O que é hCaptcha? Como funciona, Quanto custa e como se compara (2026) - PT

hCaptcha é um serviço CAPTCHA da Intuition Machines que informa as pessoas sobre bots, e a Cloudflare escolheu-o em vez do reCAPTCHA do Google em abril 2020. Ficar com o Google, Cloudflare escreveu na época, “teria acrescentado milhões de dólares em custos anuais.”

Seis anos depois, essa história de alternativa barata precisa de uma correção. Entre 4 Junho e 2 Julho 2026, hCaptcha cortou seu plano gratuito de 100,000 para 10,000 solicitações de um mês, o mesmo subsídio que o Google dá. Nós definimos o preço do hCaptcha, reCAPTCHA e Cloudflare Turnstile em três níveis de tráfego reais, usando a tabela de preços atual de cada fornecedor.

Resposta rápida: hCaptcha é um substituto imediato para o reCAPTCHA do Google que faz com que os visitantes provem que são humanos antes de um formulário ser preenchido. O plano Básico gratuito cobre 10,000 solicita por mês e executa o que o hCaptcha chama “Sempre desafie” modo. Pro custa US$ 99/mês no faturamento anual, e seu modo passivo desafia menos de 0.1% de usuários reais. Use hCaptcha em um pequeno formulário WordPress, ou quando os dados dos visitantes precisam ficar longe do Google. Para uma loja movimentada que deseja custo zero e sem quebra-cabeças de imagem, A catraca da Cloudflare vence: é grátis, sem limite de solicitação.

Última revisão: setembro 2026. Preços e recursos verificados.

Como verificamos os fatos neste guia

Cada valor abaixo vem da tabela de preços do próprio fornecedor, página de política ou changelog, continue lendo 11 setembro 2026. Para hCaptcha, isso significava seus planos, preços e páginas Pro, documentos do desenvolvedor, política de Privacidade (última atualização 7 Outubro 2025), e GDPR e páginas de acessibilidade. Para o Google, usamos a documentação de faturamento e as notas de versão do reCAPTCHA. Para Cloudflare, usamos os documentos do plano Turnstile, além das postagens do próprio blog da Cloudflare de 2020 e 2023.

As contagens e classificações de instalações de plug-ins vêm diretamente do diretório de plug-ins do WordPress.org. Até o momento, o corte de nível gratuito do hCaptcha, nós comparamos 11 cópias arquivadas de sua página de planos no Internet Archive, de abril 2025 a julho 2026.

Comparamos o hCaptcha com os dois serviços que seu próprio plugin WordPress oferece para migrar você: Google reCAPTCHA e catraca Cloudflare. Cada um tem um nível gratuito e um plugin WordPress atualizado dentro 30 dias do nosso cheque. O custo em volumes de tráfego reais teve o maior peso. Depois disso, vêm quais dados saem do seu site, quanto atrito os visitantes reais enfrentam, e quão fácil é a configuração do WordPress. As reivindicações do fornecedor sem um método publicado aparecem aqui como reivindicações, com a fonte nomeada.

Dois limites se aplicam. Não realizamos ataques de bot contra nenhum dos três, então não podemos classificar quantos bots cada um para. Qualquer valor de eficácia abaixo é a própria classificação do fornecedor. Além disso, As próprias páginas do hCaptcha discordam. A página de planos indica o limite de 10.000 solicitações, mas a página de preços lista Básico em USD 0 sem limite mostrado. Nenhum dos dois diz o que acontece quando um site gratuito é ultrapassado.

O que é hCaptcha, e quem o administra

hCaptcha pertence a Máquinas de Intuição, Inc., uma empresa de Delaware cuja política de privacidade fornece um endereço em Miami, Flórida. A empresa diz que o serviço data de 2017. Ele faz o mesmo trabalho que o reCAPTCHA do Google. Um pequeno widget fica em um login, inscrever-se, formulário de comentário ou checkout, e o formulário só passa quando o visitante passa.

Até meados de 2023, hCaptcha também pagou proprietários de sites. Seu programa de ganhos é pago trimestralmente, em uma base de 60 dias, para tráfego hCaptcha em seus sites. Esse programa terminou em 15 Junho 2023. A explicação do hCaptcha foi que seus níveis Pro e Enterprise pagos “tornaram-se nosso foco principal.” Tutoriais que ainda vendem hCaptcha como forma de lucrar com seus visitantes estão descrevendo algo que não existe mais.

Cloudflare é a razão pela qual muitas pessoas conheceram o hCaptcha em primeiro lugar. Ele trocou o reCAPTCHA pelo hCaptcha em 8 abril 2020. As razões apresentadas foram o custo, Os serviços do Google são “bloqueado intermitentemente” na China, e clientes “preocupado em fornecer mais dados ao Google.” Então a Cloudflare construiu seu próprio substituto, Torniquete. Em 29 setembro 2023, disse isso “nunca lançará outro quebra-cabeça visual para ninguém, por qualquer motivo.”

A escala é mais difícil de definir. Em janeiro 2022, hCaptcha afirmou que funcionou “sobre 15% da internet” e disse que levou a maior parte dessa parcela “diretamente do Google reCAPTCHA.” Não explicou como mediu qualquer valor.

Como funciona o hCaptcha?

Existem duas metades: um widget no navegador do visitante e uma verificação no seu servidor. Pule a metade do servidor e o widget será uma decoração. Um bot pode postar diretamente no seu gerenciador de formulários sem nunca carregar a página.

O que o visitante vê

A página carrega o script do hCaptcha, que desenha uma caixa de seleção. Enquanto o visitante trabalha no formulário, o script reúne sinais. A política de privacidade do hCaptcha os lista: endereço de IP, navegador e tipo de dispositivo, sistema operacional, provedor de internet, movimentos do mouse, posição de rolagem, pressionamentos de teclas e eventos de toque. Combinado com o nível de dificuldade escolhido pelo proprietário do site, esses sinais decidem o que é mostrado ao visitante.

A frequência com que uma pessoa real encontra um quebra-cabeça depende do plano:

• Basic (livre): entra “Sempre desafie” modo, com quatro níveis de dificuldade para escolher: Fácil, Médio, Difícil e automático.
• Pró: adiciona um “99.9% Passiva” modo, em que menos de 0.1% de usuários legítimos receba um desafio. Também adapta a dificuldade ao risco, desde nenhum CAPTCHA até tarefas visuais.
• Empreendimento: adiciona um modo No-CAPTCHA totalmente passivo e pontuações de risco nas quais seu próprio código pode atuar.

O que acontece no seu servidor

Quando o visitante passa, o widget adiciona um token oculto ao formulário, em um campo chamado h-captcha-response. Seu servidor envia esse token, com sua chave secreta, para o endpoint de verificação do hCaptcha em api.hcaptcha.com/siteverify. A resposta é uma curta mensagem JSON (um formato de texto estruturado): sucesso verdadeiro ou falso, um carimbo de data/hora, o nome do host, e códigos de erro se algo falhar.

Duas regras nos documentos do hCaptcha identificam configurações feitas à mão. Cada token funciona uma vez, e deve ser verificado logo após ser emitido. hCaptcha também recomenda enviar o endereço IP do visitante e a chave do seu site (o ID público do seu widget) com cada cheque. Incluí-lo impede que um token emitido para um widget seja reutilizado em outro.

Preços do hCaptcha em 2026: O plano gratuito encolheu 90%

hCaptcha cortou seu plano básico gratuito de 100,000 para 10,000 solicitações por mês entre 4 Junho e 2 Julho 2026. Cópias arquivadas de sua página de planos mostram a mudança. o 4 Junho 2026 instantâneo ainda lê “Grátis até 100,000 solicitações por mês.” Por 2 Julho, a mesma linha disse 10,000, e ainda acontecia quando verificamos 11 setembro.

Aqui está a ironia. Em janeiro 2024, hCaptcha atacou o Google por cortar o nível gratuito do reCAPTCHA “de 1,000,000 solicitações por mês para apenas 10,000 solicitações.” (Chamou o movimento “hostil ao desenvolvedor,” que tem uma leitura diferente agora.) Na mesma postagem, disse seu próprio nível gratuito “permanece em 100,000 solicitações por mês.” Dois anos e meio depois, os dois níveis gratuitos são do mesmo tamanho.

Os três planos, conforme listado em 11 setembro 2026:

• Basic: USD 0, limitado a 10,000 solicita por mês. hCaptcha não diz o que acontece além do limite.
• Pró: US$ 99/mês no faturamento anual (USD 1,188 um ano) ou dólares americanos 139 mês a mês. Inclui 100,000 avaliações por mês, então cobra USD 0.99 por 1,000 extra. Um teste de 14 dias não precisa de pagamento, e a conta volta para Básico se você não mantiver o Pro.
• Empreendimento: apenas cotação. Adiciona pontuações de risco, o modo passivo No-CAPTCHA, SLAs empresariais (garantias de tempo de atividade e suporte), APIs de login único e relatórios SAML.

O faturamento mensal adiciona USD 480 um ano para o mesmo plano Pro. A página de preços do hCaptcha também afirma que o Enterprise é “até 50% mais econômico do que o reCAPTCHA.” Uma nota de rodapé diz que a estimativa é “com base em dados de comparação relatados pelo cliente,” e fica no cartão Enterprise, não profissional. A preços de tabela, como mostra a comparação abaixo, Pro pode custar mais que o Google.

catraca hCaptcha vs reCAPTCHA vs Cloudflare

Todos os três fazem o mesmo trabalho básico. Eles diferem em quem recebe os dados, o que o nível gratuito cobre, e se um visitante suspeito já viu um quebra-cabeça.

Google reCAPTCHA: barato além do nível gratuito, mas o Google obtém os dados

O reCAPTCHA agora é cobrado pelo Google Cloud. As notas de lançamento do Google registram três níveis baseados em uso, lançados em 1 Junho 2024. Em 22 abril 2026, O Google tornou o reCAPTCHA parte de uma família de produtos chamada Google Cloud Fraud Defense, e disse que os recursos existentes não mudaram.

O nível gratuito Essentials cobre 10,000 avaliações por mês por organização, e as agências deveriam ler isso duas vezes. O documento de faturamento do Google indica o limite “agrega o uso em todas as contas e todos os sites.” assim 20 sites de clientes em uma organização do Google Cloud compartilham um único 10,000 piscina. Passado, um projeto Essentials recebe um 429 “Recursos esgotados” erro até o primeiro dia do próximo mês.

Descubra se o seu plugin de formulário falha ao abrir ou fechar devido a esse erro. A falha na abertura permite que todos os bots passem; falha fechada bloqueia todos os visitantes reais. Nem é o que você se inscreveu.

Com o faturamento ativado, o nível Premium cobra USD 8 taxa fixa para avaliações 10,001 através 100,000, então USD 1 por 1,000. Em 50,000 cheques por mês, isso é USD 8 contra USD 99 para hCaptcha Pro, uma lacuna de 12,4x. Ignore o reCAPTCHA se sua política de privacidade não puder listar o Google como processador, ou se preferir não abrir uma conta de faturamento do Google Cloud. hCaptcha corrige o primeiro problema. Torniquete corrige ambos.

Torniquete Cloudflare: grátis e sem limite, sem quebra-cabeças de imagens

O plano gratuito da Turnstile permite desafios ilimitados, até 20 widgets por conta e 10 nomes de host por widget. Isso é espaço para até 200 nomes de host antes de precisar do Enterprise. Enterprise aumenta o limite para 200 nomes de host por widget e estende análises de 7 dias para 30. Você também não precisa coloque seu site atrás do Cloudflare. Seus documentos dizem Catraca “pode ser usado de forma independente, sem a necessidade de outros serviços da Cloudflare.”

A compensação é o controle. Turnstile não usa quebra-cabeças de imagens, então não há nada mais difícil de recorrer quando um visitante parece suspeito. hCaptcha Pro pode passar de uma caixa de seleção para uma tarefa visual conforme o risco aumenta. No WordPress, o plugin Simple CAPTCHA com Cloudflare Turnstile tem 200,000+ instalações ativas e um 4.7/5 classificação de 256 avaliações. Plugin próprio do hCaptcha, hCaptcha para WP, tem 70,000+ instala e 4.6/5 de 86.

Quanto custa cada um em três níveis de tráfego

Esses números pressupõem um cheque por envio de formulário protegido, ao preço de tabela de cada fornecedor. Os fornecedores nomeiam suas unidades de faturamento de maneira diferente (hCaptcha diz “avaliações” ou “solicitações de”, Google diz “avaliações”), então leia-os como estimativas aproximadas em vez de faturas.

• 8,000 cheques por mês, como um formulário de contato para pequenas empresas: hCaptcha Básico USD 0, ReCAPTCHA Essentials USD 0, Torniquete USD 0.
• 50,000 cheques por mês, como uma loja WooCommerce movimentada: hCaptcha Pro USD 99 (USD 139 mês a mês), reCAPTCHA USD 8, Torniquete USD 0. Antes de junho 2026, este site cabe no plano gratuito do hCaptcha.
• 500,000 cheques por mês, como um grande site de membros: hCaptcha Pro USD 99 mais dólares americanos 396 excedente, tão USD 495 um mês. reCAPTCHA USD 8 mais dólares americanos 400, então USD 408. Torniquete USD 0.

No nível superior, Custos do hCaptcha Pro 21% mais do que reCAPTCHA pelo preço de tabela. A catraca não custa nada nos três.

Quais dados o hCaptcha coleta?

Mais do que a marca de privacidade sugere. A política de privacidade do hCaptcha diz que ele coleta movimentos do mouse, posição de rolagem, pressionamentos de teclas e eventos de toque porque eles são “necessário para determinar se eles são humanos.” Os dados de cookies e ferramentas semelhantes são “descartado assim que possível.” Ele ainda pode ser mantido por até um ano após o cookie expirar, geralmente em desidentificado, formulário agregado.

A verdadeira diferença do Google é o propósito, não volume. A política do hCaptcha diz que não “vendido” informações pessoais nos últimos doze meses e não as compartilhou por “publicidade comportamental em vários contextos.” Google, em contraste, administra uma empresa de publicidade.

Para onde vão os dados é mais obscuro. A política de privacidade diz dados pessoais “será transferido para, processado, e armazenado nos Estados Unidos.” A página GDPR do hCaptcha diz que as sessões são executadas em equipamentos “nas proximidades dos usuários finais.” Os metadados são processados ​​nos seus principais data centers na Europa e, se aplicável, os EUA. Está inscrito na UE-EUA, Estrutura de privacidade de dados Reino Unido-EUA e Suíça-EUA e usa cláusulas contratuais padrão. Ambos são mecanismos legais para enviar dados pessoais europeus para os EUA. Ele também possui ISO 27001, ISO 27701 e SOC 2 Certificações Tipo II.

Para proprietários de sites na UE, Os documentos do hCaptcha dizem que ele atua como um “processador de dados,” então sua própria política de privacidade se aplica. Adicione hCaptcha a essa política e ao seu aviso de cookies. Quanto mais rigoroso “Zero PII” controles (PII são informações de identificação pessoal) retire dados pessoais antes que cheguem ao hCaptcha. Eles são apenas empresariais.

Acessibilidade: Ative o desafio de texto

Os quebra-cabeças de imagens bloqueiam visitantes cegos e com baixa visão, a menos que haja outro caminho. hCaptcha oferece dois. Os visitantes podem se cadastrar em sua página de acessibilidade e obter um cookie criptografado. hCaptcha diz o cookie “pode ser usado várias vezes ao dia, mas deve ser atualizado periodicamente via login.” Há também um desafio baseado em texto, mas hCaptcha o descreve como um “que alguns serviços podem optar por ativar.”

Essa segunda opção permanece desativada, a menos que o proprietário do site a ative. Sem ele, um usuário de leitor de tela que ignorou a inscrição do cookie fica com quebra-cabeças de imagens. hCaptcha diz acreditar que o serviço atende às WCAG 2.2 AA, um nível das Diretrizes de Acessibilidade de Conteúdo da Web do W3C. Baseia-se nisso “nossos próprios testes e análises externas de acessibilidade.” Também diz claramente que “este não é um conselho jurídico.” Sites do setor público e de educação devem testar com um leitor de tela antes do lançamento, ou use Catraca, que ignora completamente os quebra-cabeças visuais.

Como adicionar hCaptcha ao WordPress

Plugin próprio do hCaptcha, hCaptcha para WP, é o caminho mais fácil. Foi atualizado pela última vez em 11 setembro 2026 (versão 5.3.0), precisa de WordPress 6.0 e PHP 7.4 ou mais tarde, e é testado até WordPress 7.1.

• Degrau 1: Crie uma conta hCaptcha gratuita, adicione seu site, e copie dois valores: a chave do site e o segredo da sua conta.
• Degrau 2: No seu painel do WordPress, abra plug-ins, adicione um novo plugin, procurar “hCaptcha para WP” e instale-o.
• Degrau 3: Cole as duas chaves em Configurações > hCaptcha. O plugin pode verificar a configuração antes de salvar.
• Degrau 4: Marque os formulários para proteger. O plugin cobre os principais formulários do WordPress, WooCommerce, Formulário de Contato 7, Elementor e “sobre 60 outros plug-ins e temas.”
• Degrau 5: Ligue o pote de mel (um campo oculto que apenas os bots preenchem) e o tempo mínimo de envio. Ambos param bots simples antes que o hCaptcha mostre alguma coisa.
• Degrau 6: Defina a API para carregar na interação do usuário, então o script fica fora do carregamento da primeira página. Você também pode ocultar o hCaptcha de usuários logados.
• Degrau 7: Sair, abra uma janela privada, e envie todos os formulários protegidos uma vez para confirmar que funcionam.

Mudando de reCAPTCHA ou Turnstile? O Assistente de Migração do plugin faz a troca em poucos cliques. Um plugin de segurança define uma Política de Segurança de Conteúdo? (um cabeçalho que limita quais scripts externos podem ser executados)? Então permita https://hcaptcha.com e https://*.hcaptcha.com para scripts, quadros, estilos e conexões. Caso contrário, o widget não carregará. Um CAPTCHA cobre apenas formulários, então trabalhe com o resto do nosso Lista de verificação de testes de segurança do WordPress também.

Não no WordPress? O front-end precisa de apenas duas peças: o script de js.hcaptcha.com/1/api.js e uma div com a classe h-captcha e seu data-sitekey. Em seguida, verifique cada token no servidor, conforme descrito acima. hCaptcha também publica chaves de teste para desenvolvimento, incluindo a chave do site 10000000-ffff-ffff-ffff-000000000001.

Como escolher entre hCaptcha, reCAPTCHA e catraca

Decida primeiro pelo volume, então, para onde você deseja enviar os dados do visitante.

• Despesas: zero, com abaixo 10,000 cheques de formulário por mês. Todos os três não custam nada aqui. Escolha hCaptcha se quiser que o Google fique fora do circuito e tenha um verdadeiro quebra-cabeça como proteção. Escolha Catraca se o tráfego puder passar 10,000 dentro de um ano, porque seu plano gratuito não tem limite de solicitação.
• Carga de trabalho: uma loja WooCommerce lidando com cerca de 50,000 logins, inscrições e checkouts por mês. Use catraca em USD 0, ou reCAPTCHA Premium por US$ 8/mês se você já paga pelo Google Cloud. hCaptcha Pro custaria dólares 91 um mês a mais que o Google aqui. Se a loja também estiver superando seu servidor, veja nosso guia para Hospedagem de comércio eletrônico WordPress.
• Regra de privacidade: sua política proíbe o Google, você corre 500,000 cheques por mês, e o tráfego suspeito precisa de um verdadeiro quebra-cabeça. Escolha hCaptcha Pro por US$ 495/mês, porque passa para tarefas visuais à medida que o risco aumenta. Se uma verificação de aprovação ou reprovação for suficiente, Turnstile lida com o mesmo volume para USD 0.
• Agência: 15 sites de clientes em uma organização do Google Cloud. Ignorar o nível gratuito do reCAPTCHA, já que cada site se baseia no mesmo 10,000 avaliações. O plano gratuito da Turnstile permite 20 widgets, um por site com cinco sobrando.
• Público: uma parcela real de visitantes na China continental. hCaptcha documenta endpoints regionais e hospedagem própria para a China, mas apenas no Enterprise. Não se apoie no reCAPTCHA aí. Cloudflare lançou 2020 em parte porque os serviços do Google foram bloqueados intermitentemente na China.

perguntas frequentes

O hCaptcha ainda é gratuito em 2026?

sim, mas com menos tráfego do que antes. A página de planos do hCaptcha agora lista o Basic como gratuito até 10,000 solicita por mês, para baixo de 100,000 até junho 2026. O Pro custa US$ 99/mês no faturamento anual e vem com uma avaliação de 14 dias que não exige pagamento.

O hCaptcha é melhor que o reCAPTCHA para um formulário de contato WordPress??

Para um formulário de contato típico, sim. Ambos são gratuitos sob 10,000 cheques por mês, e hCaptcha diz que não compartilha dados de visitantes para publicidade comportamental. Depois de passar 10,000, Apesar, USD do reCAPTCHA 8 O nível premium é muito mais barato que o hCaptcha Pro em dólares americanos 99.

Por que continuo recebendo desafios hCaptcha?

O site em que você está instalou o hCaptcha, e ainda não pode te diferenciar de um bot. O próprio texto de ajuda do hCaptcha sugere duas correções: registre-se para obter seu cookie de acessibilidade, e tente desligar seu bloqueador de anúncios. Sites no plano gratuito são executados em “Sempre desafie” modo, quebra-cabeças tão frequentes geralmente se resumem ao plano e às configurações do site.

O hCaptcha é seguro, ou isso me rastreia?

É um serviço legítimo de verificação de bot da Intuition Machines. Para julgar se você é humano, ele coleta seu endereço IP, detalhes do dispositivo, movimentos do mouse e pressionamentos de teclas. Os dados de cookies e análises podem ser mantidos por até um ano após a expiração do cookie, geralmente desidentificado. Diz que não vende seus dados nem os compartilha para publicidade comportamental.

O hCaptcha ainda paga proprietários de sites?

Não. hCaptcha encerrou seu programa de ganhos em 15 Junho 2023, e seu painel mudou de ganhos para contagens de solicitações naquele dia. Qualquer tutorial que prometa pagamentos para o tráfego hCaptcha descreve um programa que desapareceu.

Os bots de IA podem resolver o hCaptcha?

Alguns passam, como fazem com cada CAPTCHA. O próprio hCaptcha diz métodos de resolução de IA “continuaram a melhorar na última década.” É fevereiro 2026 afirmação de números 70-90% cai no volume de ataques após lançamentos corporativos, mas esses números vêm apenas do hCaptcha. Trate o hCaptcha como uma camada, próximo aos limites de taxa de login e um firewall.

O hCaptcha funciona para visitantes na China?

As opções do hCaptcha na China são apenas empresariais. Seus documentos listam endpoints regionais e um recurso de hospedagem primária para entrega de baixa latência em toda a China. Sites Básicos e Pro não recebem nenhum dos dois, então teste dentro da China antes de confiar neles.

Veredicto Final

hCaptcha é a escolha certa quando você deseja um visual visível, verificação humana ajustável e precisa que os dados dos visitantes sejam mantidos longe do Google. É a escolha errada se o preço for o motivo. Desde meados de 2026, seu plano gratuito termina em 10,000 solicitações de, e em 50,000 cheques por mês Pro custa 12,4x o que reCAPTCHA cobranças.

Torniquete Cloudflare deve ser o padrão para a maioria dos sites WordPress em 2026. É grátis, não tem limite de solicitação, não mostra quebra-cabeças de imagens, e não precisa do proxy da Cloudflare. Escolha reCAPTCHA apenas se você já paga ao Google Cloud e não se importa que o Google processe os dados. É USD 8 nível é a opção paga mais barata dos três.

Um CAPTCHA apenas protege formulários. As inundações direcionadas ao próprio servidor precisam de um host com capacidade adequada Proteção DDoS. E se o spam de comentários for o seu problema, pode ser mais simples desativar totalmente os comentários do WordPress.