Cloudflare Turnstile: agente de IA agora faz a instalação

O Spin deixa um agente de IA instalar o Turnstile, inclusive a validação no servidor, e espera a sua aprovação antes de mudar o código do site.

Por Redação Eleven Host · @robson.direitodigital · Atualizado em 18 de outubro de 2026 · 3 min de leitura

O Turnstile Spin usa um agente de IA para instalar a verificação anti-robô no frontend e no backend do site. Arte: Eleven Host

O Cloudflare Turnstile, verificação anti-robô gratuita, ganhou o Spin: um agente de IA que instala o Turnstile de ponta a ponta no código do site, inclusive a validação no servidor. O anúncio é de 25 de setembro de 2026.

O que aconteceu

Em 25 de setembro de 2026, Jules Lemee publicou no blog da Cloudflare o texto sobre o Spin, descrito como uma implementação de ponta a ponta do Turnstile mediada por agente. A proposta é resolver instalações que ficaram sem validação no backend, a parte do servidor.

A Cloudflare afirma que o Turnstile é gratuito para todos. Também informa que, desde julho, o Spin criou mais de 65.000 widgets e que o prompt gerado foi copiado mais de 30.000 vezes. Num dia útil típico, o Turnstile faz cerca de 3 bilhões de verificações. No painel, há um botão "Fix with Spin" para widgets que estão sem validação no backend.

Como o Spin funciona

Segundo a Cloudflare, o fluxo tem quatro passos:

• Você escolhe onde quer a proteção.
• O agente localiza o código de frontend e o de backend.
• O agente propõe um plano de mudanças.
• O agente espera a sua aprovação antes de seguir.

Para começar, a Cloudflare indica o painel dela, o Wrangler ou colar a URL pública de uma skill no seu agente. A empresa diz que o Spin não envia o código da aplicação para a Cloudflare.

Os três cenários previstos

• Instalação nova: o site ainda não tem o Turnstile.
• Conserto de widget incompleto: o widget já está na página, mas falta a validação.
• Migração de outro CAPTCHA: troca da verificação que o site usa hoje pelo Turnstile.

Quer rodar o seu site e os seus agentes num servidor administrado por você? Ver planos de VPS

O que isso ensina a quem tem site ou pequena empresa

O ponto central é a diferença entre parecer protegido e estar protegido. O que segue é orientação geral nossa, não da Cloudflare. Três situações práticas:

• Loja com formulário de orçamento: o widget aparece e a equipe acha que está resolvido. Teste enviando o formulário sem passar pela verificação: ele deve ser recusado.
• Agência com vários sites de clientes: liste onde cada site tem formulário, cadastro ou login e confira, um por um, se o servidor valida a resposta.
• Quem mantém o código com ajuda de IA: um agente pode ler e mudar muita coisa. O passo de aprovação do plano importa: leia o que ele propõe antes de aceitar.

Se você já usa agentes de IA para mexer no site, vale ler também Criar site ou app com IA: o que funciona e os cuidados. Para uma revisão mais ampla do site, veja Como achar falhas de segurança em sites: checklist.

O que fazer agora

Dúvida sobre os serviços da Eleven Host? Falar com a equipe

Perguntas frequentes

O Cloudflare Turnstile é pago?

Segundo a Cloudflare, o Turnstile é gratuito para todos.

O que é o Spin?

É uma implementação de ponta a ponta do Turnstile mediada por agente de IA: o agente acha o código, propõe um plano e espera a sua aprovação.

O Spin envia o código do meu site para a Cloudflare?

A Cloudflare diz que não: o Spin não envia o código da aplicação para a empresa.

Meu widget já está no site. Preciso fazer algo?

Confira se existe validação no servidor. Para widgets sem validação no backend, a Cloudflare indica o botão "Fix with Spin" no painel.