Cloudflare Turnstile ganha instalação feita por IA

O Cloudflare Turnstile, verificação anti-robô gratuita que substitui o CAPTCHA em formulários, agora pode ser instalado por um agente de IA. A Cloudflare apresentou o Turnstile Spin, que monta a parte visível e a validação no servidor, etapa que muitos sites esquecem.

O que a Cloudflare anunciou

Recentemente, a empresa publicou no blog da Cloudflare um texto de Jules Lemee sobre o Turnstile Spin. A ferramenta usa um agente de programação com IA para fazer a implementação completa do Turnstile no código do site, do começo ao fim.

O Spin já vinha sendo usado no painel desde julho. Segundo a Cloudflare, desde então foram mais de 65 mil widgets criados com sucesso por ele, e o prompt gerado pela ferramenta foi copiado mais de 30 mil vezes. A empresa também informa que o Turnstile processa cerca de três bilhões de verificações em um dia útil típico, e que em uma semana recente mais de 23 mil contas criaram um novo widget no painel.

O Turnstile continua gratuito para todos os usuários.

O problema: o widget aparece, mas não protege

O Turnstile funciona em duas partes, e as duas são obrigatórias:

1. No navegador (frontend): o widget aparece no formulário e gera um token quando o visitante passa pela verificação.
2. No servidor (backend): o seu site envia esse token para a API Siteverify da Cloudflare, junto com a chave secreta, e só aceita o envio se a resposta for positiva.

Muita gente faz só a primeira parte. O widget aparece bonitinho na tela, mas o servidor nunca confere o token. Na prática, um robô que envia os dados direto para o formulário passa sem ser barrado. A própria Cloudflare resume assim: configurar o Turnstile pulando a validação no backend deixa o site exposto a bots.

Como o Turnstile Spin funciona

A ideia é entregar o trabalho de integração para um agente de IA, com você aprovando o plano antes. Segundo a Cloudflare, o Spin cobre três situações:

• Instalação do zero: o agente coloca o widget no formulário e já liga a chamada ao Siteverify no servidor.
• Recuperação de widget: para sites que já têm o widget, mas sem validação no servidor, o agente adiciona o código que faltava.
• Migração de CAPTCHA: o agente identifica o CAPTCHA que o site usa hoje e ajuda a trocá-lo pelo Turnstile.

Dá para começar pelo painel da Cloudflare, pela ferramenta de linha de comando Wrangler ou passando uma skill pública para o seu agente de programação preferido. A Cloudflare cita Claude Code, Cursor e Codex como exemplos de ferramentas compatíveis.

Um ponto importante para quem se preocupa com privacidade: as mudanças acontecem no seu próprio código, pelo agente que você escolheu. A empresa afirma que o Spin não envia o código da sua aplicação para a Cloudflare nem pede para a Cloudflare alterá-lo remotamente.

Precisa de um servidor com acesso total para rodar seu site e seus agentes de IA? Conheça os planos de VPS

O que isso muda para quem tem site ou pequena empresa

Formulário de contato, cadastro, login e página de orçamento são os alvos preferidos de robôs que enchem a caixa de entrada de spam ou criam contas falsas. Uma verificação anti-robô bem feita resolve boa parte disso sem obrigar o cliente a clicar em semáforos.

A novidade ajuda principalmente em dois casos:

• Você já usa o Turnstile: vale conferir se o seu servidor realmente valida o token. Se não valida, a proteção é só aparência.
• Você tem um site feito sob medida: quem mantém o código com ajuda de IA pode pedir ao agente para fazer a integração completa, em vez de copiar trechos soltos da documentação.

Se o seu site é em WordPress, o caminho mais comum continua sendo um plugin de Turnstile. Antes de confiar nele, confira se o plugin faz a validação no servidor e se você colocou a chave secreta nas configurações, não só a chave pública do site.

Checklist rápido para seus formulários

1. Liste todos os formulários do site: contato, login, cadastro, newsletter e checkout.
2. Confira se cada um tem verificação anti-robô.
3. Teste: o formulário deve recusar o envio quando a verificação falha ou não é feita.
4. Guarde a chave secreta só no servidor, nunca no código que vai para o navegador.
5. Revise tudo que um agente de IA mudar antes de publicar.

O Turnstile não depende de o seu domínio estar com o DNS na Cloudflare: ele funciona em qualquer site. Mesmo assim, se você quer centralizar a gestão, domínios registrados na Eleven Host contam com DNS gerenciado grátis na rede da Cloudflare. E para uma revisão mais ampla, veja nosso guia sobre como achar falhas de segurança em sites.

Tenha seu domínio com DNS gerenciado grátis na rede da Cloudflare. Registrar meu domínio

Perguntas frequentes

O Cloudflare Turnstile é pago?

Não. Segundo a Cloudflare, o Turnstile continua gratuito para todos os usuários.

Preciso usar o DNS da Cloudflare para usar o Turnstile?

Não. O widget e a validação funcionam em qualquer site, com o DNS em qualquer provedor.

O Turnstile Spin manda meu código para a Cloudflare?

A Cloudflare diz que não. O agente de IA que você escolher faz as mudanças no seu próprio código, depois que você aprova o plano.

Como sei se meu Turnstile está incompleto?

Se o seu servidor nunca chama a API Siteverify para conferir o token, a validação está faltando. Nesse caso, o formulário aceita envios de robôs mesmo com o widget na tela.