Cloudflare Turnstile ist eine CAPTCHA-Alternative, die Website-Betreiber einbinden, um zu prüfen, ob Besucher Menschen sind. Der Dienst führt im Browser kleine, nicht interaktive JavaScript-Prüfungen aus, etwa Proof-of-Work-Aufgaben und Kontrollen von Web-APIs und Browserverhalten, und passt den Schwierigkeitsgrad pro Anfrage an, sodass die meisten Besucher keine Aufgabe sehen. Die Widgets gibt es im verwalteten, im nicht interaktiven und im unsichtbaren Modus. Turnstile funktioniert, ohne den Datenverkehr einer Website über das CDN von Cloudflare zu leiten. Der Dienst wird als gehostetes Widget mit serverseitiger Verifizierung bereitgestellt.
Cloudflare, Inc. ist ein börsennotiertes Unternehmen mit Hauptsitz in San Francisco, sodass der Dienst US-Recht unterliegt, einschließlich des CLOUD Act. Turnstile erfasst Signale wie die IP-Adresse des Clients, den TLS-Fingerabdruck und den User-Agent-Header; Cloudflare gibt an, keinen Zugriff auf Eingaben auf Seiten oder in Formularen zu haben und Personen anhand dieser Signale nicht direkt identifizieren zu können. Die Dokumentation nennt keinen Verarbeitungsort, eine selbst gehostete Variante gibt es nicht. Europäische Organisationen sollten vor der Nutzung den Datenschutznachtrag von Turnstile prüfen.