¿Qué es Cloudflare Turnstile y cómo protejo un formulario de bots?

Cloudflare Turnstile es la alternativa a reCAPTCHA: comprueba que hay una persona detrás sin puzzles molestos (suele ser invisible o un simple check). Y es gratis.

Cómo funciona

Te da dos claves: una Site Key (pública, va en el front) y una Secret Key (privada, va en tu servidor). El front muestra el widget y, al enviar, manda un token; tu backend lo verifica contra Cloudflare antes de aceptar el formulario.

<!-- En el front -->
<div class="cf-turnstile" data-sitekey="TU_SITE_KEY"></div>
<script src="https://challenges.cloudflare.com/turnstile/v0/api.js" async></script>

En el servidor haces un POST a siteverify con la Secret Key y el token; si responde success, es humano. No necesitas tener el dominio en Cloudflare: Turnstile funciona por su cuenta.