Cloudflare Turnstile 完整教學：2026 年最佳 Google reCAPTCHA 替代方案，WordPress 無感驗證碼安裝指南

Cloudflare Turnstile 是什麼？

Cloudflare Turnstile 是一款免費的智能驗證服務，能讓網站訪客在幾乎不需要任何操作的情況下通過人機驗證。它用非侵入式的瀏覽器信號分析取代了傳統的圖片選擇、扭曲文字辨識等 CAPTCHA 互動，同時維持高水準的安全防護。截至 2026 年 5 月，Turnstile 免費方案提供無限次驗證、最多 20 個 Widget、每個 Widget 可綁定 10 個主機名稱，絕大多數網站完全不需要付費。

Cloudflare 在 2022 年推出 Turnstile，定位就是 Google reCAPTCHA 的替代品。經過幾年的迭代，它已經從測試階段成長為一個穩定可靠的產品，被全球數百萬個網站採用。Turnstile 不需要你的網站使用 Cloudflare CDN 或 DNS 服務，它可以獨立運作。

為什麼該考慮換掉傳統驗證碼？

傳統 CAPTCHA 對真實使用者的折磨是有目共睹的。根據多項研究，驗證碼造成的額外摩擦力會讓表單放棄率上升 20% 以上，對電商網站來說，這等於直接把訂單往外推。

更令人擔憂的是隱私層面。Google reCAPTCHA 在背景收集大量瀏覽器指紋、裝置資訊和瀏覽行為，這些資料可能被用於廣告生態系。如果你經營的是重視使用者隱私的網站，同時又想做好 SEO 優化，你需要的是一個更聰明的方案，而不是更難的驗證碼。

Cloudflare Turnstile 做到了一件事：讓使用者在完全不需要做任何事的情況下通過驗證。根據 Cloudflare 公布的數據，超過 95% 的驗證會話中，使用者完全不需要進行任何互動。它不追蹤使用者跨站行為，不將資料用於廣告目的，並且支援 Apple Private Access Tokens，讓 iOS 和 macOS 使用者可以在不分享任何瀏覽器資訊的情況下完成驗證。

Turnstile 運作原理

Turnstile 不靠圖片辨識來驗證人類，而是透過一系列非侵入式的信號分析來做判斷。

瀏覽器指紋辨識。當使用者載入網頁時，Turnstile 的小工具會收集瀏覽器的各項特徵，包括 User-Agent、螢幕解析度、安裝的字型清單、WebGL 特性、Canvas 渲染結果等。這些資料組合起來形成一個獨特的「指紋」，真正的瀏覽器會呈現自然的指紋特徵，而無頭瀏覽器的指紋往往有明顯異常。

行為分析驗證。除了靜態特徵，Turnstile 也會觀察使用者在頁面上的行為模式：滑鼠移動軌跡是否自然、捲動節奏是否符合人類習慣、點擊間隔是否合理。就跟 Cloudflare Workers 在邊緣運算中處理即時請求一樣，Turnstile 的行為分析也是在邊緣節點即時完成。

Proof of Work 機制。當 Turnstile 對某個請求仍存有疑慮時，會要求瀏覽器執行一段小型密碼學計算任務。對一般使用者的裝置來說，這個過程大約只需要幾毫秒到幾十毫秒，幾乎無感。但對試圖大規模發送垃圾請求的機器人來說，每次都要付出額外的計算成本，大幅提高攻擊門檻。

Private Access Tokens。在支援的 iOS 和 macOS 裝置上，系統可以在完全不收集任何瀏覽器資訊的情況下驗證使用者是真人，因為裝置本身的安全晶片已經提供了可信的身份保證。

三種驗證模式比較

Turnstile 提供三種 Widget 模式，讓你根據網站的安全需求和使用者體驗偏好來選擇。

比較項目	Managed（推薦）	Non-Interactive	Invisible
使用者互動	自動判斷（可能需要勾選）	需要勾選核取方塊	無需任何互動
頁面可見元件	有（動態顯示）	有（核取方塊）	無
安全等級	最高	中高	中
適用場景	一般網站表單	需要明確確認的場景	結帳頁面、高轉換需求

Managed 模式是 Cloudflare 官方推薦的預設選項。系統會根據每個訪客的風險評估結果，自動決定最適合的驗證方式。低風險使用者可能在背景就完成驗證，只會看到一個簡短的勾選動畫。高風險請求則會觸發更嚴格的挑戰。

Non-Interactive 模式只在頁面上顯示一個核取方塊，使用者勾選即可通過。如果你需要讓使用者明確感知驗證的存在（例如表單提交前的確認步驟），但又不想增加太多摩擦，這個模式很適合。

Invisible 模式完全透明，頁面上不會顯示任何驗證元件。最適合用在最大化轉換率的場景，例如電商結帳頁面。但要注意，啟用 Invisible 模式需要同意 Cloudflare 的 Turnstile 隱私補充條款。

如果你不確定該選哪個，直接用 Managed 模式就對了。

Turnstile vs Google reCAPTCHA vs hCaptcha

市面上最主流的三款驗證服務，底下從多個維度做一次完整比較。

比較項目	Cloudflare Turnstile	Google reCAPTCHA v3	hCaptcha
免費方案	無限次驗證、20 個 Widget	每月 10,000 次評估	無限次驗證
使用者互動	通常無需互動	無需互動（分數制）	可能需要圖片選擇
JS 檔案大小	約 30 KB（壓縮後）	約 100 KB+	約 60 KB+
隱私友善度	極高（Private Access Tokens）	較低（Google 廣告生態系）	高
GDPR 合規	完全合規	有爭議	合規
無障礙標準	WCAG 2.2 AAA	部分合規	部分合規
驗證準確率	95%+ 無感通過率	高	中高

從綜合表現來看，Turnstile 在免費額度、隱私保護和效能影響三個關鍵維度上都有優勢。它也通過了 WCAG 2.2 AAA 無障礙標準，這對於需要符合無障礙法規的網站來說是一個重要的差異。

對網站效能的影響

Turnstile 的核心 JavaScript 檔案大約只有 30 KB（壓縮後），而 Google reCAPTCHA 的腳本通常超過 100 KB。在實際測試中，Turnstile 的載入時間大約只需要 reCAPTCHA 的一半。對於已經用過 WordPress 網站速度優化方法的站長來說，這代表你不需要為了驗證碼而犧牲辛苦優化出來的速度。

在 Core Web Vitals 方面：LCP 幾乎不受影響，因為輕量腳本不會阻塞首屏渲染；FID 不受影響，背景運算不會阻塞主執行緒；CLS 方面，Invisible 模式完全零偏移，Managed 和 Non-Interactive 模式則需要預留固定的容器空間來避免佈局跳動。你可以搭配 SiteGround SG Optimizer 等 WordPress 快取外掛，將 Turnstile 腳本設定為延遲載入，進一步減少對首次載入的影響。

WordPress 安裝 Turnstile 完整教學

底下是從零開始在 WordPress 安裝 Cloudflare Turnstile 的完整步驟。不管你是用 Bluehost、Kinsta 還是其他主機商，流程都一樣。

步驟一：註冊 Cloudflare 帳號

如果你還沒有 Cloudflare 帳號，先到 Cloudflare 官網免費註冊。註冊只需要 Email 和密碼，不到一分鐘就能完成。註冊後也可以參考我們的 Cloudflare 完整教學來進一步了解各項服務。

步驟二：建立 Turnstile Site Key 與 Secret Key

登入 Cloudflare 儀表板後，在左側導航選單的「Security」分類下找到「Turnstile」。點選「Add Site」，填入網站名稱和要保護的網域名稱，在 Widget Mode 中選擇驗證模式（建議選 Managed）。送出後，Cloudflare 會產生一組 Site Key（公開金鑰，放在前端）和一組 Secret Key（私密金鑰，放在後端驗證用）。把這兩個金鑰記錄下來，安裝外掛時會用到。

步驟三：安裝 WordPress 外掛

在 WordPress 後台「外掛」頁面搜尋「Cloudflare Turnstile」，你會找到多個相關外掛。推薦使用「Simple Cloudflare Turnstile」或「Cloudflare Turnstile by Cloudflare」這兩個外掛，它們都有良好的維護記錄和評價。安裝並啟用後，進入外掛的設定頁面。

步驟四：設定外掛

在設定頁面中貼上 Site Key 和 Secret Key，接著選擇要保護的頁面和表單，通常包括：登入頁面、註冊頁面、密碼重設頁面、留言表單、電子報訂閱表單等。每個外掛的介面略有不同，但核心設定都一樣。你也可以選擇驗證失敗時的處理方式（顯示錯誤訊息、靜默阻擋、或標記為待審核）。

步驟五：測試驗證功能

開一個無痕視窗，嘗試訪問你的登入頁面和留言表單。確認 Turnstile 小工具正確顯示，通過驗證後能正常提交。也要測試驗證失敗的情境，確保機器人請求會被正確攔截。安裝過程中如果遇到問題，常見原因包括：Site Key 或 Secret Key 貼上錯誤、網域名稱與 Cloudflare 設定不一致、主題或外掛的 JavaScript 與 Turnstile 衝突。如果你之前有使用 Disable Comments 外掛來管理留言，記得確認它和 Turnstile 外掛不會衝突。

進階設定：自訂外觀與整合

外觀主題。Turnstile 提供三種內建主題：Light（淺色）、Dark（深色）和 Auto（自動偵測）。Auto 模式會根據使用者的系統偏好自動切換，跟 Darkmode.Js 深色模式的運作邏輯類似。你也可以透過自訂 CSS 進一步調整容器樣式，但 Cloudflare 基於安全考量不允許過度的樣式覆寫。

語言與回呼函數。Turnstile 支援自訂顯示語言。如果希望驗證碼元件顯示繁體中文提示文字，可以在初始化時設定 language 參數為「zh-TW」。回呼函數讓你能夠在驗證成功或失敗時執行自訂 JavaScript，例如驗證成功後自動啟用提交按鈕。

非 WordPress 平台整合。對於純 HTML/JavaScript 專案，只需要在表單中加入一個 div 容器，引入 Turnstile 的 JavaScript SDK，呼叫 render 方法即可。React 開發者可以使用社群維護的 React Turnstile 元件，Vue 也有對應的套件。對於自訂後端架構，透過 Turnstile 的 siteverify API 端點驗證 Token 有效性即可。搭配 Cloudflare Email Routing 等服務，可以打造一個完整的安全防護體系。

數據分析。Cloudflare 儀表板中有 Turnstile 專屬的分析頁面（免費方案提供 7 天回顧，Enterprise 方案提供 30 天），可以查看驗證次數、通過率、挑戰觸發率等關鍵指標。定期查看這些數據是維護網站安全的好習慣。

從 Google reCAPTCHA 遷移到 Turnstile

如果你已經在使用 Google reCAPTCHA，遷移到 Turnstile 不複雜。

遷移前準備。先盤點所有使用 reCAPTCHA 的地方：WordPress 登入頁、註冊頁面、密碼重設頁面、留言表單、留言檢舉功能、聯絡表單、WooCommerce 結帳頁面等。列一張清單，確保遷移後每個地方都不會遺漏。

WordPress 外掛替換。先安裝並設定好 Turnstile 外掛，確認在各個表單上都正常運作，然後再停用或移除 reCAPTCHA 外掛。順序很重要，先裝好新的再拆舊的，避免出現沒有驗證碼保護的空窗期。這個原則跟提升 WordPress 安全性的方法一樣：逐步替換，不要一次全部改動。

自訂表單遷移。如果你有自訂開發的表單或使用了第三方服務（如 Algolia 搜尋服務），遷移會需要修改程式碼。Turnstile 的 API 設計跟 reCAPTCHA 類似，都有前端渲染和後端驗證兩個步驟，但具體的 API 端點和參數名稱不同。Cloudflare 提供了詳細的遷移文件，裡面有 reCAPTCHA 到 Turnstile 的程式碼對照表。

回滾方案。在移除 reCAPTCHA 之前，記錄下舊的 Site Key 和外掛設定。如果遷移後發現問題，你可以在幾分鐘內恢復原來的設定。建議在流量較低的時段進行遷移，例如週末深夜。遇到問題時可以參考我們的 502 Bad Gateway 修復教學。

適合誰？不適合誰？

適合 Turnstile 的情況：你經營 WordPress 部落格或中小企業網站，想要免費的驗證碼方案；你重視使用者隱私，不想讓 Google 收集訪客資料；你的網站有表單提交需求（登入、留言、聯絡、結帳），想要減少因驗證碼造成的表單放棄率；你正在用 WordPress SEO 外掛和網站優化方法來提升效能，不想被驗證碼腳本拖累。

可能不適合的情況：你的網站面臨高度針對性的進階攻擊（使用真實瀏覽器模擬的攻擊），單靠 Turnstile 不夠，需要搭配 WordPress 安全強化方法和 WordPress 安全最佳做法一起使用；你的網站需要超過 20 個 Widget 或每個 Widget 需要綁定超過 10 個主機名稱（這時需要聯繫 Cloudflare 了解 Enterprise 方案）；你需要超過 7 天的驗證分析回顧數據（Enterprise 方案提供 30 天）。

三個立即可以執行的下一步

1. 取得免費金鑰。到 Cloudflare Turnstile 官方頁面登入或註冊帳號，建立你的第一個 Widget，取得 Site Key 和 Secret Key。預期結果：1 分鐘內拿到兩組金鑰。

2. 安裝到 WordPress。在後台搜尋並安裝「Simple Cloudflare Turnstile」外掛，貼上金鑰，選擇要保護的表單，然後用無痕視窗測試。預期結果：登入頁和留言表單出現 Turnstile 驗證元件，通過後可正常提交。

3. 檢查驗證數據。安裝完成後 24 小時，回到 Cloudflare 儀表板的 Turnstile Analytics 頁面，查看通過率和挑戰觸發率。判斷標準：通過率在 90% 以上表示設定合理；如果通過率明顯偏低，考慮從 Invisible 切換為 Managed 模式。如果你還在找適合的主機環境，可以參考我們的主機推薦懶人包，選一個穩定的主機來搭配 Turnstile 使用。

常見問題

Turnstile 真的完全免費嗎？
是的。截至 2026 年 5 月，Turnstile 免費方案提供無限次驗證、最多 20 個 Widget、每個 Widget 可綁定 10 個主機名稱。只有需要超過這些額度或進階功能（如自訂品牌、30 天分析回顧）的企業才需要付費。

使用 Turnstile 需要把網站加入 Cloudflare CDN 嗎？
不需要。Turnstile 是獨立的驗證服務，你的網站不一定要使用 Cloudflare 的 CDN 或 DNS 服務。不過如果你同時使用 Cloudflare CDN，兩者的整合會更順暢。

Turnstile 小工具不顯示怎麼辦？
可能的原因包括：Site Key 輸入錯誤（請再次確認是否正確複製貼上）、網域名稱不匹配（Cloudflare 設定中的網域必須與網站實際網域一致）、JavaScript 載入被阻擋（某些瀏覽器擴充功能或 VPN 工具可能會攔截腳本）。打開瀏覽器的開發者工具（F12）查看 Console 是否有錯誤訊息，通常能快速定位問題。

Turnstile 支援哪些瀏覽器？
支援所有主流瀏覽器的最新版本和近幾個版本，包括 Chrome、Firefox、Safari、Edge。不支援 IE 瀏覽器。

Turnstile 符合 GDPR 規範嗎？
Cloudflare 在設計 Turnstile 時就考慮到了 GDPR 合規。它採用資料最小化原則，不追蹤使用者跨站行為，不將資料用於廣告目的，並且通過了 WCAG 2.2 AAA 無障礙標準。