Cloudflare Turnstile is een alternatief voor CAPTCHA dat websitebeheerders insluiten om te controleren of bezoekers mensen zijn. De dienst voert in de browser kleine, niet-interactieve JavaScript-uitdagingen uit, zoals proof-of-work-puzzels en controles van web-API's en browsergedrag, en past de moeilijkheid per verzoek aan, zodat de meeste bezoekers geen puzzel zien. De widgets bestaan in een beheerde, een niet-interactieve en een onzichtbare variant. Turnstile werkt zonder dat het verkeer van een site via het cdn van Cloudflare loopt. De dienst wordt geleverd als gehoste widget met verificatie aan de serverzijde.
Cloudflare, Inc. is een beursgenoteerd bedrijf met hoofdkantoor in San Francisco, waardoor de dienst onder Amerikaanse wetgeving valt, waaronder de CLOUD Act. Turnstile verzamelt signalen zoals het IP-adres van de client, de TLS-vingerafdruk en de User-Agent-header; Cloudflare stelt dat het geen toegang heeft tot invoer op pagina's of formulieren en personen niet rechtstreeks kan identificeren op basis van deze signalen. De documentatie vermeldt niet waar gegevens worden verwerkt en er is geen zelfgehoste variant. Europese organisaties lezen vooraf best het privacy-addendum van Turnstile.