hCaptchaとは｜reCAPTCHAとの違いとフォームへの入れ方

ログインの画面や問い合わせのフォームで、「画像の中から自転車を選んでください」という問題が出て、見慣れない「hCaptcha」という文字が表示されていた。あるいは、自分のサイトのスパム対策を考えていて、reCAPTCHA以外の選択肢としてhCaptchaの名前を知った。そんなきっかけで調べ始める人が多いはずです。hCaptcha（エイチキャプチャ）とは、フォームに入力しているのが人なのか、自動で動くプログラム（ボット）なのかを見分けて、機械的な送信を防ぐためのサービスです。この記事では、hCaptchaの仕組みと料金のプラン、Googleが提供するreCAPTCHAとの違い、自分のサイトのフォームへの入れ方、reCAPTCHAからの切り替えの手順、導入の注意点を順に説明します。ボットの送信を入り口で止めたあとに残る、届いた問い合わせや申し込みをどう回すかという課題には、受付から返信までを1つの画面で扱うHalictのような道具もあり、その使いどころも後半で触れます。

hCaptchaとは何か

hCaptchaを理解するには、まず「CAPTCHA（キャプチャ）」という考え方を押さえておくと分かりやすくなります。CAPTCHAとは、人には簡単に解けて、プログラムには解きにくい問題を出し、その答え方で相手が人かどうかを見分ける仕組みのことです。ゆがんだ文字を読ませる、写真の中から特定のものを選ばせる、といった問題が代表的です。

hCaptchaは、こうしたCAPTCHAを提供するサービスの1つです。フォームの送信やアカウントの登録、ログインといった場面に組み込むと、その操作をしているのがボットらしいかどうかを判定し、ボットらしければ問題を出したり、操作を止めたりします。

いまのCAPTCHAのサービスは、問題を出すことだけに頼っていません。ページの上での振る舞いやブラウザの情報などの手がかりから、裏側で人らしさを判定し、怪しいときだけ問題を出す形が主流です。hCaptchaも同じで、有料のプランでは、ほとんどの利用者に問題を出さずに判定する「パッシブモード」という仕組みを用意しています。

hCaptchaが使われている場所は、意外に身近です。オンラインの買い物のサービスや、Webサイトを作るサービスの中には、hCaptchaを使って店舗やアカウントを守る仕組みを組み込んでいるものがあります。誰でも編集できる百科事典のウィキペディアを運営するウィキメディア財団も、アカウントの登録などの場面でhCaptchaを試し、従来の仕組みから切り替えたことを公表しています。

これを解決するため、ウィキメディア財団は hCaptcha Enterprise をテストする試用を実施し、成功を収めました。現在では、従来のシステムに取って代わっています。 出典: mediawiki.org

同じページによると、フランス語版のウィキペディアで8週間にわたって比べた結果、アカウントの作成を最後まで終えた人の割合が約10%上がり、hCaptchaの判定を経たアカウントがのちに利用を止められる割合は31%下がったと報告されています。人にとっての使いやすさと、ボットの止めやすさの両方で効果があった、という報告です。

hCaptchaの料金とプラン

hCaptchaの公式サイトの料金のページでは、2026年10月時点で、次の3つのプランが案内されています。

プラン	料金	主な内容
Basic	無料	ボット対策の基本の機能。すべての国で使える
Pro	月払いで1か月あたり139ドル	1か月あたり10万回の判定を含み、それを超えると1,000回あたり0.99ドル。問題をほとんど出さないパッシブモード、見た目の変更、分析の機能
Enterprise	営業の担当に問い合わせ	Proの内容に加え、危険の度合いを数字で示すスコア、問題を出さないモード、高度な分析など

料金はドルで示されているため、円での負担は為替によって変わります。Proには14日間の無料の試用があり、続けなければ自動で無料のプランに切り替わると案内されています。料金や内容は変わることがあるので、契約の前にはhCaptchaの料金のページで最新の記載を確かめてください。

小さな会社や個人のサイトで、問い合わせや申し込みのフォームを守るだけなら、まず無料のBasicで始めるのが一般的です。Basicでは、ボットらしい送信に画像の問題を出して止める、という基本の動きになります。利用者の手間をできるだけ減らしたい、判定の様子を分析したい、という段階になったら、Proの試用を検討する、という順番が無理のない進め方です。

料金のページには、GDPR（ヨーロッパの個人情報の保護の決まり）やCCPA（アメリカのカリフォルニア州の消費者の情報の保護の決まり）などに沿っているという記載もあります。海外の利用者が多いサイトでは、こうした点も選ぶときの材料になります。

reCAPTCHAとの違い

hCaptchaとよく比べられるのが、Googleが提供するreCAPTCHAです。フォームのセキュリティの解説でも、次のように紹介されています。

hCaptchaとよく似たサービスとしてGoogle reCAPTCHAがあります。不正ログイン対策やスパムコメント対策に使われる認証サービスのほとんどがreCAPTCHAで実際に見たことがある方も多いはずです 出典: greenstyle.co.jp

どちらも、ボットの送信を見分けるという目的は同じです。違いが出るのは、提供する会社、料金の決まり方、判定の結果の受け取り方、情報の扱いの考え方などです。

項目	hCaptcha	reCAPTCHA
提供元	hCaptchaの運営会社	Google
無料の範囲	Basicプランは無料	Googleの案内では1暦月あたり最大10,000件の評価まで無料
有料の始まり	Proは1か月あたり139ドル（10万回の判定を含む）	件数に応じた料金の区分がある
問題を出さない判定	Pro以上のパッシブモード	スコアで判定する方式（v3）
スコアの意味	Enterpriseのスコアは危険の度合い（0.0が危険なし、1.0が確かな脅威）	人らしさ（1.0に近いほど人らしい）
仕組みの書き方	reCAPTCHAとよく似ている	広く使われていて情報が多い

大きな違いの1つは、スコアの向きです。hCaptchaの公式の切り替えの案内によると、reCAPTCHAのスコアは0.0がボット、1.0が人を意味するのに対し、hCaptcha Enterpriseのスコアは危険の度合いで、0.0が危険なし、1.0が確かな脅威を意味します。つまり、数字の向きが逆です。reCAPTCHAからEnterpriseに切り替えるときは、「スコアがしきい値より低ければ止める」という判定を、「スコアがしきい値以上なら止める」に書き換える必要があると案内されています。

もう1つは、無料の範囲の考え方です。reCAPTCHAは月の評価の件数で無料の範囲が決まっています。hCaptchaのBasicは無料のプランとして案内されていて、件数の上限の記載は料金のページにはありません。使う件数が多いサイトでは、両方の公式の案内を見比べて、どちらが合うかを確かめます。

どちらが優れているかは、一概には言えません。Googleのサービスとまとめて管理したい、情報の多いほうを選びたいならreCAPTCHA。Google以外のサービスを使いたい、海外の個人情報の決まりへの対応を重視したいならhCaptcha、という選び方が1つの目安です。

利用者から見たhCaptchaの動き

自分のサイトにhCaptchaを入れたとき、フォームを使う人からはどう見えるのかを押さえておくと、導入の判断がしやすくなります。

無料のBasicでは、フォームの中に「私は人間です」のような印を付ける枠が表示されます。利用者がそこに印を付けると、裏側で判定が行われ、人らしいと判断されればそのまま合格になります。判定に迷ったときは、「すべての船の画像を選んでください」のような画像の問題が出ます。問題に正しく答えると合格になり、フォームを送信できます。

有料のプランのパッシブモードでは、ほとんどの利用者に問題が出ません。ウィキメディア財団のページでは、アカウントを作るか編集を公開する利用者のうち、問題に出会うのはごく一部（約0.1%）で、これをhCaptchaは「99.9%パッシブモード」と呼んでいると説明されています。

画像の問題は、目の見えにくい人には解きにくいことがあります。hCaptchaの公式サイトには、こうした人に向けた手段についての案内（Accessibility）が用意されています。フォームを公開する側としては、問題が解けない人のために、メールアドレスや電話番号など、別の連絡の手段もフォームの近くに書いておくと、取りこぼしを防げます。

フォームへの入れ方｜4つの手順

ここからは、自分で作ったフォームにhCaptchaを入れる流れを、公式の開発者向けの案内に沿って説明します。画面の名前は変わることがあるので、作業の前に公式の案内も開いて照らし合わせてください。

手順1：アカウントを作り、キーを控える

hCaptchaの公式サイトでアカウントを作ります。公式の案内では、管理画面の「Sites」から公開してよい「サイトキー」を、「Settings」から外に出してはいけない「シークレット」を控えるよう説明されています。

サイトキーは、フォームのページに埋め込んで使う文字列です。シークレットは、自分のサーバーとhCaptchaの間のやり取りに使う文字列で、ページのHTMLに書いてはいけません。サーバーの設定や、パスワードの管理の道具に保存します。公式の案内でも、シークレットは機械どうしの安全な確認のためだけのもので、公開してはいけないと注意されています。

手順2：フォームのページに組み込む

フォームのページに、hCaptchaの読み込みのコードを入れ、フォームの中に決まった名前の枠を1つ用意して、そこにサイトキーを書きます。公式の案内によると、読み込みのコードは「js.hcaptcha.com」から配られ、枠の名前は「h-captcha」です。

利用者が印を付けて合格すると、hCaptchaは「h-captcha-response」という名前の判定用の文字列（トークン）を、フォームの送信内容に自動で加えます。

手順3：サーバー側でトークンを確かめる

ここが最も大切で、そして最も抜けやすい手順です。ページの上でhCaptchaを動かしただけでは、守りは完成しません。ボットは、ページを開かずに、フォームの送り先へ直接データを送りつけることがあるからです。

フォームの送信を受け取ったサーバーは、送られてきたトークンとシークレットを、hCaptchaの確認用のURL（公式の案内では「api.hcaptcha.com/siteverify」）に送ります。すると、合格か不合格かの結果が返ってきます。公式の案内では、この確認はPOSTという方式で送る必要があり、GETという方式では呼び出さないよう注意されています。

トークンには、使える回数と期限があります。公式の案内では、トークンは1回しか使えず、発行されてから短い時間のうちに確かめる必要があるとされています。フォームを開いたまま長く放置した人が送信すると、トークンの期限が切れて確認に失敗します。期限が切れたときに知らせる仕組みも用意されているので、期限が切れたら新しいトークンを取り直してから送信するように作っておきます。

手順4：テスト用のキーで確かめてから本番に切り替える

公式の案内には、動作を確かめるためのテスト用のキーも用意されています。まずテスト用のキーで、フォームの表示、送信、サーバー側の確認までが正しく動くかを確かめ、問題がなければ本番用のキーに入れ替えます。本番用のキーに入れ替えるのを忘れたまま公開すると、守りが働かないので注意します。

手順	すること	抜けると起きること
1	サイトキーとシークレットを控える	組み込みが始められない
2	ページに読み込みのコードと枠を入れる	印を付ける枠が表示されない
3	サーバーでトークンを確かめる	ボットがページを通らずに送信できてしまう
4	テスト用のキーで確かめ、本番用に入れ替える	守りが働かないまま公開してしまう

WordPressや外部のサービスで使うとき

自分でプログラムを書かずに、WordPressのプラグインや、フォームを作るサービスでhCaptchaを使う人も多くいます。hCaptchaの公式の案内では、WordPressをはじめ、多くの仕組み向けの組み込みの部品（プラグイン）が用意されていると紹介されています。

その場合の流れは、おおむね次のとおりです。

1. hCaptchaのアカウントを作り、サイトキーとシークレットを控える
2. プラグインやサービスの設定画面にある、hCaptchaの欄に2つのキーを貼り付ける
3. どのフォームで使うか（ログイン、コメント、問い合わせなど）を選ぶ
4. 実際にフォームから送信して、受け付けられることを確かめる

WordPressのセキュリティの解説でも、導入後の確かめ方について次のように書かれています。

例えばログイン画面ではこのように表示されます。実際にhCaptchaが動いているかどうかコメントフォームなどに追加して確認してみるといいでしょう。 出典: greenstyle.co.jp

プラグインを選ぶときは、提供元がはっきりしていて、更新が続いているものを選びます。シークレットを入力するので、よく分からないプラグインに入力するのは避けます。すでにreCAPTCHAのプラグインを使っている場合は、同じフォームにreCAPTCHAとhCaptchaの両方が働いて、送信できなくなることがあります。切り替えるときは、古いほうの設定を外してから新しいほうを入れます。

reCAPTCHAから切り替える手順

すでにreCAPTCHAを使っているサイトでは、hCaptchaへの切り替えは比較的簡単です。hCaptchaの公式の案内では、「2行のコードで切り替えられる」と紹介されていて、次の点を書き換えればよいと説明されています。

1. hCaptchaのサイトキーとシークレットを取得する
2. ページの読み込みのコードを、GoogleのURLからhCaptchaのURL（js.hcaptcha.com）に変える
3. フォームの枠の名前を「g-recaptcha」から「h-captcha」に変える
4. サーバー側で、シークレットをhCaptchaのものに変える
5. サーバー側で受け取るトークンの名前を「g-recaptcha-response」から「h-captcha-response」に変える
6. サーバー側の確認用のURLを、Googleのものからhcaptchaのもの（api.hcaptcha.com/siteverify）に変える
7. reCAPTCHA v3のスコアを使っていて、hCaptcha Enterpriseに切り替える場合は、スコアの判定の向きを逆にする

reCAPTCHAとhCaptchaは、組み込みの書き方がよく似ているため、多くの部分は名前とURLを書き換えるだけで済みます。ただし、7つ目のスコアの向きは見落としやすいので注意が必要です。前の節で見たとおり、reCAPTCHAのスコアは1.0に近いほど人らしいのに対し、hCaptcha Enterpriseのスコアは1.0に近いほど危険です。向きを直さずに切り替えると、人を止めてボットを通す、という逆の結果になってしまいます。

切り替えの作業は、いきなり本番のフォームで行わず、テスト用の環境で一通り動かしてから本番に反映するのが安全です。切り替えた直後は、問い合わせの件数が急に減っていないか、送信できないという連絡が来ていないかを、数日ほど見守ります。詳しい手順はhCaptchaの切り替えの案内で確かめられます。

うまく動かないときの確認ポイント

hCaptchaを入れたのに、フォームが送信できない、確認がいつも失敗する。そんなときは、サーバー側の確認で返ってくる結果に、失敗の理由を示す短い言葉（エラーコード）が含まれているので、まずそれを確かめます。公式の開発者向けの案内に載っている主なエラーコードと、その意味を整理します。

エラーコード	意味	確かめること
missing-input-secret	シークレットが送られていない	サーバーの設定にシークレットが保存されているか
invalid-input-secret	シークレットが正しくない	写し間違いや、余分な空白が入っていないか
missing-input-response	トークンが送られていない	フォームの中に枠があり、合格したあとに送信しているか
expired-input-response	トークンの期限が切れている	フォームを開いてから送信までに時間がかかっていないか
already-seen-response	同じトークンをすでに1回確かめている	同じ送信を二重に確かめる処理になっていないか
sitekey-secret-mismatch	サイトキーとシークレットの組み合わせが違う	別のサイト用のキーを使っていないか
not-using-dummy-passcode	テスト用のサイトキーに合わないシークレットを使っている	テスト用のキーと本番用のキーが混ざっていないか

案内では、トークンの期限は初期の設定で120秒とされています。問い合わせの本文を長く書く人は、印を付けてから送信までに2分以上かかることがあります。入力欄を埋めてから最後に印を付けるよう、枠をフォームの最後、送信ボタンの直前に配置しておくと、期限切れが起きにくくなります。

エラーコードが返ってこない、そもそもサーバーまで送信が届いていない、という場合は、ページの上の問題を疑います。読み込みのコードが正しいURLを指しているか、サイトキーが枠に正しく書かれているか、ブラウザの広告を止める拡張機能などがhCaptchaの読み込みを妨げていないかを確かめます。

ほかのサイトでhCaptchaが出て困ったとき

ここまでは、自分のサイトにhCaptchaを入れる側の話でした。一方で、ほかのサイトを使っていて、hCaptchaの問題が何度も出て先に進めない、という利用者の立場で困っている人もいるはずです。その場合に試せることを紹介します。

問題が何度も出るのは、hCaptchaがそのアクセスを「ボットかもしれない」と判断しているためです。判断の手がかりには、ブラウザの情報や、接続しているネットワークの情報などが使われます。次のような状況では、問題が出やすくなることがあります。

• VPN（通信を別の場所を経由させる仕組み）や、多くの人が共有する公衆の無線の回線を使っている
• ブラウザの設定で、Cookie（サイトが閲覧の情報を保存する仕組み）やJavaScriptを止めている
• 広告やスクリプトを止める拡張機能を入れている
• 短い時間に何度もログインや送信を試している

困ったときは、VPNを切る、ブラウザの拡張機能を一時的に止める、別のブラウザで試す、少し時間をおいてから試す、といった方法で状況が変わることがあります。それでも先に進めない場合は、そのサイトの問い合わせの窓口に、画像の問題が解けずに利用できないことを伝えます。目が見えにくいなどの理由で画像の問題を解くのが難しい場合は、hCaptchaの公式サイトのAccessibilityの案内も確かめてみてください。

hCaptchaは、ボットからサイトを守るために、サイトを運営する側が入れているものです。問題が出ること自体は異常ではなく、多くの場合、問題に答えれば先に進めます。ただし、普段使っているサイトで、急に見慣れない画面が出て個人情報やパスワードの入力を求められた場合は、偽のサイトの可能性もあるので、アドレス欄のURLが正しいかを確かめてから入力します。

導入の注意点

hCaptchaを導入するときに、知っておきたい注意点を整理します。

1つ目は、ボットを完全には止められないことです。hCaptchaに限らず、CAPTCHAのサービスはスパムを大きく減らす道具ですが、ゼロにする道具ではありません。人には見えない入力欄を用意してボットだけが入力したら弾く、同じ接続元から短い時間に何度も送信があったら止める、といったほかの対策と組み合わせるのが前提です。

2つ目は、情報の扱いです。hCaptchaは判定のために、利用者のブラウザの情報などを集めます。ウィキメディア財団のページでも、外部のサービスに情報を送ることにはプライバシーの危険が伴うと認めたうえで、情報を切り離して扱う工夫について説明しています。自分のサイトでも、プライバシーポリシーにhCaptchaを使っていることを示しておくのが一般的です。

3つ目は、使いやすさへの配慮です。無料のBasicでは、利用者が画像の問題を解く場面があります。スマートフォンで小さな画像を選ぶのは手間がかかり、そこで送信をあきらめる人も出ます。申し込みや購入のように、途中でやめられると損失が大きいフォームでは、問題の出し方や、有料のプランの検討も含めて考えます。

4つ目は、サーバー側の確認の抜けです。前の節で書いたとおり、ページの上でhCaptchaを動かすだけでは、ボットはフォームの送り先へ直接データを送れます。導入したのにスパムが減らないときは、まずサーバー側の確認が動いているかを疑います。

注意点	起きること	対策
ボットを完全には止められない	一部のスパムは通り抜ける	ほかの対策と組み合わせる
情報の扱い	利用者の情報が外部に送られる	プライバシーポリシーに明記する
使いやすさ	画像の問題で送信をやめる人が出る	別の連絡手段を書き、問題の出し方を見直す
サーバー側の確認の抜け	スパムが減らない	トークンの確認が動いているか確かめる

受け付けた後の運用まで考える

hCaptchaでボットの送信を入り口で減らせても、届いた問い合わせや申し込みを誰がいつ対応したかが分からなければ、フォームの運営はうまく回りません。CAPTCHAが止められるのは機械的な送信だけで、人が手で送ってくる営業の文章や、いたずらの送信は通り抜けます。受け付けた後の画面で、送信の1件ごとに「対応する」「対応しない」を素早く仕分けられる状態を作っておくことが、スパム対策の仕上げになります。

こうした受付の後の流れを1つの画面で扱う道具の選択肢の1つが、Halictです。公式サイトによると、Halictは問い合わせや申し込みのフォームを作り、届いた回答の1件ごとに担当と状況を残して、返信も同じ画面から送れるように作られたフォームのサービスです。返信したメールの開封まで記録されると案内されています。フォームの作成では、作りたいフォームを文章で伝えるとAIが質問の構成や選択肢まで組み立てる機能があり、12種類の入力欄を使えます。集まった回答は一覧で確かめられ、CSVに書き出すこともできます。

料金は、フォームの数と回答の数がどのプランでも無制限で、使う人数で決まります。メンバー1人までのフリープランは0円で、自動返信やCSVの書き出しも使えます。メンバー3人までのスタータープランは月額2,980円（税抜）です。公式サイトには、hCaptchaのようなボット対策の機能についての記載はないため、スパムの入り口の対策は別に考え、受け付けた後の担当の割り振りと返信の管理に使う道具として検討するのが合っています。

Halictは、@SOHOを運営する株式会社ライフスケープが開発・提供しています。

フォームの守りを仕事として見る

hCaptchaやreCAPTCHAの導入、フォームのスパム対策は、仕事として頼まれることも多い作業です。小さな会社や個人のお店のサイトでは、「問い合わせフォームに英語のスパムが毎日届く」「会員の登録に不正なアカウントが混ざる」といった相談がよく出てきます。

こうした作業は、Webサイトやアプリを作る仕事の一部として頼まれることが多く、フォームへの組み込みからサーバー側の確認、送信後のメールの設定までを一通り扱えると、頼む側の手間が大きく減ります。開発の仕事の種類や進め方はアプリケーション開発のお仕事で紹介しています。不正なアカウントの作成や乗っ取りへの備えは、セキュリティの分野の仕事にもつながります。こちらはAI・マーケティング・セキュリティのお仕事で、どんな案件があるかを確かめられます。

2004年から在宅ワークとフリーランスの仲介を続けてきた運営者として見てきた限りでは、フォームの守りの相談で長く頼りにされる人は、どちらのサービスが優れているかを語るより先に、依頼する側のフォームで何が起きているかを確かめています。スパムの件数、届く時間帯、送信の中身を見てから、CAPTCHAを入れるのか、ほかの対策で足りるのかを提案するのです。キーをどこに保存したか、どの設定にした理由は何かを書き残して引き渡す人ほど、担当者が替わったあとも「またお願いしたい」と声がかかっています。

依頼する側と受ける側が直接やり取りできる場では、仲介の手数料が引かれない分、同じ予算でも頼める作業の幅が広がり、受ける側の手取りも厚くなります。スパム対策のように、状況を見ながら小さな調整を重ねていく仕事では、この差が長い付き合いの続けやすさにつながります。

よくある質問

Q. hCaptchaは無料で使えますか？

使えます。hCaptchaの公式の料金のページでは、無料のBasicプランが案内されていて、ボット対策の基本の機能を使えます。問題をほとんど出さないパッシブモードや見た目の変更、分析の機能を使いたい場合は、月払いで1か月あたり139ドルのProプランがあり、14日間の無料の試用もあります。料金は変わることがあるので、契約の前に公式のページで確かめてください。

Q. hCaptchaとreCAPTCHAはどちらを選べばよいですか？

どちらもボットの送信を見分ける目的は同じで、一概にどちらが優れているとは言えません。Googleのサービスとまとめて管理したい、情報の多いほうを選びたいならreCAPTCHA、Google以外のサービスを使いたい、海外の個人情報の決まりへの対応を重視したいならhCaptchaが1つの目安です。無料の範囲や有料の料金の決まり方も違うので、公式の案内を見比べます。

Q. reCAPTCHAからhCaptchaに切り替えるのは難しいですか？

組み込みの書き方がよく似ているため、多くは名前とURLの書き換えで済みます。読み込みのコードのURL、枠の名前、受け取るトークンの名前、シークレット、サーバー側の確認用のURLをhCaptchaのものに変えます。スコアを使っていてhCaptcha Enterpriseに移る場合は、スコアの向きが逆なので、判定の条件も逆にする必要があります。

Q. hCaptchaを入れたのにスパムが減らないのはなぜですか？

最も多いのは、サーバー側でトークンを確かめる処理が抜けているケースです。ボットはページを開かずにフォームの送り先へ直接データを送るため、ページの上でhCaptchaを動かすだけでは止められません。テスト用のキーのまま公開していないかも確かめます。人には見えない入力欄や送信の回数制限など、ほかの対策も重ねると効果が上がります。