Das Problem mit halb eingebauten CAPTCHAs
Cloudflare Turnstile ist ein datenschutzfreundlicher CAPTCHA-Ersatz, der ohne Bilderrätsel auskommt. Die Einrichtung besteht aus zwei Teilen: Das Widget im Frontend erzeugt einen Token, und das Backend muss diesen Token bei Cloudflare über den Endpunkt Siteverify prüfen. Fehlt der zweite Teil, sieht das Formular geschützt aus, ist es aber nicht. Ein Bot schickt die Anfrage einfach ohne Token ab.
Turnstile Spin soll diese Lücke schließen. Der Coding-Agent übernimmt beide Teile: Er sucht die passenden Stellen in Frontend und Backend, schlägt einen Plan vor und ändert den Code erst nach deiner Freigabe. Seit dem 10. August 2026 ist Spin allgemein verfügbar, am 25. September hat Cloudflare im Blog nachgelegt.
Drei Einsatzfälle
- Neueinrichtung: Widget einbetten und Siteverify im Backend verdrahten, wo bisher gar kein Bot-Schutz existiert
- Reparatur: Cloudflare beobachtet, ob zu einem Widget überhaupt Siteverify-Aufrufe ankommen. Wenn nicht, zeigt das Dashboard einen Hinweis „Fix with Spin“.
- Migration: Der Agent erkennt einen bestehenden CAPTCHA-Anbieter und schlägt den Austausch vor
Gestartet wird Spin über das Cloudflare-Dashboard, über das CLI Wrangler oder direkt im Agenten, etwa in Claude Code, Cursor oder Codex. Dafür gibt es einen öffentlichen Skill im GitHub-Repository cloudflare/skills. Laut Cloudflare wurden seit Juli mehr als 65.000 Widgets über Spin angelegt.
Was mit deinem Code passiert
Für Unternehmen ist die wichtigste Aussage im Beitrag: Spin schickt den Quellcode nicht an Cloudflare. Der Agent arbeitet lokal im Repository, Cloudflare liefert nur die Anleitung und die Widget-Konfiguration. Turnstile selbst bleibt kostenlos.
Die Freigabe durch einen Menschen bleibt trotzdem Pflicht. Ein Agent, der Formular-Handler anfasst, arbeitet an sicherheitsrelevantem Code. Der Diff gehört in einen normalen Pull Request mit Review, nicht direkt auf den Hauptzweig.
Aus der eigenen Praxis
Auf dieser Website schützt Turnstile das Kontaktformular und den Chat. Der Einbau ist technisch überschaubar, die Fehlerquellen liegen im Detail: Token nur einmal gültig, Prüfung bei jeder Anfrage statt nur beim ersten Aufruf, sinnvolles Verhalten, wenn Cloudflare nicht erreichbar ist, und die Freigabe in der Content Security Policy. Ein Agent erledigt den Standardfall schnell. Ob er an diese Randfälle denkt, gehört zum Review.
Fazit
Der größte Nutzen von Spin liegt in der Reparatur. Wer Turnstile im Einsatz hat, sollte im Dashboard nachsehen, ob bei einem Widget der Hinweis auf fehlende Validierung erscheint. Für neue Formulare ist Spin ein bequemer Weg, der Agent spart die Recherche, das Review ersetzt er nicht.