Turnstile – CAPTCHA utan Google

Cloudflare utannonserade nyligen att de släpper sitt Turnstile API i en öppen beta, fritt för alla att använda.

Vad är Turnstile?

Turnstile är ett alternativ till reCAPTCHA där användaren aldrig behöver direkt utföra utmaningar för att verifiera att man inte är en robot.

Istället så löser användarens webbläsare utmaningarna för att verifiera att det är en människa bakom skärmen. Och det är egentligen två olika punkter som Cloudflare försöker lösa:

• UX/användarvänlighet. CAPTCHAs och liknande kan vara fruktansvärt dåliga för användaren, de kan vara svåra och komplicerade att lösa och passar kanske inte in på en logisk plats i flödet.
• Användarens integritet. I många år har användaren kanske ont anande skickat sin personliga data till externa aktörer (och då främst Google med ~95-98% av marknaden) för att lösa just captchas.

Cloudflares lösning använder ingen personlig data, och i.o.m. betan av Turnstile så behöver man inte ens längre använda deras egna CDN för att få åtkomst till tekniken (d.v.s. webbplatsens data behöver inte gå över Cloudflares nätverk). Vidare så är Turnstile helt cookie-fritt från grunden.

Koppling emot Apple (med flera)

Cloudflare har redan utannonserat ett partnerskap med Apple¹, där i iOS- och macOS-användare kan verifieras genom Private Access Tokens. Detta innebär att ens egna enhet aldrig direkt behöver verifieras emot CAPTCHAn, istället lämnar Apple ut en anonym token som talar om att det är en människa som sitter vid enheten.

I de fallen en Private Access Tokens behöver inte ens CAPTCHAn presenteras, då Cloudflare/Turnstile redan på förhand har en verifierad användare.

Fler partners lär tillkomma allt eftersom.

Enkel integration och övergång ifrån reCAPTCHA

Cloudflare har ett särskilt övergångsverktyg för att migrera ifrån just reCAPTCHA. Det enda som behövs är att hämta hem nycklar för att sätta igång.

Om man börjar från scratch ser implementationen lite annorlunda ut, men skiljer sig inte nämnvärt ifrån andra CAPTCHA-lösningar.