Slik setter du opp Cloudflare Turnstile på WordPress-siden

Cloudflare Turnstile er et gratis alternativ til reCAPTCHA. Det stopper spamroboter i kontaktskjemaer og på innloggingssiden, uten at de besøkende må klikke på trafikklys og fotgjengeroverganger. Du trenger ikke flytte nettsiden til Cloudflare for å bruke det, og på en vanlig WordPress-side er det satt opp på et kvarter.

Av Nick-Andre Brustuen, daglig leder og systemansvarlig14. juli 2026

Hva er Cloudflare Turnstile?

Turnstile er Cloudflares erstatning for CAPTCHA. I stedet for å be den besøkende løse en oppgave, gjør den noen små sjekker i nettleseren i bakgrunnen. De fleste ser bare en liten boks som blir grønn av seg selv, og en robot som sender hundrevis av skjemaer i minuttet, blir stoppet.

Turnstile er gratis og fungerer på alle nettsider, også de som ikke bruker Cloudflare til noe annet. Du trenger bare en gratis Cloudflare-konto.

Slik stopper Turnstile en spamrobot

Skjemaet fylles utTurnstile sjekker nettleseren i bakgrunnen.
Får et bevisEn kode følger med skjemaet når det sendes.
WordPress spør CloudflareServeren sjekker koden med den hemmelige nøkkelen.
Sendt eller stoppetUten gyldig kode blir innsendingen avvist.

Det er steg 3 som gjør jobben. Et skjema som viser boksen, men ikke sjekker koden på serveren, stopper ingen roboter.

Turnstile eller reCAPTCHA?

	Turnstile	Google reCAPTCHA
Bildeoppgaver	Nei	Ja, i versjon 2
Pris	Gratis	Gratis opp til en grense per måned
Hvem får dataene	Cloudflare, som sier de ikke brukes til annonser	Google
Må siden ligge hos Cloudflare eller Google?	Nei	Nei

For de fleste norske bedrifter er Turnstile det enkleste valget. Det er gratis, plager ikke kundene, og du slipper å sende data om de besøkende til Google.

Før du starter

Du må være administrator i WordPress.
Du trenger en gratis Cloudflare-konto. Den lager du på dash.cloudflare.com.
Finn ut hvilken skjemautvidelse siden bruker, for eksempel Contact Form 7, WPForms eller Gravity Forms.
Ta en sikkerhetskopi før du installerer noe nytt. Det er en god vane.

Steg 1: Lag en Turnstile-widget i Cloudflare

Logg inn på dash.cloudflare.com og velg Turnstile i menyen.
Klikk Add widget og gi den et navn, for eksempel domenet.
Legg inn domenet ditt under Hostnames, for eksempel dittfirma.no. Har du en egen testside, legger du til den også.
Velg Managed som modus. Da avgjør Cloudflare selv om den besøkende må klikke i boksen, og de fleste slipper.
Klikk Create, og kopier Site key og Secret key.

Site key er offentlig og vises i kildekoden til siden. Secret key er hemmelig. Ikke send den på e-post eller lim den inn steder andre kan se den.

Steg 2: Koble Turnstile til WordPress

Bruker du Contact Form 7, har den støtte for Turnstile innebygd. Gå til Kontakt → Integrasjon, velg å sette opp Turnstile, og lim inn de to nøklene. Da er alle skjemaene beskyttet.

Ellers er den gratis utvidelsen Simple Cloudflare Turnstile det vanligste valget. Den er ikke laget av Cloudflare, men er mye brukt og holdes godt oppdatert.

Gå til Utvidelser → Legg til ny, søk etter «Simple Cloudflare Turnstile», og installer og aktiver den.
Gå til Innstillinger → Cloudflare Turnstile og lim inn nøklene.
Klikk på knappen for å teste nøklene. Får du en feil, er det nesten alltid en nøkkel som er kopiert feil, eller et domene som mangler i Cloudflare.

Utvidelsen støtter blant annet WordPress-innloggingen, kommentarer, WooCommerce, WPForms, Gravity Forms, Fluent Forms, Formidable Forms og Forminator.

Steg 3: Velg hvor Turnstile skal brukes

Innloggingssiden. Roboter prøver passord på wp-login.php hele døgnet. Turnstile stopper de fleste før de kommer så langt.
Kontaktskjemaer. Her merker du forskjellen raskest, ofte allerede samme dag.
Kommentarer, registrering og glemt passord. Skru det på hvis siden har disse skjemaene.
Kassen i WooCommerce. Nyttig hvis du får falske bestillinger, eller roboter som tester stjålne kortnumre.

Skru gjerne av Turnstile for innloggede brukere. De har allerede vist at de er mennesker.

Steg 4: Test at det virker

Åpne siden i et inkognitovindu og send et testskjema. Boksen skal vises over send-knappen, og skjemaet skal komme fram.
Test innloggingen i inkognitovinduet, men hold deg innlogget i et annet vindu mens du tester. Da kommer du inn og kan rette opp hvis noe er feil.
Se i Cloudflare under Turnstile. Der ser du hvor mange som har blitt sjekket, og hvor mange som er stoppet.

Vanlige feil

Boksen vises ikke. Utvidelser for hurtigbuffer og optimalisering kan utsette eller slå sammen JavaScript, og da laster ikke Turnstile. Unnta challenges.cloudflare.com fra utsatt og samlet JavaScript i for eksempel WP Rocket eller LiteSpeed Cache.
Feilmelding om ukjent domene. Domenet, eller varianten med eller uten www, mangler under Hostnames i Cloudflare.
Spam kommer fortsatt. Sjekk at Turnstile er skrudd på for akkurat det skjemaet. Skjemaer som er bygget inn i temaet, dekkes ikke alltid av utvidelsen.
Siden har en Content Security Policy. Da må challenges.cloudflare.com være tillatt for både script og iframe, ellers blokkerer nettleseren widgeten.

Slik gjør vi det hos Fjordweb

Alle skjemaene på fjordweb.no bruker Turnstile, også kontaktskjemaet og de gratis testene. Innsendinger uten gyldig kode blir avvist på serveren før de når oss.

Turnstile er ett av flere lag. En WordPress-side trenger også oppdateringer, sikkerhetskopi og overvåkning. Les mer om hva som inngår i vedlikehold av en WordPress-side, eller ta en gratis sikkerhetssjekk for å se hvordan siden din står i dag. Vil du heller at vi setter opp Turnstile for deg, er det bare å ta kontakt.