「問い合わせフォームに迷惑な送信が大量に届く」「GoogleからreCAPTCHAの移行の案内が届いた」。フォームを運用する担当者にとって、bot（自動プログラム）対策は避けて通れないテーマです。
さらに2026年9月末からは、企業や団体による不正アクセス・情報漏えいの公表が相次ぎ、10月には個人情報保護委員会と国家サイバー統括室が事業者に対策の徹底を呼びかけました。個人情報を受け付けるフォームと、そのデータが集まる管理画面の対策を、あらためて点検したい時期です。
この記事では、フォームのbot対策として広く使われているreCAPTCHA（リキャプチャ）の仕組み、v2とv3の違い、Google Cloud統合後の料金、導入方法をわかりやすく解説します。あわせて、reCAPTCHAだけでは防げない不正アクセスと、フォーム・管理画面の対策の優先順位も整理します。自社フォームの対策状況を確認したい方は、フォームのセキュリティチェックシート（無料）もご活用ください。
この記事の結論
- reCAPTCHAとは、Googleが提供する、Webサイトの利用者が人間かbotかを判定するサービスです。現在使えるのは、利用者がチェックするv2と、操作不要でスコアを返すv3です。
- reCAPTCHAはGoogle Cloudのサービスに統合され、無料で使えるのは月10,000件の評価までです（2026年10月時点）。キーと利用量の管理が必要になりました。
- reCAPTCHAはbotによる大量送信の抑止に有効ですが、盗まれたID・パスワードでのログインや委託先への攻撃は防げません。フォームと管理画面の対策を組み合わせることが大切です。
ご利用中のフォームは20項目のうち何項目に対応していますか？
ご利用中のフォームサービスが、SSL、reCAPTCHA、IPアドレス制限、管理画面の保護など20項目のうちいくつに対応しているかを確認できるチェックシートです。
この記事でわかること
- reCAPTCHAとは何か、CAPTCHAとの違い
- WebフォームにreCAPTCHAを導入する主な目的
- reCAPTCHA v2とv3の違いと選び方
- reCAPTCHA v3のスコアとしきい値の考え方、使う際の注意点
- Google Cloud統合後の料金と無料枠
- 自社で導入する場合の4つの手順
- reCAPTCHAで防げること・防げないこと
- フォームと管理画面の不正アクセス対策の優先順位
reCAPTCHAとは？
reCAPTCHA（リキャプチャ）とは、Googleが提供する、Webサイトにアクセスしているのが人間かbotかを判定するセキュリティサービスです。問い合わせフォーム、会員登録、ログイン画面などに設置し、botによる大量送信や不正な登録・ログインの試行を防ぐ目的で使われます。
「私はロボットではありません」というチェックボックスや、「信号機が写っている画像をすべて選んでください」といった画像選択の画面を見たことがある方も多いでしょう。これらはreCAPTCHAの一部です。
CAPTCHAとreCAPTCHAの違い
CAPTCHA（キャプチャ）は、人間とコンピューターを見分けるためのテストの総称です。reCAPTCHAは、その考え方をもとにGoogleが提供しているサービスの名前です。
| 項目 | CAPTCHA | reCAPTCHA |
|---|---|---|
| 意味 | 人間とbotを見分ける仕組みの総称 | Googleが提供するCAPTCHAサービスの1つ |
| 主な判定方法 | ゆがんだ文字の入力、画像選択、音声の聞き取りなど | チェックボックス、画像選択、アクセス時の行動にもとづくスコア判定 |
| 利用者の手間 | 問題を解く手間がかかる | v3では原則として操作不要 |
WebフォームにreCAPTCHAを導入する主な目的
Webフォームは、問い合わせ、資料請求、会員登録、各種申請、採用応募、アンケートなど、企業が社外から情報を受け付けるために欠かせない窓口です。だれでもアクセスできる窓口である分、悪意のある第三者やbotに狙われやすい場所でもあります。reCAPTCHAを導入する主な目的は次の3つです。
フォームへのスパム送信を防ぐ
botによる迷惑な送信が大量に届くと、本来の問い合わせや申し込みが埋もれて対応が遅れたり、確認作業の手間が増えたりします。送信内容に不正なサイトへのリンクが含まれている場合もあります。reCAPTCHAでbotによる自動送信を抑えることで、こうした負担やリスクを減らせます。
不正なアカウントの大量作成を防ぐ
会員登録フォームがbotに悪用されると、架空のアカウントが大量に作られ、データベースが汚れるだけでなく、不正な注文やキャンペーンの不正応募などにつながるおそれがあります。登録フォームにreCAPTCHAを設置することで、自動化された大量登録を抑止できます。
ログインの試行による不正ログインを防ぐ
ログイン画面では、botがIDとパスワードの組み合わせを大量に試す攻撃（総当たり攻撃や、他所で漏えいしたIDとパスワードを使うリスト型攻撃）が行われることがあります。reCAPTCHAで自動化された試行を抑えることで、不正ログインのリスクを下げられます。ただし、人と見分けにくい形で行われるログインまでは防げないため、多要素認証などとの組み合わせが必要です（後述）。
reCAPTCHAの種類とv2・v3の違い
2026年10月時点で利用できるreCAPTCHAは、v2（チェックボックス）、v2（invisible）、v3の3種類です。ゆがんだ文字を入力させる初代のv1は、2018年に提供が終了しています。
| バージョン | 利用者の操作 | 判定方法 | 向いている場面 |
|---|---|---|---|
| v2（チェックボックス） | 「私はロボットではありません」にチェック。疑わしい場合は画像選択 | reCAPTCHAが合否を判定 | 不正送信が多く、テストを課してでも止めたい画面 |
| v2（invisible） | 通常は操作不要。疑わしい場合のみ画像選択 | 送信ボタンを押したときに判定 | 見た目を変えずにv2の判定を使いたい場合 |
| v3 | 操作不要 | アクセスごとに0.0〜1.0のスコアを返し、対処はサイト側で決める | 入力の手間を増やしたくない問い合わせ・資料請求フォーム |
| v1（提供終了） | ゆがんだ文字を入力 | 文字の読み取りテスト | 2018年に提供終了 |
v2とv3の大きな違いは、判定結果をだれが扱うかです。v2はreCAPTCHAが合否を決めて画面上でテストを出します。v3はスコアを返すだけで、どのスコアなら送信を受け付けるかはサイトの運営者が決めます。
reCAPTCHA v3の仕組み
reCAPTCHA v3は、ページ上の操作などをもとに、アクセスごとに0.0〜1.0のスコアを返します。1.0に近いほど人間らしいアクセス、0.0に近いほどbotの可能性が高いアクセスです。
- しきい値：送信を受け付けるスコアの基準です。Googleは最初の目安として0.5を示しています。
- アクション：「問い合わせ」「ログイン」など、操作ごとに名前を付けて判定できます。どの画面で不審なアクセスが多いかを確認するのに役立ちます。
- トークン：判定に使う一時的な文字列で、有効期限は2分です。フォームを送信する直前に取得するのが一般的です。
v3は利用者に操作を求めないため、入力の手間を増やさずに導入できます。一方で、スコアが低いアクセスをどう扱うか（送信を拒否する、追加の確認を求めるなど）はサイト側で設計する必要があります。しきい値を厳しくしすぎると人間の送信まで止めてしまうおそれがあるため、導入後はログを確認しながら調整します。
reCAPTCHA v3を使う際の注意点
- 誤検知の可能性：まれに人間のアクセスが低いスコアと判定されることがあります。遮断された送信がないか、ログを定期的に確認します。
- 利用者への通知：reCAPTCHAを使うと、アクセス時の情報がGoogleに送信されます。Googleの利用条件では、サイトでreCAPTCHAを使用していることと、Googleのプライバシーポリシーと利用規約が適用されることを利用者に明示する必要があります。
- ロゴ（バッジ）の表示：v3では画面の隅にreCAPTCHAのロゴが表示されます。非表示にする場合は、Googleが定める表記をフォームの近くに記載します。
- JavaScriptが必要：reCAPTCHAはJavaScriptで動くため、フォームにほかのJavaScriptを組み込んでいる場合は、送信時の動作が競合しないか確認します。
詳しくはGoogleのreCAPTCHAのよくある質問をご確認ください。
reCAPTCHAの料金とGoogle Cloud統合で変わったこと
reCAPTCHAは以前、多くのサイトで無料で使えるサービスとして知られていました。現在はGoogle Cloudのサービスに統合され、利用量に応じた料金体系になっています（2026年10月時点）。
| 時期 | 主な変更 |
|---|---|
| 2024年第3四半期 | 旧管理画面（Classic）での新しいキーの発行が停止 |
| 2025年 | Classicキーの利用者に移行の案内。移行しない利用者は順次自動で移行 |
| 2025年第4四半期 | Classicキーは受け付けられなくなり、Google Cloudのプロジェクトに関連付けられていないキーはAPIが使えない状態に |
3つのティア（料金プラン）と無料枠
| ティア | 料金（米ドル） | 主な違い |
|---|---|---|
| Essentials | 月10,000件の評価まで無料 | スコアは4段階。WAF連携やSLA（稼働率の保証）はなし |
| Standard | 月10,000件まで無料、月100,000件まで8ドル | スコアは11段階。WAF連携、SLA（99.9%以上）あり |
| Enterprise | 月10,000件まで無料、月100,000件まで8ドル、以降1,000件ごとに1ドル | Standardの機能に加え、年単位などの契約に対応 |
- 無料枠は組織単位で、すべてのサイト・アカウントの評価件数が合算されます。
- キーやログはGoogle Cloudのコンソールで管理します。利用量が無料枠に近づいていないか、定期的に確認しましょう。
- 料金や条件は変更されることがあります。導入前にGoogleの公式ページで最新の内容を確認してください。
reCAPTCHAの導入方法（自社で実装する場合）
自社のWebサイトやフォームにreCAPTCHA v3を組み込む場合の、大まかな流れは次の4ステップです。
STEP1：Google Cloudでキーを作成する
Googleアカウントでログインし、Google CloudのコンソールでreCAPTCHAのキーを作成します。設置するドメインとreCAPTCHAの種類を指定すると、ページに組み込むサイトキーなどが発行されます。個人用ではなく、組織で管理するアカウントで作成すると担当者の異動にも対応しやすくなります。
STEP2：フォームのページにJavaScriptを組み込む
サイトキーを使ってreCAPTCHAのJavaScriptをページに読み込み、フォームを送信する直前にトークンを取得するように設定します。トークンの有効期限は2分のため、ページを開いた時点ではなく送信の直前に取得します。
STEP3：サーバー側でトークンを検証する
フォームの送信先となるサーバーで、受け取ったトークンをGoogleに送って判定結果を受け取ります。検証に使う秘密の情報（シークレットキーなど）はサーバー側だけで扱い、ページのソースに含めないことが重要です。
STEP4：しきい値を決めて動作確認する
v3の場合は、遮断するスコアの基準を決めます。実際にフォームを送信して正常に送れるかを確認し、公開後もログで遮断件数や誤って止めた送信がないかを定期的に確認します。
STEP2とSTEP3にはプログラミングの知識が必要です。社内で対応が難しい場合は、reCAPTCHAに対応したフォームツールを使うのも有力な選択肢です。
2026年秋、フォームの対策を見直したい理由
2026年9月末から10月にかけて、幅広い業種の企業や団体が不正アクセスによる情報漏えい（またはそのおそれ）を相次いで公表しました。
10月7日、個人情報保護委員会は「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表しました。アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報システムの使用に伴う漏えい等の防止、不正アクセス等の検知の5つについて、見直し予定の技術的安全管理措置を先行して示しています。あわせて、不正ログイン、利用するクラウドサービスからの漏えい、APIの悪用などの典型的な事例も整理されました。
10月9日には国家サイバー統括室も、多要素認証などの認証対策、ログの取得・保管と不審な通信の監視、委託先を含めたサプライチェーン全体での対策を呼びかけています（国家サイバー統括室の注意喚起）。
フォームは氏名やメールアドレスなどの個人情報を受け付ける入口であり、管理画面には蓄積された個人データが集まります。入口と管理画面の両方について、対策の状況を点検しておくことが大切です。
reCAPTCHAで防げること・防げないこと
reCAPTCHAはbot対策として有効ですが、すべての不正アクセスを防げるわけではありません。役割を正しく理解したうえで、ほかの対策と組み合わせましょう。
| 区分 | 具体例 | reCAPTCHAの効果 |
|---|---|---|
| 防ぎやすい | botによるフォームへの大量送信（スパム） | 効果が期待できる |
| 防ぎやすい | 自動返信メールを悪用した迷惑メールの大量送信 | 自動送信の抑止として効果が期待できる |
| 防ぎやすい | 自動化された大量のアカウント登録・ログインの試行 | 効果が期待できる |
| 防げない | 人が手作業で行う迷惑な送信 | 効果は限定的 |
| 防げない | 盗まれたID・パスワードを使い、人と見分けにくい形で行われるログイン | 防げない（多要素認証などが必要） |
| 防げない | サーバーやソフトウェアの脆弱性を突いた攻撃 | 防げない（更新の適用、WAFなどが必要） |
| 防げない | 委託先やクラウドサービスへの攻撃 | 防げない（委託先の対策状況の確認が必要） |
なお2025年には、レンタルサーバー事業者から、問い合わせフォームの自動返信機能を悪用した迷惑メールの大量送信が増えているとの注意喚起も出ています。自社のドメインから迷惑メールが送られると、迷惑メールの送信元と判定され、通常の業務メールが届きにくくなるおそれがあります。スパム対策の具体的な方法は「Webフォームのスパム対策。具体的対処法からスパムの危険性を解説」でも解説しています。
フォームのセキュリティ対策、抜け漏れはありませんか？
ご利用中のフォームサービスが、SSL、reCAPTCHA、IPアドレス制限、管理画面の保護など20項目のうちいくつに対応しているかを確認できるチェックシートです。15分ほどで、対策が手薄な項目を把握できます。
▼資料の中身（一部）
フォームと管理画面の不正アクセス対策【優先度の目安つき】
reCAPTCHAに加えて、次の対策を組み合わせます。優先度は、個人情報を受け付けるフォームを運用する一般的な企業を想定した目安です。
| 優先度 | 対策 | 内容 |
|---|---|---|
| 高 | botの自動送信対策 | reCAPTCHAなどで大量の自動送信を抑止する |
| 高 | 自動返信メールの悪用対策 | 入力内容をそのまま自動返信の本文に差し込まない、短時間の大量送信を制限する |
| 高 | 管理画面のアクセス制限と認証強化 | 接続できるIPアドレスを制限し、シングルサインオンや多要素認証で認証を強化する |
| 高 | ソフトウェアの更新 | 自社サーバーでフォームを動かしている場合、プログラムやプラグインを最新の状態に保つ |
| 中 | 権限の最小化とアカウントの棚卸し | 担当者ごとに必要な権限だけを付与し、退職者・異動者のアカウントを速やかに削除する |
| 中 | 通信の暗号化 | フォームと管理画面をSSL（HTTPS）で暗号化する |
| 中 | WAF・侵入検知 | 脆弱性を突く攻撃や不審な通信を検知・遮断する |
| 中 | ログの確認 | 管理画面の操作ログやreCAPTCHAのログを定期的に確認する |
| 中 | 不要な個人データの削除 | 保存期間を決め、使わなくなった個人データを削除する |
| 中 | 委託先の確認 | フォームサービスなど委託先の認証取得状況や監視体制を確認する |
管理画面のログイン認証の強化については「Webフォームのセキュリティで重要なログイン認証」、フォームの脆弱性については「Webフォームの脆弱性。多発するサイバー攻撃を回避する方法」もあわせてご覧ください。
自社で対策するか、対策込みのフォームツールを使うか
ここまでの対策をすべて自社で行うには、実装と運用の両方に手間がかかります。フォームの作り方ごとの特徴は次のとおりです。
| 作り方 | 向いているケース | 注意点 |
|---|---|---|
| 自社サーバーで構築（CMSのプラグインなど） | フォームの数が少なく、社内に保守担当者がいる | reCAPTCHAのキー管理、ソフトウェアの更新、WAFなどを自社で管理する必要がある |
| フォーム作成ツール（SaaS）を利用 | 担当者が少ない、個人情報を多く扱う | 対応している対策や認証の取得状況はサービスごとに異なるため確認が必要 |
| スクラッチ開発 | 独自の要件が多い | 開発・保守のコストに加え、脆弱性診断などを自社で手配する必要がある |
個人情報を多く扱い、セキュリティの専任担当を置きにくい場合は、セキュリティ対策を備えたフォーム作成ツールを選ぶことで、自社で管理する範囲を小さくできます。ツールを選ぶ際は、前の章の対策にどこまで対応しているかを確認しましょう。SSL対応の観点は「SSL化に対応したフォーム作成サービスの選び方」で解説しています。
クライゼルのフォームで利用できるセキュリティ機能
Webフォームは、企業が顧客や取引先、応募者などから情報を受け付ける窓口です。受け付けた情報を安全に扱えるかどうかは、そのまま企業の信頼に関わります。
クライゼルは、フォーム、メール配信、会員サイト（マイページ）、データベースを組み合わせて使える、トライコーンのCRMプラットフォームです。フォーム機能には、reCAPTCHA v3をはじめとするセキュリティ機能を備えています。
reCAPTCHA v3をクライゼル側の追加費用なしで利用できる
クライゼルのフォームはreCAPTCHA v3に対応しており、全エディションでクライゼル側の追加費用なしで利用できます。フォームへのアクセス時にGoogleから返るスコアをもとに、あらかじめ設定した基準以下のアクセスを遮断します。設定の流れは次のとおりです。
- Googleでサイトキーとシークレットキーを発行する（Googleアカウントが必要。無償で取得できます）
- クライゼルの管理画面で［システム］＞［reCAPTCHA設定］を開き、キーを登録する（システム管理者・特権ユーザが操作）
- 各フォームの設定でreCAPTCHAを有効にする
登録したキーの状態（稼働中かエラーか）やエラーログは、同じ画面で確認できます。reCAPTCHAを使えるのはフォーム機能（登録・更新・削除・パスワード変更・パスワード再発行の各フォーム）で、サイト機能（会員サイト）は対象外です。なお、Google側のreCAPTCHAの契約形態によっては、Google側で費用が発生する場合があります。詳しくはマニュアル「reCAPTCHA設定」をご確認ください。
フォームと管理画面を守るそのほかのセキュリティ機能
| 区分 | 主な機能 |
|---|---|
| フォーム | 送信を許可・禁止するIPアドレスの制限、送信できるドメインの制限、ダブルオプトイン（確認メールによる認証登録）、テキスト項目の暗号化 |
| 管理画面 | 接続元IPアドレスの制限、SAML認証によるシングルサインオン、機能・データベースごとの権限設定、監査ログ、連続ログイン失敗時のアカウントロック、一定時間操作がない場合の自動ログアウト |
| 基盤・運用 | 常時SSL、WAF、侵入検知システム、24時間365日の監視、冗長構成、第三者による脆弱性テスト（年1回以上）、国内データセンター |
| 第三者認証 | プライバシーマーク、ISO/IEC 27001:2022（ISMS）、ISO/IEC 27017（クラウドサービスのセキュリティ） |
前の章で挙げた対策のうち、IPアドレス制限、権限設定、監査ログ、WAFなどはクライゼルの機能や基盤で対応でき、自社で個別に用意する範囲を小さくできます。セキュリティの取り組みの詳細は「クライゼルのセキュリティ」のページでも紹介しています。
フォームは、自動生成モードを使えばノーコードで作成でき、デザインモードではHTML・CSS・JavaScriptで自社サイトに合わせたデザインにできます。料金は月額1万円（税別）から（Entryエディションの場合）で、14日間の無料トライアルもご用意しています。
クライゼルのセキュリティ対策を詳しく知りたい方へ
システム面・運用面・組織面のセキュリティ対策をまとめたセキュリティホワイトペーパーです。社内の稟議やセキュリティ審査の資料としてもご活用いただけます。
よくある質問
Q. reCAPTCHAは無料で使えますか？
A. Google Cloudに統合された現在の料金体系では、月10,000件の評価までは無料です（2026年10月時点）。それを超える場合は有料のティアが必要です。無料枠は組織単位で、すべてのサイトの評価件数が合算される点に注意してください。
Q. reCAPTCHA v2とv3はどちらを使うべきですか？
A. 入力の手間を増やしたくない問い合わせや資料請求のフォームには、操作不要のv3が向いています。不正送信が多く、利用者にテストを課してでも止めたい画面ではv2が選択肢になります。v3ではスコアの扱いをサイト側で設計する必要があります。
Q. reCAPTCHA v3のしきい値はいくつに設定すればよいですか？
A. Googleは最初の目安として0.5を示しています。運用を始めたらログやスコアの分布を確認し、人間の送信を誤って止めていないかを見ながら調整します。
Q. reCAPTCHAのGoogle Cloudへの移行をしないとどうなりますか？
A. Googleの案内では、旧来のClassicキーは2025年第4四半期に受け付けられなくなり、Google Cloudのプロジェクトに関連付けられていないキーはAPIが使えなくなります。多くのキーは自動で移行されていますが、プロジェクトや利用量の管理状況を一度確認しておくと安心です。
Q. reCAPTCHAを入れてもスパムが届くのはなぜですか？
A. 人が手作業で送信している場合や、しきい値が低すぎる場合、reCAPTCHAが正しく設定されていない場合が考えられます。ログで判定結果を確認し、IPアドレスの制限や入力内容の制限などの対策を組み合わせます。
Q. フォームの不正アクセスを防ぐには、reCAPTCHA以外に何が必要ですか？
A. 管理画面のアクセス制限と認証の強化、権限の最小化、ログの確認、ソフトウェアの更新、WAFなどを組み合わせる多層的な対策が必要です。フォームサービスを利用する場合は、委託先としての対策状況も確認しましょう。
まとめ
reCAPTCHAは、フォームへのbotによる大量送信を抑える基本的な対策です。v3なら利用者の手間を増やさずに導入できますが、Google Cloud統合後は無料枠やキーの管理にも目を配る必要があります。
一方で、2026年秋に相次いだ不正アクセスの多くは、reCAPTCHAだけでは防げない手口によるものです。フォームの入口に加えて、管理画面の認証やアクセス制限、ログの確認、委託先の対策状況まで含めて点検しましょう。まずはチェックシートで、自社フォームの対策状況を確認することから始めてみてください。
自社フォームのセキュリティ、まずはチェックから
ご利用中のフォームサービスが、SSL、reCAPTCHA、IPアドレス制限、管理画面の保護など20項目のうちいくつに対応しているかを確認できるチェックシートです。
クライゼルのフォームやセキュリティ機能について具体的に相談したい方は、お問い合わせください。
