Desafio Cloudflare vs Turnstile: Diferenças Principais Explicadas
Specialist in Anti-Bot Strategies
Resumo:
- Eles são duas coisas diferentes que parecem semelhantes. Um Desafio Cloudflare é uma proteção de borda que bloqueia o acesso a um site inteiro; Turnstile é um widget que um site incorpora para verificar uma única ação, como um login.
- O Desafio é implementado pela Cloudflare no nível da zona. Você o encontra como uma intersticial de página inteira ("Apenas um momento…") antes do conteúdo, e ao superá-lo, um cookie
cf_clearanceé armazenado. - O Turnstile é implementado pelo proprietário do site, inline. Ele está em um formulário, e ao passar por ele, um token
cf-turnstile-responseé gerado, que o site verifica no lado do servidor. - Para um scraper, o manuseio é diferente. Um Desafio precisa de um navegador real que renderize e espere o término da intersticial; um Turnstile necessita que o widget funcione e seu token seja lido do callback.
- Uma ferramenta cobre ambos. O Scrapeless Scraping Browser renderiza cada um em um navegador em nuvem real — em uma execução ao vivo, conseguiu limpar uma página de desafio da Cloudflare em cerca de 20 segundos.
- Gratuito para começar. Novas contas Scrapeless incluem tempo de execução gratuito do Scraping Browser — inscreva-se em app.scrapeless.com.
Introdução: mesma marca, dois mecanismos diferentes
A intersticial "Apenas um momento…" da Cloudflare e seu widget Turnstile carregam ambos o nome da Cloudflare, ambos ficam entre uma solicitação e o conteúdo, e ambos são chamados de "o CAPTCHA Cloudflare" em passagem. Eles não são o mesmo mecanismo, e tratá-los como um só é a razão pela qual muitos códigos de scraping lidam com um e quebram no outro.
Um Desafio Cloudflare é algo que a Cloudflare faz em sua borda, em nome de um site que ela representa, para decidir se uma solicitação chega à origem. Turnstile é um widget que um proprietário de site deliberadamente incorpora em uma página — o sucessor de um CAPTCHA de caixa de seleção — para verificar uma ação específica. Este guia apresenta os dois lado a lado: o que cada um é, onde você o encontra, o que ele produz e como um scraper lida com cada um.
O que cada um é
Desafio Cloudflare é proteção em nível de zona. Quando a gestão de bots da Cloudflare não tem certeza se uma solicitação é de um navegador real, ela serve uma intersticial que executa uma verificação de JavaScript e só encaminha a solicitação para a origem uma vez que ela passe. A Cloudflare documenta vários tipos de desafio — uma detecção de JavaScript que se resolve sozinha, um desafio gerenciado que decide automaticamente e um desafio interativo que pede para o visitante agir. O visitante não opta por isso; a configuração da Cloudflare do site faz isso.
Turnstile é um widget incorporável. Um proprietário de site adiciona um <div class="cf-turnstile" data-sitekey="…"> (ou o renderiza em JavaScript) em um formulário, e o Turnstile executa um conjunto de verificações não intrusivas para confirmar que o visitante é humano. É uma alternativa de fácil implementação a um CAPTCHA de caixa de seleção, com foco na ação que protege, em vez de no site inteiro.
Lado a lado
| Desafio Cloudflare | Turnstile | |
|---|---|---|
| O que é | Proteção de borda bloqueando acesso a um site | Um widget verificando uma única ação |
| Quem o implementa | Cloudflare, no nível da zona | O proprietário do site, em um formulário específico |
| Onde você o encontra | Uma intersticial de página inteira antes do conteúdo | Inline em um formulário (login, inscrição, checkout) |
| Gatilho | Avaliação da solicitação pela Cloudflare | Carregamento da página/formulário que o incorpora |
| O que produz | Um cookie cf_clearance para a sessão |
Um token cf-turnstile-response por submissão |
| Como é verificado | Na borda da Cloudflare, transparentemente | No servidor, contra o endpoint de validação da Cloudflare |
| Escopo | O site inteiro por trás da zona | Apenas a ação que o widget protege |
A forma mais clara de distinguir: um Desafio é uma parede em frente à casa inteira que você deve atravessar para ver qualquer coisa; o Turnstile é uma fechadura em uma porta dentro de uma casa na qual você já pode andar.
Onde eles se sobrepõem
A confusão é compreensível, porque os dois compartilham maquinário. Turnstile e o Desafio interativo usam a mesma tecnologia de widget subjacente, então um Desafio interativo pode parecer exatamente como uma caixa de seleção Turnstile. A diferença é quem o colocou lá e o que ele bloqueia: o Desafio é a Cloudflare bloqueando a origem; o Turnstile é o site bloqueando um formulário. Ambos, em última análise, produzem um token que prova que a verificação passou — um cookie cf_clearance para o Desafio, um cf-turnstile-response para o Turnstile, ambos regidos pela semântica de cookie e cabeçalho na especificação de Gerenciamento de Estado HTTP.
Como um scraper lida com cada um
Ambos dependem de executar um navegador real, mas a condição de sucesso é diferente.
Para um Desafio, você renderiza a página e aguarda a intersticial resolver-se no conteúdo real — o título da página muda de "Apenas um momento..." para o título real, e um cookie cf_clearance é definido na sessão. Os sinais que o Cloudflare considera são os mesmos que decidem qualquer solicitação automatizada: se o JavaScript realmente é executado, se a impressão digital é consistente e se o IP de saída é respeitável, razão pela qual a saída residencial é importante. O walkthrough completo está no guia sobre limpeza de desafios do Cloudflare.
Para Turnstile, você renderiza o formulário, deixa o widget executar e lê o token cf-turnstile-response de sua callback antes de enviar o formulário — o token é então verificado no lado do servidor de acordo com a validação do lado do servidor do Cloudflare. Como o token está ligado à configuração do widget, é útil conhecer os parâmetros do widget; lê-los é coberto no guia sobre detectando parâmetros do Turnstile.
Os padrões de tráfego automatizado que ambas as defesas foram projetadas para capturar estão catalogados em o projeto OWASP Threats Automatizados — razão pela qual a mesma abordagem de navegador real limpa ambas.
Qual deles você está enfrentando?
Um guia de decisão rápida:
- Uma página completa que diz "Apenas um momento..." ou "Verificando se você é humano" antes que qualquer conteúdo carregue → um Desafio do Cloudflare. Renderize a página e aguarde o intersticial se limpar; fixe a saída residencial.
- Uma caixa de seleção ou widget invisível em um formulário, com o restante da página já visível → Turnstile. Renderize o formulário, leia o token da callback e envie.
- Uma caixa de seleção que bloqueia todo o site → um Desafio interativo usando a interface do Turnstile. Trate-o como um Desafio (ele bloqueia a origem), mas a mecânica do widget é a mesma.
Um navegador em nuvem gerenciado cobre todos os três — o Scraping Browser renderiza cada um em um navegador real com saída residencial, e os docs cobrem todo o fluxo. Em uma execução ao vivo, ele limpou uma página de desafio do Cloudflare em cerca de 20 segundos.
Conclusão: saiba qual mecanismo você está analisando
O Desafio do Cloudflare e o Turnstile resolvem problemas diferentes para o site: o Desafio decide se uma solicitação atinge a origem, enquanto o Turnstile confirma que um humano realizou uma ação específica. Eles compartilham a tecnologia do widget e ambos resultam em um token de prova de passagem, mas onde você os encontra, quem os implanta e o que eles bloqueiam são todos diferentes — e isso decide como você os lida. Renderize em um navegador real de qualquer forma; aguarde a liberação em um Desafio, leia o token em um Turnstile e fixe a saída residencial para que a solicitação pareça o que é. Veja a página de preços para escalar qualquer fluxo.
Pronto para construir seu pipeline de dados impulsionado por IA?
Junte-se à nossa comunidade para reivindicar um plano gratuito e conectar-se com desenvolvedores que lidam com fluxos contra bots: Discord · Telegram.
Inscreva-se em app.scrapeless.com para um tempo de execução gratuito do Scraping Browser e adapte a abordagem acima aos fluxos de Desafio ou Turnstile que seus alvos usam.
FAQ
P: O Desafio do Cloudflare e o Turnstile são a mesma coisa?
Não. Um Desafio é uma proteção de borda que o Cloudflare aplica para bloquear o acesso a todo um site; o Turnstile é um widget que um proprietário de site incorpora para verificar uma única ação. Eles compartilham a tecnologia do widget, mas são implantados por partes diferentes e bloqueiam coisas diferentes.
P: Como posso saber qual estou enfrentando?
Se uma página completa bloqueia todo o conteúdo com "Apenas um momento...", é um Desafio. Se uma caixa de seleção ou widget invisível está em um formulário enquanto o restante da página está visível, é Turnstile. Uma caixa de seleção que bloqueia todo o site é um Desafio interativo usando a mesma interface do widget.
P: O que cada um produz?
Um Desafio define um cookie cf_clearance que limpa a sessão; o Turnstile produz um token cf-turnstile-response por submissão que o site verifica no lado do servidor.
P: Eu os trato da mesma maneira?
Ambos precisam de um navegador real. Para um Challenge, você renderiza e espera que o intersticial seja limpo; para o Turnstile, você renderiza o formulário, lê o token do callback e envia. O egress residencial ajuda em ambos os casos.
P: Uma ferramenta pode lidar com ambos?
Sim. Um navegador em nuvem gerenciado renderiza cada um em um navegador real — limpando o intersticial do Challenge e permitindo que o widget Turnstile funcione — assim você não precisa configurar um tratamento separado para cada um.
Na Scorretless, acessamos apenas dados disponíveis ao público, enquanto cumprem estritamente as leis, regulamentos e políticas de privacidade do site aplicáveis. O conteúdo deste blog é apenas para fins de demonstração e não envolve atividades ilegais ou infratoras. Não temos garantias e negamos toda a responsabilidade pelo uso de informações deste blog ou links de terceiros. Antes de se envolver em qualquer atividade de raspagem, consulte seu consultor jurídico e revise os termos de serviço do site de destino ou obtenha as permissões necessárias.
