reCAPTCHAとは｜フォームのスパムを防ぐ仕組みと設定の手順

問い合わせフォームを公開したとたん、意味のない英文や怪しいリンクだけが書かれた送信が毎日届くようになった。そんな悩みから「reCAPTCHA」を調べ始める人は多くいます。reCAPTCHA（リキャプチャ）とは、フォームに入力しているのが人なのか、自動で動くプログラム（ボット）なのかを見分けて、機械的な送信を防ぐためのGoogleの仕組みです。この記事では、reCAPTCHAの仕組みと種類、無料で使える範囲と料金、導入のメリットとデメリット、キーの作成からサーバー側の確認までの手順を順に説明します。スパムを止めたあとに残る「届いた申し込みや問い合わせをどう回すか」という課題には、受付から返信までを1つの画面で扱うHalictのような道具もあり、その使いどころも後半で触れます。

reCAPTCHAとは何か

reCAPTCHAを理解するには、もとになった「CAPTCHA（キャプチャ）」という考え方から押さえると分かりやすくなります。CAPTCHAとは、人には簡単に解けて、プログラムには解きにくい問題を出し、その答え方で相手が人かどうかを見分ける仕組みのことです。ゆがんだ文字を読ませる、写真の中から信号機を選ばせる、といった問題を見たことがある人は多いはずです。

reCAPTCHAは、このCAPTCHAをGoogleが提供しているサービスです。もともとは別の研究から生まれたもので、のちにGoogleが買収しました。初期のreCAPTCHAは、古い本や新聞を電子化するときに機械では読み取れなかった単語を、人に読ませて答えを集めるという、ちょっと変わった目的も兼ねていました。人がゆがんだ文字を入力するたびに、書籍の電子化が少しずつ進んでいたわけです。

その後、文字を読み取るプログラムの性能が上がり、ゆがんだ文字の問題は機械にも解かれるようになりました。研究の世界では、早い時期からその限界が指摘されています。

2012年6月27日には、メキシコの学生グループのクローディア・クルーズ(Claudia Cruz)、フェルナンド・ウセダ(Fernando Uceda)、レオバルド・レイズ(Leobardo Reyes)が、reCAPTCHAの画像に対して82%の正答率を得るシステムについての論文を発表した。 出典: ja.wikipedia.org

こうした流れを受けて、reCAPTCHAは「問題を解かせる」方式から、「ページの上での振る舞いを見て判断する」方式へと移ってきました。いまのreCAPTCHAは、マウスの動き方やページの閲覧のしかた、ブラウザの情報などの手がかりをもとに、そのアクセスが人らしいかどうかを裏側で判定します。多くの場合、利用者は問題を解く必要すらなく、チェックボックスを1回押すだけ、あるいは何もしないまま送信を終えられます。

フォームの運営者から見ると、reCAPTCHAの役割は大きく2つです。1つは、ボットによる大量の送信を入り口で止めること。もう1つは、送信の1件ごとに「どのくらい怪しいか」の判定を受け取り、その結果に応じて受け付けるか、追加の確認を求めるかを決められるようにすることです。後者の考え方は、後で説明するv3の仕組みにそのままつながります。

いまのreCAPTCHAの位置づけと料金

reCAPTCHAを調べると、「reCAPTCHA v2」「reCAPTCHA v3」「reCAPTCHA Enterprise」など、似た名前がいくつも出てきて戸惑います。2026年10月時点で、GoogleはreCAPTCHAを「Google Cloud Fraud Defense」という不正対策のサービスに統合したと案内しています。Fraud Defenseは、ボットによる送信だけでなく、他人のアカウントの乗っ取りや、自動でのアカウントの大量作成などの不正もまとめて見張るためのサービスです。reCAPTCHAは、その中の中心となる技術という位置づけです。

料金の体系は、Essentials、プレミアム、Enterpriseの3つの区分（ティア）に分かれています。Googleの比較ページによると、Essentialsは1暦月あたり最大10,000件の評価まで無料です。ここでいう「評価」とは、送信の1件ごとにreCAPTCHAへ判定を問い合わせる処理のことです。この10,000件は組織ごとの数で、同じ組織が持つすべてのサイトの利用が合計されます。

ティア	1か月あたりの費用	主な特徴
Essentials	10,000件の評価まで無料	基本的なボット対策、ダッシュボード
プレミアム	10,000件まで無料、10,001〜100,000件は定額8ドル、100,000件超は1,000件あたり1ドル	アカウントや取引の保護を強化
Enterprise	1,000件あたり1ドルの月額固定（最小12か月の契約）	独自のポリシー、高度な分析、担当者の支援

無料のEssentialsでも、有効な支払い方法をGoogle Cloudに登録しておく必要があると書かれています。小さな会社や個人のサイトで、問い合わせや申し込みのフォームを守る程度の使い方であれば、1か月に10,000件を超える送信が来ることはまれです。ただし、ボットに狙われたフォームでは、人からの送信よりボットの送信のほうがはるかに多くなることがあり、その場合は評価の件数も膨らみます。運用を始めたら、管理画面で月々の件数を見ておくと安心です。

ドルで書かれている料金は、為替によって円での負担額が変わります。請求の通貨や税の扱いはGoogle Cloudの契約の内容で決まるため、有料の区分を使う前に、Google Cloudの請求の設定画面で確かめてください。料金の詳細はGoogleの公式の比較ページに載っています。

reCAPTCHAの種類と見え方の違い

reCAPTCHAには、利用者から見た動きが違う、いくつかの種類があります。どれを選ぶかで、フォームを使う人の手間と、運営者が受け取る情報の量が変わります。

種類	利用者から見た動き	運営者が受け取るもの
v2 チェックボックス	「私はロボットではありません」に印を付ける。怪しいときは画像の問題が出る	合格か不合格か
v2 非表示（Invisible）	送信ボタンを押すだけ。怪しいときだけ画像の問題が出る	合格か不合格か
v3 スコア	何も操作しない。画面の隅にバッジが出る	0.0から1.0のスコア
Fraud Defense（旧Enterprise）	v3と同じく、操作なしで判定。必要に応じて問題を出す設定もできる	スコアと、怪しいと判断した理由の手がかり

v2のチェックボックスは、最もよく見かける形です。フォームの下に小さな枠が出て、利用者がそこに印を付けます。裏側の判定で人らしいと分かれば、そのまま合格になります。判定に迷ったときだけ、「横断歩道の写真をすべて選んでください」のような画像の問題が出ます。

v2の非表示型は、チェックボックスすら出さない形です。送信ボタンを押したときに裏側で判定し、怪しいときだけ画像の問題を出します。普段は利用者の手間がほとんどありません。

v3は、考え方が大きく違います。v3は問題を出さず、ページの上での振る舞いをもとに「人らしさ」を0.0から1.0の数字（スコア）で返します。1.0に近いほど人らしく、0.0に近いほどボットらしいという意味です。合格か不合格かを決めるのはreCAPTCHAではなく、スコアを受け取った運営者側のプログラムです。Googleの説明では、まずは0.5をしきい値（合格の線）にして、実際のアクセスの様子を見ながら調整する方法が案内されています。

Googleの最新の案内では、キーを作るときに「スコアベース（v3）」と「チャレンジ（v2）」のどちらかを選ぶ形になっています。そのうえでGoogleは、チェックボックスのキーについて、利用者の負担が増えるわりに精度が大きく上がるわけではないとして、使うことをおすすめしないと書いています。新しく導入するなら、スコアベースを基本に考えるのが、いまの公式の方向性に沿った選び方です。

v2とv3のどちらを選ぶか

公式の方向性はスコアベースに寄っていますが、実際のフォームの事情によっては、v2のほうが扱いやすい場面もあります。選ぶときは、次の3つの観点で考えると整理しやすくなります。

1つ目は、運営者側でスコアを扱えるかどうかです。v3は、受け取ったスコアをもとに「0.5未満なら受け付けない」「0.3から0.5の間なら確認のメールを送る」といった判断を、自分のプログラムで書く必要があります。フォームの仕組みを自分で作っている場合や、開発者に頼める場合には向いています。一方、レンタルの仕組みやプラグインでフォームを作っていて、細かい判断を書けない場合は、合格か不合格かだけを返すv2のほうが扱いやすいことがあります。

2つ目は、利用者の負担です。v2のチェックボックスは、印を付ける手間が1回増えます。画像の問題が出ると、スマートフォンでは特に面倒に感じられ、そこで入力をやめてしまう人も出ます。申し込みや購入のように、途中でやめられると損失が大きいフォームでは、操作の要らないv3や非表示型が向いています。

3つ目は、受け取りたい情報の量です。v3は、ページのどの操作でどのくらいのスコアが出たかを、管理画面で見られます。Googleの説明でも、v3はアクセスについて詳しいデータを得たい運営者向けとされています。どのページがボットに狙われているかを知りたい場合には、v3のほうが役に立ちます。

こんな場合	向いている種類
フォームを自分で作っていて、スコアで判断を分けたい	v3（スコアベース）
プラグインやレンタルのフォームで、細かい判断を書けない	v2（チェックボックスか非表示型）
申し込みや購入など、途中でやめられると困る	v3、またはv2の非表示型
ボットの送信がとても多く、確実に問題を出して止めたい	v2、またはチャレンジを使う設定

迷ったときは、まずスコアベースで導入し、しばらくスコアの分布を見てから、しきい値や追加の確認を決めるのが無理のない進め方です。いきなり厳しい線を引くと、人からの正当な送信まで弾いてしまい、気づかないうちに問い合わせが減ることがあります。

導入するメリット

reCAPTCHAを入れると、フォームの運営にどんな良いことがあるのか。主なメリットを4つに整理します。

1つ目は、スパムの送信を入り口で減らせることです。ボットによる送信は、1日に数十件から数百件に及ぶこともあります。担当者が毎朝それを1件ずつ見て削除する作業は、時間を取られるだけでなく、本物の問い合わせを見落とす原因にもなります。reCAPTCHAで機械的な送信の多くを止められれば、受付の画面に残るのは人からの送信が中心になります。

2つ目は、無料から始められることです。前の節で見たとおり、Essentialsは1か月あたり10,000件の評価まで無料です。小さなサイトのフォームなら、多くの場合は無料の範囲で収まります。

3つ目は、利用者の手間を小さく抑えられることです。v3や非表示型なら、利用者は問題を解く必要がなく、普段どおりに入力して送信するだけです。昔のゆがんだ文字の問題のように、人まで困らせるCAPTCHAとは違います。

4つ目は、対応しているサービスや部品が多いことです。WordPressのフォームのプラグインや、フォームを作るサービスの多くが、reCAPTCHAとつなぐための設定欄を用意しています。サイトキーとシークレットキーという2つの文字列を貼り付けるだけで使えることも多く、自分でプログラムを書かなくても導入できます。

フォームを作るサービスの解説でも、導入を考える人の悩みは次のように書かれています。

「不正アクセスやスパム投稿を防ぎたいが、難しい設定は避けたい」「ユーザー体験を損なわずにセキュリティを強化したい」 出典: form.run

この2つの悩みに同時に応えられる点が、reCAPTCHAが広く使われている理由です。

導入するデメリットと注意点

便利なreCAPTCHAにも、知っておきたい弱点があります。導入の前に、次の点を確かめておきます。

まず、ボットを完全には止められないことです。ボットを作る側も技術を上げ続けていて、画像の問題を解くサービスや、人に問題を解かせる仕組みまで出回っています。reCAPTCHAはスパムを大きく減らす道具ですが、ゼロにする道具ではありません。後で説明するように、ほかの対策と組み合わせるのが前提です。

次に、正当な利用者を弾いてしまうことがある点です。v3でしきい値を高く設定しすぎると、人からの送信でもスコアが足りずに弾かれます。古いブラウザを使っている人、プライバシーを守る設定を強くしている人、会社のネットワークから接続している人などは、スコアが低く出やすいことがあります。弾かれた人は理由が分からないまま問い合わせをあきらめてしまうため、運営者は気づけません。

3つ目は、プライバシーへの配慮です。reCAPTCHAは判定のために利用者のブラウザの情報などを集め、Googleが「_GRECAPTCHA」という名前のCookieを設定すると公式のよくある質問に書かれています。サイトのプライバシーポリシーで、reCAPTCHAを使っていることと、Googleのプライバシーポリシーと利用規約が適用されることを示しておくのが一般的です。v3では画面の隅にバッジが出ますが、Googleは、フォームの近くにreCAPTCHAで保護されている旨の文章とGoogleのポリシーへのリンクを表示すれば、バッジを隠してよいとしています。

4つ目は、使いやすさの面での配慮です。画像の問題は、目の見えにくい人には解きにくく、音声の問題も聞き取りにくいことがあります。v2のチェックボックスで頻繁に問題が出る設定にすると、こうした人がフォームを使えなくなるおそれがあります。

5つ目は、使える回数の上限です。Googleのよくある質問によると、旧来のreCAPTCHAのキーで1秒あたり1,000回以上、または1か月あたり1,000,000回以上の呼び出しがある場合は、上位の区分への移行などが必要になります。月の割り当てを超えたv3のキーは、その月の残りの期間、判定が失敗することがあると案内されています。大量のアクセスがあるサイトでは、この上限を先に確かめておきます。

注意点	起きること	対策
ボットを完全には止められない	一部のスパムは通り抜ける	ほかの対策と組み合わせる
正当な利用者を弾く	問い合わせが知らないうちに減る	しきい値を低めから始め、弾いた件数を記録する
プライバシー	利用者の情報がGoogleに送られる	プライバシーポリシーに明記する
使いやすさ	画像の問題が解けない人が出る	問題を出す頻度を抑え、別の連絡手段も用意する

設定の手順｜キーの作成からサーバー側の確認まで

ここからは、自分で作ったフォームにreCAPTCHAを入れる流れを、5つのステップで説明します。画面の名前は2026年10月時点のGoogleの案内に沿っています。管理画面は改訂されることがあるため、作業の前に公式の手順も開いて照らし合わせてください。

ステップ1：キーを作る

reCAPTCHAを使うには、まず「キー」を作ります。キーとは、どのサイトでどの種類のreCAPTCHAを使うかの設定をまとめたものです。Googleの案内では、最も簡単な方法は管理コンソールを使うことだとされています。

1. Fraud Defenseの管理コンソールを開く
2. 「ラベル」に、あとでサイトを見分けられる名前を入力する
3. スコアベースなら「スコアベース（v3）」、チェックボックスなら「チャレンジ（v2）」を選ぶ
4. フォームを使うサイトのドメインを入力して追加する（1つのキーに最大250個まで）
5. 初めてなら利用規約を読んで同意し、「送信」を押す

Googleは、サイトごとに1つのキーを作ること、テスト用の環境と本番の環境でキーを分けることをすすめています。テストの送信が本番のキーの判定に混ざると、リスクの分析に悪い影響が出るおそれがあるためです。

ステップ2：サイトキーとシークレットキーを控える

旧来の形のキーでは、作成後に「サイトキー」と「シークレットキー」の2つの文字列が発行されます。サイトキーは、フォームのページに埋め込んで、reCAPTCHAを呼び出すときに使うものです。シークレットキーは、自分のサーバーとreCAPTCHAの間のやり取りに使う、外に出してはいけない文字列です。シークレットキーはページのHTMLに書かず、サーバーの設定やパスワードの管理の道具に保存します。

ステップ3：フォームのページに組み込む

v2のチェックボックスなら、Googleの案内どおり、ページにreCAPTCHAの読み込みのコードを入れ、フォームの中に決まった名前の枠を1つ用意して、そこにサイトキーを書きます。v3なら、送信ボタンを押したときにreCAPTCHAを実行して、判定用の文字列（トークン）を受け取り、フォームの送信内容と一緒にサーバーへ送るように組み込みます。v3では「login」「contact」のように、操作ごとに名前（アクション名）を付けると、管理画面でどの操作でどんなスコアが出たかを見分けられます。

ステップ4：サーバー側でトークンを確かめる

ここが最も大切で、そして最も抜けやすい手順です。ページの上でreCAPTCHAを動かしただけでは、守りは完成しません。ボットは、ページを開かずにフォームの送り先へ直接データを送りつけることがあるからです。サーバー側で、送られてきたトークンをGoogleに問い合わせて、本物かどうかを確かめる必要があります。

旧来の形のキーでは、サーバーから決められた確認用のURLに、シークレットキーとトークンを送ると、合否やスコアの結果が返ってきます。Googleの案内では、トークンは2分間しか有効でなく、1回しか確かめられないとされています。フォームを開いたまま長く放置した人が送信すると、トークンの期限が切れて確認に失敗するため、その場合はもう一度reCAPTCHAを実行してトークンを取り直すように作っておきます。

ステップ5：結果に応じて扱いを決める

v3では、返ってきたスコアをもとに扱いを決めます。たとえば、スコアが0.5以上なら受け付ける、0.3以上0.5未満なら受け付けたうえで「確認待ち」の印を付けて人が目で確かめる、0.3未満なら受け付けない、といった段階を作ると、正当な利用者を一律に弾かずに済みます。v3の結果には、ページで付けたアクション名も入っているので、送られてきた名前が想定どおりかも合わせて確かめます。

WordPressやフォームの道具で使うとき

自分でプログラムを書かずに、WordPressのプラグインやフォームを作るサービスでreCAPTCHAを使う人も多くいます。その場合の流れは、おおむね次のとおりです。

1. 上のステップ1と同じ手順でキーを作る
2. 発行されたサイトキーとシークレットキーを控える
3. プラグインやサービスの設定画面にある、reCAPTCHAの欄に2つのキーを貼り付ける
4. 実際にフォームから送信して、受け付けられることを確かめる

Googleのよくある質問では、外部のサービスでもreCAPTCHAを使えること、そうしたサービスは通常、公開してよいキーと、シークレットキーまたはAPIキーを求めることが書かれています。そのうえで、シークレットキーやAPIキーは信頼できる相手にだけ渡すよう注意しています。よく分からないプラグインや、提供元がはっきりしないサービスにシークレットキーを入力するのは避けてください。

プラグインによっては、v2用とv3用で設定欄が分かれていたり、どちらか一方にしか対応していなかったりします。キーを作るときに選んだ種類と、プラグインが対応している種類が違うと、フォームが表示されない、送信が必ず失敗する、といった不具合が起きます。プラグインの説明を読み、対応している種類に合わせてキーを作ります。

また、すでに使っているプラグインで、以前に作ったキーの場所が分からなくなった場合について、Googleは古い秘密鍵を探す方法の案内も用意しています。担当者が替わったサイトでは、キーを誰がどこで管理しているかを記録しておくと、あとで困りません。

うまく動かないときの確認ポイント

reCAPTCHAを入れたのに、フォームが送信できない、逆にスパムが減らない。そんなときに確かめたい点を並べます。

• ドメインの登録：キーに登録したドメインと、フォームのあるページのドメインが合っているか。Googleの案内では、ドメインの一覧の変更が反映されるまで最大30分かかることがある
• キーの種類：v2用のコードにv3のキーを使っていないか、その逆になっていないか
• サーバー側の確認：トークンをGoogleに問い合わせて確かめる処理が、本当に動いているか。ページの上だけで動いていて、サーバー側の確認が抜けているとスパムは減らない
• トークンの期限：フォームを開いてから送信までに時間がかかり、2分の有効期限が切れていないか
• しきい値：v3で合格の線を高くしすぎて、人からの送信まで弾いていないか
• テスト用のキー：本番の環境でテスト用の設定のキーを使っていないか

スパムが減らないときに最も多いのは、サーバー側の確認が抜けているケースです。ボットはページの上の仕組みを通らずに、フォームの送り先へ直接データを送ってきます。送信の記録を見て、トークンが空のまま受け付けられている送信があれば、サーバー側の確認がうまく動いていないと考えられます。

逆に、正当な利用者から「送信できない」と連絡が来る場合は、しきい値と、ブラウザの拡張機能の影響を疑います。広告を止める拡張機能などが、reCAPTCHAの読み込みを妨げていることがあります。フォームの近くに、送信できないときの別の連絡手段（メールアドレスや電話番号）を書いておくと、取りこぼしを防げます。

reCAPTCHAだけに頼らないスパム対策

reCAPTCHAは強力な道具ですが、前に書いたとおり、すべてのボットを止められるわけではありません。ほかの対策と重ねることで、守りはより確かになります。代表的な対策を5つ紹介します。

1. 人には見えない入力欄（ハニーポット）を作る：画面には表示しない入力欄をフォームに用意し、そこに何か入力されていたらボットとみなして受け付けない方法です。ボットはすべての欄を埋めようとする傾向があるため、簡単で効果があります
2. 送信の回数を制限する：同じ接続元から短い時間に何度も送信があったら、一時的に受け付けを止めます
3. 入力の内容を確かめる：メールアドレスの形になっていない、本文がリンクだけ、といった送信を弾きます
4. 確認のメールを送る：申し込みの場合は、入力されたメールアドレスに確認のメールを送り、そのリンクを押した人だけを正式な申し込みとして扱います
5. 受け付けた後に人が目で確かめる：判定が際どい送信には印を付け、担当者が目で確かめてから対応します

特に5つ目は、どんな仕組みを入れても最後に必要になる手順です。reCAPTCHAで弾けるのは明らかなボットだけで、人が手で送ってくる営業の文章や、いたずらの送信は通り抜けます。受付の画面で、送信の1件ごとに「対応する」「対応しない」を素早く仕分けられる状態を作っておくことが、スパム対策の仕上げになります。

受け付けた後の運用まで考える

スパムを入り口で減らせても、届いた申し込みや問い合わせを誰がいつ対応したかが分からなければ、フォームの運営はうまく回りません。問い合わせの一覧をメールの受信箱やスプレッドシートで管理していると、「この問い合わせには誰が返信したのか」「まだ返事をしていないものはどれか」が分かりにくくなりがちです。担当者が2人、3人と増えるほど、返信の重複や漏れが起きやすくなります。

そうした受付の後の流れを1つの画面で扱う道具の選択肢の1つが、Halictです。公式サイトによると、Halictは問い合わせや申し込みのフォームを作り、届いた回答の1件ごとに担当と状況を残して、返信も同じ画面から送れるように作られたフォームのサービスです。返信したメールの開封まで記録されると案内されています。フォームの作成では、作りたいフォームを文章で伝えると、AIが質問の構成や選択肢まで組み立てる機能があり、テキスト、選択肢、評価、日付、メールなど12種類の入力欄を使えます。集まった回答は一覧で確かめられ、CSVに書き出すこともできます。

料金は、フォームの数と回答の数がどのプランでも無制限で、使う人数で決まります。メンバー1人までのフリープランは0円で、自動返信やCSVの書き出しも使えます。メンバー3人までのスタータープランは月額2,980円（税抜）で、Googleスプレッドシートとの連携が加わります。公式サイトには、reCAPTCHAのようなボット対策の機能についての記載はないため、スパムの入り口の対策は別に考え、受け付けた後の担当の割り振りと返信の管理に使う道具として検討するのが合っています。

Halictは、@SOHOを運営する株式会社ライフスケープが開発・提供しています。

フォームの守りを仕事として見る

reCAPTCHAの導入やフォームの改善は、自分のサイトのためだけでなく、仕事として頼まれることも多い作業です。小さな会社や個人のお店のサイトでは、「問い合わせフォームにスパムが来て困っている」「申し込みフォームの途中でやめる人が多い」といった相談がよく出てきます。

こうした作業は、Webサイトやアプリを作る仕事の一部として頼まれることが多く、フォームの組み込みからサーバー側の確認、送信後のメールの設定までを一通り扱えると、頼む側の手間が大きく減ります。開発の仕事の種類や進め方はアプリケーション開発のお仕事で紹介しています。スパム対策やアカウントの不正利用への備えは、セキュリティの分野の仕事にもつながります。こちらはAI・マーケティング・セキュリティのお仕事で、どんな案件があるかを確かめられます。

フォームの見た目や入力のしやすさを整えるのは、デザインの仕事の領域です。入力欄の並べ方やボタンの位置、エラーの出し方を工夫するだけで、途中でやめる人が減ることは珍しくありません。デザインの仕事の相場はデザイナーの年収・単価相場にまとめています。

2004年から在宅ワークとフリーランスの仲介を続けてきた運営者として見てきた限りでは、フォームまわりの相談で長く頼りにされる人は、スパムを止める設定をして終わりにしません。しきい値を決めた理由や、キーをどこに保存したかを依頼者に渡せる形で書き残し、担当者が替わっても運用が止まらないように整えています。目立たない作業ですが、こうした引き継ぎのしやすさが、次の依頼につながる信頼になっています。

依頼する側と受ける側が直接やり取りできる場では、仲介の手数料が引かれない分、同じ予算でも頼める作業の幅が広がり、受ける側の手取りも厚くなります。フォームの改善のように、小さな修正を何度も重ねていく仕事では、この差が長い付き合いの続けやすさにつながります。

よくある質問

Q. reCAPTCHAは無料で使えますか？

Googleの案内では、Essentialsの区分なら1暦月あたり最大10,000件の評価まで無料です。この件数は組織ごとの合計で、同じ組織のすべてのサイトの利用が合算されます。無料の範囲でも、Google Cloudに有効な支払い方法を登録しておく必要があるとされています。小さなサイトのフォームなら無料の範囲に収まることが多いものの、ボットに狙われると件数が膨らむので、管理画面で月々の件数を確かめておくと安心です。

Q. reCAPTCHAのv2とv3はどちらを選べばよいですか？

自分のプログラムでスコアを受け取って判断を分けられるならv3、プラグインなどで合格か不合格かだけを扱いたいならv2が扱いやすくなります。Googleはチェックボックスのキーについて、利用者の負担が増えるわりに精度が大きく上がらないとして、おすすめしないと案内しています。新しく導入するなら、まずスコアベースで始め、スコアの分布を見てからしきい値を決める進め方が無理のない方法です。

Q. reCAPTCHAを入れたのにスパムが減らないのはなぜですか？

最も多いのは、サーバー側でトークンを確かめる処理が抜けているケースです。ボットはページを開かずにフォームの送り先へ直接データを送るため、ページの上でreCAPTCHAを動かすだけでは止められません。送信の記録でトークンが空のまま受け付けられている件がないか確かめます。あわせて、人には見えない入力欄や送信の回数制限など、ほかの対策も重ねると効果が上がります。

Q. reCAPTCHAのバッジは消してもよいですか？

Googleのよくある質問では、フォームの近くにreCAPTCHAで保護されている旨の文章と、Googleのプライバシーポリシーと利用規約へのリンクを表示すれば、バッジを隠してよいとされています。何も表示せずにバッジだけを消すのは、案内の条件を満たしません。サイトのプライバシーポリシーでも、reCAPTCHAを使っていることを示しておくのが一般的です。