多くの人が1度は見たことのある「私はロボットではありません」のチェックボックスや、画像の中から「信号機」や「横断歩道」を選ぶ作業。
インターネットを安全に使うためには重要なものですが、正直なところ面倒くさいですよね。

この面倒な認証システムは、Googleが作成したreCAPTCHA（リキャプチャ）というサービスが担ってきました。
reCAPTCHAは長年サイトをスパムから守ってきましたが、その仕組みとしては、ユーザーの行動を細かく追跡し、Googleへデータを送るというものでした。

▼reCAPTCHAとは？詳しく解説しているページはこちらから

しかし、このreCAPTCHAが2025年内に大きな仕様変更（エンタープライズ版への移行推奨など）を迎えることになり、移行作業やコスト面での懸念も出てくるようになりました。

そこで最近話題になっているのが、Cloudflare Turnstile（クラウドフレア・ターンスタイル）という新しい認証システムです。

「ITやWebのことは正直よくわからない」「reCAPTCHAから乗り換えたいけど難しそう」と感じている方のために、この記事では、以下について専門用語もかみ砕いて分かりやすく解説します。

そもそも、なぜ「認証システム」が必要なのか

reCAPTCHA含め、ユーザーがロボットでないかを見極める認証システムに、なぜ私たちは「ロボットではない証明」を求められるのでしょうか？

認証システムの役割は悪意のある「ロボット」をブロックすること

ウェブサイトにアクセスした時、裏ではキャプチャはこのようなことを見極めようとしています。
あなたは「人」ですか？それとも「プログラム（ロボット）」ですか？

認証システムの役割は、この「人間とロボットの区別」をすることです。
なぜ区別する必要があるのかというと、悪意のあるロボット（スパムボット）は、インターネット上で以下のような迷惑行為を自動で繰り返すからです。

• コメント欄の荒らし
  広告やウイルスへのリンクを大量に書き込む。
• アカウントの大量作成
  偽のユーザーとして何百、何千というアカウントを一瞬で作る。
• 不正なログイン
  いろいろな文字列を高速で試して、パスワードを破ろうとする。

キャプチャがなければ、これらの迷惑行為が誰にも止められず、ずっと実行されてしまいます。

ウェブサイトの運営者は、このロボットによる攻撃からサイトを守るために、人間には簡単でも、ロボットには難しい作業を求める認証システムを導入しているのです。

認証システムはウェブサイトの「門番」

分かりやすく例えるなら、ウェブサイトという「城」の入り口に立っている「門番」のようなものだとイメージしてください。

• 認証システム
  →「あなたは人間か？ロボットか？」と尋ねます。
• 人間
  →少し面倒ですが、簡単な質問に答えて「どうぞ」と通してもらえます。
• ロボット
  →質問を理解できず、門を通り抜けられません。

この「門番」がいるおかげで、城（ウェブサイト）は安全に保たれている、というわけです。

ですが稀に、人間なのにロボットだと思われてしまい、通してもらえない。というケースもあります。
何度も何度も画像を選択しているのに、一生この作業が続くなんて経験をしたことがある人もいるのではないでしょうか。

ではreCAPTCHAはいったい何をもって、人間かロボットかを判断していたのでしょうか。

「reCAPTCHA」が抱えていた問題点

これまで、ウェブサイトの門番としての役割を担ってきたのが、Googleが提供するreCAPTCHAでした。
特に「私はロボットではありません」というチェックボックスであったり、画像を選ばせるタイプのreCAPTCHAをよく目にしたのではないでしょうか。
しかし、reCAPTCHAはその仕組み上、いくつかの大きな問題を抱えていました。

問題点①：判断するためにサイトで監視を行っている

先ほど人間なのにロボットだと判断されてしまうケースがある。という話をしました。
何をもって判断しているのか？というと、あなたがサイトでどのような動きをしていたかで、人間かそうでないかを判断しているのです。

実はreCAPTCHAは、あなたが「私はロボットではありません」にチェックを入れる前から、すでにあなたの行動を観察しています。
例としていくつか挙げると、以下のような点を観察をしています。

• マウスを動かす速度やクリックのタイミング
• フォームやサイト内検索などでの文字の入力速度
• そのパソコンでGoogleにログインしているか
• どの国からアクセスしているか

上記以外にも判断要素はありますが、reCAPTCHAは「人間らしい振る舞い」をチェックすることで、ロボットではないと判断していました。
ですが裏を返せば、Googleは判断を行うためとはいえど、あなたのサイト上での行動を「監視」していることになります。

そのため、これらがプライバシー侵害に当たるのでは？といった意見もあります。
reCAPTCHAによる監視自体は、ボットへの対策という正当な理由で行われており、Googleが広告に利用しないと明言しているため、日本では利用しているからと言ってプライバシー侵害で違法になる可能性は低いです。

ただEU（ヨーロッパ連合）など、日本と比べてもプライバシー規制が厳しい国では、特にこの点が大きな問題視されており、そういった地域の方がターゲットに含まれているサイトでは、追加の対策が必要になってきます。

問題点②：ユーザー体験の悪化

人間かどうか判断できない場合などに画像認証や文字入力を求められます。
下の図のような、「信号機」のパネルや「横断歩道」のあるパネルを押すような作業ですね。

ですがこれらを求められて、それが全然突破できなかったとき。急いでいるのにこれが表示されたとき。
正直に言って「面倒くさいな…。」と感じてしまったことはありませんか？

• 「早く先に進みたいのに足止めを食らう」
• 「何度も間違えてやり直しになる」
• 「指定された物をどこまでを選択するべきなのか分からない」

特にreCAPTCHAの最新版では、人間だと判断されるまでに長い時間がかかるケースもあり、そのせいでユーザーがサイトから離脱してしまうことも少なくありません。

問題点③：技術の進化で、認証を突破可能なロボットも出てきた

AI（人工知能）技術の進化により、ロボット側も昔に比べて賢くなっています。

元々はロボットかどうかを見極めるための画像認証だったのに、AIの性能が上がったことで、最近では画像認証を突破できるロボットも登場し始めています。

かといって認証を難しくすると、人間側の負担が増えるという悪循環に陥ってしまいます。

新世代の門番「Cloudflare Turnstile」とは？

そんなreCAPTCHAが抱えていた問題を解決し、プライバシー保護と利便性を両立させるために登場したのが、Cloudflare Turnstile（クラウドフレア・ターンスタイル）です。

この認証システムを提供しているCloudflare（クラウドフレア）という会社は、インターネット全体の速度や安全性を高めるサービスを提供している巨大な企業です。

なんといってもTurnstileの最大の特徴は、「利用者のプライバシーを尊重しながら」ロボットを区別できる点にあります。

Turnstileはどうやって人間だと判断するのか

Turnstileは、reCAPTCHAのように「行動を追跡する」のではなく、「ブラウザの性能と特徴」をチェックして人間かどうかを判断します。

例えるなら、reCAPTCHAが「あなたの顔や持ち物を隅々まで調べている」のに対し、
Turnstileは「あなたの声のトーンや話し方、部屋のノックの仕方など、その場限りの特徴だけをサッと確認している」イメージです。

それらのようなチェックでなぜ判断できるのかというと、Turnstileの仕組みの核心は、「人間を特定する」のではなく「ロボットではない証拠を集める」ことにあります。

Cloudflare社はCDN市場において世界シェアNo.1の会社で、世界のインターネットトラフィックの約20%を処理している大きな会社です。
そこから得られるデータが、Turnstileの判断材料として使われています。

私たちがウェブサイトを閲覧している裏で、Turnstileはブラウザ（ChromeやSafariやEdgeなど）で以下のような「軽いテスト」をいくつも実行しています。

• パソコンやスマホの計算能力
  ロボットにはできない、人間が使っているデバイスならではの処理速度をチェックする。
• ブラウザの基本的な設定:
  ロボットが使うプログラムかどうかを、自然なブラウザの設定になっているかをチェックする。

上にあげたものは一例であり、他にもいろいろなテストを行っています。
これらのテストは非常に短時間で終わり、こちらが意識する前には認証が完了していることがほとんどです。

そのため、確認としてチェックボックスが表示されることはありますが、reCAPTCHAのような画像認証を求められることはありません。

個人情報を収集しない

Turnstileは、reCAPTCHAのように「Googleアカウントへのログイン情報」や「過去の閲覧履歴」など、利用者のプライベートな情報を収集しません。

Turnstileは、「ユーザー個人の情報（誰であるか）」ではなく、「ブラウザの動作（どう動いているか）」を見ています。

• reCAPTCHAの場合
  「あなたはGoogleのユーザーですか？」「どこから来たか知っていますよ」という過去の利用情報に頼って判断する。
• Turnstileの場合
  「あなたのブラウザは今、人間が使う正常な技術的ふるまいをしていますか？」という現在の動作のみで判断する。

これにより、プライバシー保護の観点からも優れていると評価されています。

Turnstileを導入するメリットと注意点

ここまでを踏まえて、reCAPTCHAからTurnstileへの乗り換えを考えている方も多いと思いますので、導入前に知っておくべき注意点もいくつか存在します。

メリット①：認証作業がほぼない

なんといってもTurnstileは、認証作業を求めることがほとんどありません。

基本的には訪問者がページを開いた瞬間に認証完了しているため、reCAPTCHAのような操作する必要がありません。
少し怪しいな？と感じた訪問者には、「チェックボックス」が表示されますが、画像認証などはないのですぐに認証完了します。

これにより、ユーザーはサイト上での操作（フォーム入力やログインなど）がスムーズになり、離脱率の低下や問い合わせの数や購入件数の向上に繋がります。

メリット②：プライベートな情報を収集しない

Turnstileは、reCAPTCHAのように「Googleアカウントへのログイン情報」や「過去の閲覧履歴」など、利用者のプライベートな情報を収集しません。

Cloudflareは、Turnstileが広告リターゲティングのためにデータを採取することはないと明確に述べています。
そのため、EU（ヨーロッパ連合）のようなプライバシー規制が厳しい国の規則にも準拠していることが多いです。

注意点①：新しい技術ゆえの実績と信頼性

reCAPTCHAは長年にわたり世界中で利用されており、その実績と信頼性は確立されています。

一方、TurnstileはreCAPTCHAと比べると比較的新しいサービスです。
Cloudflare社の技術はとてもすごいものではありますが、reCAPTCHAが何年もかけて解決してきた複雑で巧妙なスパム手法に対し、今後も継続的に防御力を発揮し続けるかという点は、長い目で見て評価していく必要があります。

注意点②：稀に発生する互換性の問題

Turnstileは最新の認証技術を使用していますが、非常に古いブラウザや、特殊なネットワーク環境（企業の厳重なファイアウォールなど）によっては、Turnstileの認証テストがうまく実行できず、認証に失敗するといった互換性の問題が稀に発生する可能性があります。

もし利用できなかった場合にどうするかといった方法も考えておくようにしましょう。

まとめ：安全と利便性を両立させる新しい選択肢

reCAPTCHAは長年、門番として活躍してくれましたが、プライバシーの問題や、ユーザーに手間を強いるという点がありました。

Cloudflare Turnstileは、その問題を解決する「新世代の門番」です。
プライバシーを尊重し、ユーザーにストレスを与えずにロボットをブロックします。

reCAPTCHAからTurnstileへの移行も、「reCAPTCHAのコード」を「Turnstileのコード」に置き換える作業がメインのため、特に難しい作業は発生しません。

ウェブサイトの安全性と、訪れるユーザーの快適さは、ビジネスの成長に直結します。
reCAPTCHAを利用していてお悩みがある方は、これを機に一度Turnstileの導入を検討してみてください。