CAPTCHA

セキュリティ

Webサイトなどで、操作しているのが人間か、ボットなどの自動化された機械（プログラム）かを判別する仕組みのこと。悪質な自動アクセスやスパム投稿を防ぐために導入されます。

🐾 猫で例えると？

ソファの上でゴロンとお腹を見せて、どこを撫でてほしいか問いかけるような表情の茶トラ — 飼い主かどうかをテストするかのようにゴロンとする茶トラ

飼い主が近づくと、ゴロンゴロンとお腹を見せて愛嬌たっぷりにアピールしてくれる茶トラ。しかし、いざ撫でようとすると「本当に私の好きな場所が分かっている？」と、こちらの愛を試すような難問を突きつけてきます。この「正規の相手かどうかを特定の判別テストで確認する」仕組みこそがCAPTCHAです。

🐾猫あるある：IT現場の日常

撫でてと甘えるのにお腹を触ると激怒：アクセスしている対象が自動化されたプログラム（ボット）ではなく、本物の人間であるかどうかを識別・判定する認証テスト。
ご飯か遊ぶかその時の気分で要求が変わる：歪んだ文字列の入力や指定された画像の選択を要求し、ボットによる大量の不正ログインや機械的なフォーム送信を防ぐ仕組み。
たくさん並んだ段ボールから本命を当てる：画面上に並んだ複数の画像タイルの中から、指定されたお題に合致する要素だけを正確にクリックさせる画像認識型の認証機能。

💻 IT現場における「CAPTCHA」とは？

現場におけるCAPTCHAは、主にスパムメールの大量送信、チケットの転売ボットによる買い占め、ブルートフォース攻撃による不正ログインといった「プログラムによる自動化された悪意あるアクセス」を防ぐために設置されます。

代表的なものとしては、ゆがんだ英数字を読ませて入力させるタイプや、「信号機の含まれる画像をすべて選択してください」といった画像認識タイプがあります。これらは、人間にとっては簡単に見分けがついても、プログラム（ボット）にとっては解析が非常に難しいという特徴を利用しています。

⚠️ CAPTCHAの仕組みと注意点

近年では、AIの進化によって単純な画像選択や文字入力はプログラムでも突破できるようになってきました。そのため、Googleが提供する「reCAPTCHA v3」などのモダンな仕組みでは、ユーザーに一切のテストを出さず、ページ内でのマウスの動きやスクロール速度といった「人間らしい挙動」をバックグラウンドで解析してスコア化する方式が主流になっています。

ユーザー体験（UX）とのトレードオフ

セキュリティを厳しくしすぎると、人間にとっても「どれが信号機か分からない」「文字が読めない」というストレスになり、サイトから離脱してしまう原因になります。そのため、ユーザーに負担をかけない高度な判別システムの選定が重要です。

// HTMLでのGoogle reCAPTCHA v3 スクリプト読み込み例
<script src="https://www.google.com/recaptcha/api.js?render=YOUR_SITE_KEY"></script>
<script>
  grecaptcha.ready(function() {
      grecaptcha.execute('YOUR_SITE_KEY', {action: 'homepage'}).then(function(token) {
          // このトークンをサーバー側に送信し、ボットかどうかを判定（スコア化）してもらう
          console.log('reCAPTCHA トークンを取得しました:', token);
      });
  });
</script>

実務では、上記のようにフロントエンドでトークンを発行し、サーバーサイドでそのトークンをGoogleのAPIに検証リクエストを投げることで、ユーザーの手間をゼロにしたボット判定を実装します。

🛠️ CAPTCHAを賢く使うためのポイント

適切なバージョンの選択： ユーザーに文字入力や画像選択の手間を極力与えない「reCAPTCHA v3」や「Cloudflare Turnstile」のような、非視覚型（インビジブル）の仕組みを採用するのが現在のベストプラクティスです。
設置場所の最適化： すべてのページに導入すると読み込み速度の低下を招くため、お問い合わせフォームやログイン画面、購入確定ボタンなど、ボットに狙われやすいエンドポイントに絞って設置しましょう。
代替手段の用意： アクセシビリティの観点から、視覚的な画像認証だけでなく、音声で数字を読み上げるような音声認証の選択肢も提供することが望ましいです。

愛嬌たっぷりでオープンなAPIのように親しみやすい茶トラですが、時には「どこを撫でるのが正解か」という高度なCAPTCHAテストを仕掛けてきます。システムのセキュリティも同じで、普段は使いやすさを保ちつつ、怪しい挙動を検知したときだけスマートに防壁を立てる、そんなお利口な設計を目指したいですね。