vero enigma. Scegli hCaptcha Pro a 495 USD al mese, perché si intensifica nei compiti visivi man mano che il rischio aumenta. If a pass-or-fail check is enough, Turnstile handles the same volume for USD 0.
• Agenzia: 15 client sites under one Google Cloud organization. Skip reCAPTCHA’s free tier, since every site draws from the same 10,000 valutazioni. Turnstile’s free plan allows 20 widgets, one per site with five to spare.
• Pubblico: a real share of visitors in mainland China. hCaptcha documents regional endpoints and first-party hosting for China, but only on Enterprise. Don’t lean on reCAPTCHA there. Cloudflare dropped it in 2020 partly because Google services were intermittently blocked in China.

Domande frequenti

Is hCaptcha still free in 2026?

sì, but for less traffic than before. hCaptcha’s plans page now lists Basic as free up to 10,000 richieste al mese, giù da 100,000 until June 2026. Pro costs USD 99/mo on annual billing and comes with a 14-day trial that needs no payment.

Is hCaptcha better than reCAPTCHA for a WordPress contact form?

For a typical contact form, sì. Both are free under 10,000 controlli al mese, e hCaptcha afferma di non condividere i dati dei visitatori per la pubblicità comportamentale. Una volta superato 10,000, anche se, USD di reCAPTCHA 8 Il livello Premium è molto più economico di hCaptcha Pro a USD 99.

Why do I keep getting hCaptcha challenges?

Il sito su cui ti trovi ha installato hCaptcha, e non può ancora dirti da un bot. Il testo di aiuto di hCaptcha suggerisce due soluzioni: registrarsi per il suo cookie di accessibilità, e prova a disattivare il blocco degli annunci. I siti con il piano gratuito sono in esecuzione “Sfida sempre” modalità, i puzzle così frequenti spesso dipendono dal piano e dalle impostazioni del sito.

Is hCaptcha safe, or does it track me?

È un servizio legittimo di controllo dei bot di Intuition Machines. Per giudicare se sei umano, raccoglie il tuo indirizzo IP, dettagli del dispositivo, movimenti del mouse e pressione dei tasti. I cookie e i dati analitici possono essere conservati fino a un anno dopo la scadenza del cookie, solitamente deidentificato. Dice che non vende i tuoi dati né li condivide per la pubblicità comportamentale.

hCaptcha paga ancora i proprietari di siti web?

No. hCaptcha ha terminato il suo programma di guadagni il 15 giugno 2023, e quel giorno la sua dashboard è passata dai guadagni al conteggio delle richieste. Qualsiasi tutorial che promette pagamenti per il traffico hCaptcha descrive un programma che non c'è più.

I robot AI possono risolvere hCaptcha?

Alcuni riescono a passare, come fanno con ogni CAPTCHA. Lo stesso hCaptcha afferma i metodi di risoluzione dell'intelligenza artificiale “hanno continuato a migliorare negli ultimi dieci anni.” È febbraio 2026 affermano le cifre 70-90% diminuisce il volume degli attacchi dopo il lancio in ambito Enterprise, ma quei numeri provengono solo da hCaptcha. Tratta hCaptcha come un unico livello, accanto ai limiti di velocità di accesso e a un firewall.

hCaptcha funziona per i visitatori in Cina?

Le opzioni cinesi di hCaptcha sono solo aziendali. I suoi documenti elencano gli endpoint regionali e una funzionalità di hosting di prima parte per la consegna a bassa latenza in tutta la Cina. I siti Basic e Pro non ottengono nessuno dei due, quindi prova dall'interno della Cina prima di fare affidamento su di loro.

Verdetto finale

hCaptcha è la scelta giusta quando vuoi una visibilità, controllo umano sintonizzabile e necessità che i dati dei visitatori siano tenuti lontani da Google. È la scelta sbagliata se il motivo fosse il prezzo. Dalla metà del 2026 il suo piano gratuito si ferma a 10,000 richieste, e a 50,000 assegni al mese Pro costa 12,4 volte quanto reCAPTCHA spese.

Cloudflare Turnstile dovrebbe essere l'impostazione predefinita per la maggior parte dei siti WordPress in 2026. È gratis, non ha un limite di richiesta, non mostra puzzle di immagini, e non ha bisogno del proxy di Cloudflare. Scegli reCAPTCHA solo se paghi già Google Cloud e non ti dispiace che Google elabori i dati. È USD 8 il livello è l'opzione a pagamento più economica delle tre.

Un CAPTCHA protegge solo i moduli. Le inondazioni mirate al server stesso necessitano di un host adeguato Protezione DDoS. E se lo spam nei commenti è il tuo intero problema, può essere più semplice disattivare completamente i commenti di WordPress.