Turnstile setup wizard: bot protection end to end - **name_fr:** Assistant de configuration Turnstile : protection anti-bot de bout en bout - **tl_en:** Set up, repair or migrate to Cloudflare Turnstile bot verification — widget creation, frontend snippets, server-side siteverify, validation - **tl_fr:** Configurer, réparer ou migrer vers la vérification anti-bot Cloudflare Turnstile — création de widget, snippets frontend, siteverify serveur, validation - **creator:** @cloudflare - **type:** Agent skill - **url:** https://github.com/cloudflare/skills - **cat:** Security - **kws:** turnstile, captcha, bot protection, spam, siteverify, cloudflare, forms, signup, hcaptcha migration, recaptcha migration - **license:** Apache-2.0 **Description EN:** Curated by Skill Harbor — Cloudflare's official "Spin" skill that turns "set up Turnstile" into a working end-to-end integration: an agent-run wizard with deterministic helper scripts — auth probe against `api.cloudflare.com`, codebase scan (frontend framework, backend handler location, existing CAPTCHA), widget creation via Wrangler or API, widget embeds at each chosen surface (signup, login, contact, API endpoint) with framework references (Next.js, Astro, SvelteKit, Hugo, vanilla HTML), canonical server-side `siteverify` (fail-closed, single-use tokens, action and hostname checks), secret handling with strict hygiene (never pasted in chat, stored via the user's own secret store, `.env` must be git-ignored), and a real validation pass (fresh token accepted, replayed token rejected) before reporting success. Also handles migrating from reCAPTCHA/hCaptcha, with an explicit warning that Turnstile has no score thresholds. By @cloudflare, listed here with credit to its creator. Honest caveats: requires a Cloudflare account and an API token with `Account.Turnstile:Edit` scope — the skill's token-handling rules are strict by design; the wizard asks for confirmation before every irreversible step and stops asking nothing optional; Spin needs an existing backend handler to gate — a pure-static site is declared out of scope; Turnstile is free (unlimited API calls), so no paid tier is needed. Discovered via skills.sh. Skill Harbor never reviews the code, review it yourself before use. **Description FR:** Sélectionné par Skill Harbor — le skill officiel « Spin » de Cloudflare qui transforme « set up Turnstile » en intégration fonctionnelle de bout en bout : un assistant exécuté par l'agent avec des scripts déterministes — sonde d'auth contre `api.cloudflare.com`, scan du codebase (framework frontend, emplacement du handler backend, CAPTCHA existant), création de widget via Wrangler ou API, intégration du widget à chaque surface choisie (inscription, connexion, contact, endpoint API) avec références par framework (Next.js, Astro, SvelteKit, Hugo, HTML vanilla), `siteverify` serveur canonique (fail-closed, tokens à usage unique, vérification d'action et de hostname), gestion des secrets avec une hygiène stricte (jamais collés en chat, stockés dans le magasin de secrets de l'utilisateur, `.env` doit être git-ignoré), et une vraie passe de validation (token frais accepté, token rejoué rejeté) avant le rapport final. Gère aussi la migration depuis reCAPTCHA/hCaptcha, avec l'avertissement explicite que Turnstile n'a pas de seuils de score. Crédit : @cloudflare. Bémols honnêtes : nécessite un compte Cloudflare et un token API avec le scope `Account.Turnstile:Edit` — les règles de gestion des tokens du skill sont strictes par design ; l'assistant demande confirmation avant chaque étape irréversible et ne pose que des questions nécessaires ; Spin a besoin d'un handler backend existant à protéger — un site purement statique est déclaré hors scope ; Turnstile est gratuit (appels API illimités), aucun palier payant requis. Découvert via skills.sh. Skill Harbor ne vérifie jamais le code, examinez-le vous-même avant usage. **Install prompt EN:** ``` Prerequisites: a Cloudflare account and an API token with the Account.Turnstile:Edit scope (free tier — Turnstile API calls are unlimited); an existing backend handler to gate (pure-static sites are out of scope for this skill) Install "Turnstile setup wizard: bot protection end to end" for me. Give my agent Cloudflare's official Spin skill — an end-to-end wizard that creates the Turnstile widget, embeds it at each chosen surface, wires canonical server-side siteverify, and validates with real tokens before reporting success Repository: https://github.com/cloudflare/skills/blob/main/skills/turnstile-spin/SKILL.md 1. Fetch the SKILL.md file for the cloudflare-skills-turnstile-spin skill from the repository into a temporary folder and summarize what it does in one or two sentences. 2. Safety check: review the SKILL.md and its helper scripts for anything suspicious (unexpected network calls, shell commands, credential harvesting). This repo should contain zero secrets in code, credentials only via the secure vault, allowed hosts declared in the SKILL.md. Verify that holds here; STOP on any red flag and tell me. 3. Install it as a skill: copy SKILL.md and its helper files into the agent's skills directory, in a folder named "cloudflare-skills-turnstile-spin". 4. Verify with no network calls: frontmatter valid, files in place. 5. Report what was installed, where, and what I still need to do myself (e.g. create my Cloudflare API token with the Turnstile scope and keep it in the vault). GitHub is optional: if I have a GitHub account or the gh CLI, you may use it; otherwise public access is fine. Never require it unless it's in the prerequisites above. Rules: don't touch anything outside the temp folder and the install target. If anything looks off, stop and ask me. ``` **Install prompt FR:** ``` Prérequis : un compte Cloudflare et un token API avec le scope Account.Turnstile:Edit (free tier — appels API Turnstile illimités) ; un handler backend existant à protéger (les sites purement statiques sont hors scope pour ce skill) Installe-moi « Assistant de configuration Turnstile : protection anti-bot de bout en bout ». Donne à mon agent le skill Spin officiel de Cloudflare — un assistant de bout en bout qui crée le widget Turnstile, l'intègre à chaque surface choisie, câble le siteverify serveur canonique, et valide avec de vrais tokens avant le rapport final Dépôt : https://github.com/cloudflare/skills/blob/main/skills/turnstile-spin/SKILL.md 1. Récupère le fichier SKILL.md du skill cloudflare-skills-turnstile-spin depuis le dépôt dans un dossier temporaire et résume en une ou deux phrases ce qu'il fait. 2. Contrôle de sécurité : examine le SKILL.md et ses scripts auxiliaires pour tout contenu suspect (appels réseau inattendus, commandes shell, récolte d'identifiants). Ce dépôt ne doit contenir aucun secret dans le code ; les identifiants passent uniquement par le coffre sécurisé, les hôtes autorisés sont déclarés dans le SKILL.md. Vérifie que c'est bien le cas ; STOP sur le moindre signal d'alerte et préviens-moi. 3. Installe-le comme skill : copie SKILL.md et ses fichiers auxiliaires dans le répertoire des skills de l'agent, dans un dossier nommé « cloudflare-skills-turnstile-spin ». 4. Vérifie sans aucun appel réseau : frontmatter valide, fichiers en place. 5. Indique ce qui a été installé, où, et ce qu'il me reste à faire moi-même (p. ex. créer mon token API Cloudflare avec le scope Turnstile et le garder dans le coffre). GitHub est optionnel : si j'ai un compte GitHub ou la CLI gh, tu peux l'utiliser ; sinon l'accès public suffit. Ne jamais l'exiger sauf si c'est dans les prérequis ci-dessus. Règles : ne touche à rien en dehors du dossier temporaire et de la cible d'installation. Si quelque chose semble anormal, arrête-toi et demande-moi. ``` ---

Configurer, réparer ou migrer vers la vérification anti-bot Cloudflare Turnstile — création de widget, snippets frontend, siteverify serveur, validation - **creator:** @cloudflare - **type:** Agent skill - **url:** https://github.com/cloudflare/skills - **cat:** Security - **kws:** turnstile, captcha, bot protection, spam, siteverify, cloudflare, forms, signup, hcaptcha migration, recaptcha migration - **license:** Apache-2.0 **Description EN:** Curated by Skill Harbor — Cloudflare's official "Spin" skill that turns "set up Turnstile" into a working end-to-end integration: an agent-run wizard with deterministic helper scripts — auth probe against `api.cloudflare.com`, codebase scan (frontend framework, backend handler location, existing CAPTCHA), widget creation via Wrangler or API, widget embeds at each chosen surface (signup, login, contact, API endpoint) with framework references (Next.js, Astro, SvelteKit, Hugo, vanilla HTML), canonical server-side `siteverify` (fail-closed, single-use tokens, action and hostname checks), secret handling with strict hygiene (never pasted in chat, stored via the user's own secret store, `.env` must be git-ignored), and a real validation pass (fresh token accepted, replayed token rejected) before reporting success. Also handles migrating from reCAPTCHA/hCaptcha, with an explicit warning that Turnstile has no score thresholds. By @cloudflare, listed here with credit to its creator. Honest caveats: requires a Cloudflare account and an API token with `Account.Turnstile:Edit` scope — the skill's token-handling rules are strict by design; the wizard asks for confirmation before every irreversible step and stops asking nothing optional; Spin needs an existing backend handler to gate — a pure-static site is declared out of scope; Turnstile is free (unlimited API calls), so no paid tier is needed. Discovered via skills.sh. Skill Harbor never reviews the code, review it yourself before use. **Description FR:** Sélectionné par Skill Harbor — le skill officiel « Spin » de Cloudflare qui transforme « set up Turnstile » en intégration fonctionnelle de bout en bout : un assistant exécuté par l'agent avec des scripts déterministes — sonde d'auth contre `api.cloudflare.com`, scan du codebase (framework frontend, emplacement du handler backend, CAPTCHA existant), création de widget via Wrangler ou API, intégration du widget à chaque surface choisie (inscription, connexion, contact, endpoint API) avec références par framework (Next.js, Astro, SvelteKit, Hugo, HTML vanilla), `siteverify` serveur canonique (fail-closed, tokens à usage unique, vérification d'action et de hostname), gestion des secrets avec une hygiène stricte (jamais collés en chat, stockés dans le magasin de secrets de l'utilisateur, `.env` doit être git-ignoré), et une vraie passe de validation (token frais accepté, token rejoué rejeté) avant le rapport final. Gère aussi la migration depuis reCAPTCHA/hCaptcha, avec l'avertissement explicite que Turnstile n'a pas de seuils de score. Crédit : @cloudflare. Bémols honnêtes : nécessite un compte Cloudflare et un token API avec le scope `Account.Turnstile:Edit` — les règles de gestion des tokens du skill sont strictes par design ; l'assistant demande confirmation avant chaque étape irréversible et ne pose que des questions nécessaires ; Spin a besoin d'un handler backend existant à protéger — un site purement statique est déclaré hors scope ; Turnstile est gratuit (appels API illimités), aucun palier payant requis. Découvert via skills.sh. Skill Harbor ne vérifie jamais le code, examinez-le vous-même avant usage. **Install prompt EN:** ``` Prerequisites: a Cloudflare account and an API token with the Account.Turnstile:Edit scope (free tier — Turnstile API calls are unlimited); an existing backend handler to gate (pure-static sites are out of scope for this skill) Install "Turnstile setup wizard: bot protection end to end" for me. Give my agent Cloudflare's official Spin skill — an end-to-end wizard that creates the Turnstile widget, embeds it at each chosen surface, wires canonical server-side siteverify, and validates with real tokens before reporting success Repository: https://github.com/cloudflare/skills/blob/main/skills/turnstile-spin/SKILL.md 1. Fetch the SKILL.md file for the cloudflare-skills-turnstile-spin skill from the repository into a temporary folder and summarize what it does in one or two sentences. 2. Safety check: review the SKILL.md and its helper scripts for anything suspicious (unexpected network calls, shell commands, credential harvesting). This repo should contain zero secrets in code, credentials only via the secure vault, allowed hosts declared in the SKILL.md. Verify that holds here; STOP on any red flag and tell me. 3. Install it as a skill: copy SKILL.md and its helper files into the agent's skills directory, in a folder named "cloudflare-skills-turnstile-spin". 4. Verify with no network calls: frontmatter valid, files in place. 5. Report what was installed, where, and what I still need to do myself (e.g. create my Cloudflare API token with the Turnstile scope and keep it in the vault). GitHub is optional: if I have a GitHub account or the gh CLI, you may use it; otherwise public access is fine. Never require it unless it's in the prerequisites above. Rules: don't touch anything outside the temp folder and the install target. If anything looks off, stop and ask me. ``` **Install prompt FR:** ``` Prérequis : un compte Cloudflare et un token API avec le scope Account.Turnstile:Edit (free tier — appels API Turnstile illimités) ; un handler backend existant à protéger (les sites purement statiques sont hors scope pour ce skill) Installe-moi « Assistant de configuration Turnstile : protection anti-bot de bout en bout ». Donne à mon agent le skill Spin officiel de Cloudflare — un assistant de bout en bout qui crée le widget Turnstile, l'intègre à chaque surface choisie, câble le siteverify serveur canonique, et valide avec de vrais tokens avant le rapport final Dépôt : https://github.com/cloudflare/skills/blob/main/skills/turnstile-spin/SKILL.md 1. Récupère le fichier SKILL.md du skill cloudflare-skills-turnstile-spin depuis le dépôt dans un dossier temporaire et résume en une ou deux phrases ce qu'il fait. 2. Contrôle de sécurité : examine le SKILL.md et ses scripts auxiliaires pour tout contenu suspect (appels réseau inattendus, commandes shell, récolte d'identifiants). Ce dépôt ne doit contenir aucun secret dans le code ; les identifiants passent uniquement par le coffre sécurisé, les hôtes autorisés sont déclarés dans le SKILL.md. Vérifie que c'est bien le cas ; STOP sur le moindre signal d'alerte et préviens-moi. 3. Installe-le comme skill : copie SKILL.md et ses fichiers auxiliaires dans le répertoire des skills de l'agent, dans un dossier nommé « cloudflare-skills-turnstile-spin ». 4. Vérifie sans aucun appel réseau : frontmatter valide, fichiers en place. 5. Indique ce qui a été installé, où, et ce qu'il me reste à faire moi-même (p. ex. créer mon token API Cloudflare avec le scope Turnstile et le garder dans le coffre). GitHub est optionnel : si j'ai un compte GitHub ou la CLI gh, tu peux l'utiliser ; sinon l'accès public suffit. Ne jamais l'exiger sauf si c'est dans les prérequis ci-dessus. Règles : ne touche à rien en dehors du dossier temporaire et de la cible d'installation. Si quelque chose semble anormal, arrête-toi et demande-moi. ``` ---

Version :