Cloudflare Turnstile est une alternative aux CAPTCHA que les exploitants de sites intègrent pour vérifier que les visiteurs sont humains. Il exécute dans le navigateur de petits défis JavaScript non interactifs, comme des preuves de travail et des contrôles du navigateur, et ajuste la difficulté à chaque requête, si bien que la plupart des visiteurs ne voient aucune énigme. Les widgets existent en modes géré, non interactif et invisible. Turnstile fonctionne sans faire passer le trafic du site par le CDN de Cloudflare. Il est fourni comme widget hébergé avec vérification côté serveur.
Cloudflare, Inc. est cotée en bourse et basée à San Francisco ; le service est donc soumis au droit américain, CLOUD Act compris. Turnstile collecte des signaux tels que l'adresse IP, l'empreinte TLS et l'en-tête User-Agent ; Cloudflare indique ne pas accéder aux saisies des pages ou formulaires et ne pas pouvoir identifier directement des personnes. La documentation ne précise pas où les données sont traitées, et aucune variante auto-hébergée n'existe. Les organisations européennes devraient lire l'avenant de confidentialité de Turnstile avant utilisation.