BLOG 公式ブログ
ホーム > 公式ブログ > 【初心者向け】Webサイトのセキュリティ対策とreCAPTCHA v3完全ガイド

【初心者向け】Webサイトのセキュリティ対策とreCAPTCHA v3完全ガイド

Webサイトを運営していると、スパムや不正アクセスなどのセキュリティリスクに直面することがあります。特にお問い合わせフォームは、スパムボットの格好の標的となりがちです。

本記事では、Webセキュリティの基礎知識から、Googleが提供するreCAPTCHA v3の仕組みと実装方法まで、初心者の方にもわかりやすく解説します。

1. なぜWebサイトにセキュリティ対策が必要なのか

1-1. スパムボットの脅威

スパムボットは、自動化されたプログラムで、フォームに大量の迷惑メッセージを送信したり、不正なリンクを投稿したりします。これにより以下の問題が発生します：

  • 業務効率の低下：大量のスパムメールの選別に時間を取られる
  • サーバー負荷：不要なリクエストでサーバーリソースを消費
  • セキュリティリスク：フィッシングリンクやマルウェアの拡散
  • 信頼性の低下：コメント欄がスパムで埋まると、サイトの信頼性が損なわれる

1-2. フォーム保護の重要性

お問い合わせフォーム、会員登録フォーム、コメント欄など、ユーザーが情報を入力できる場所はすべて攻撃対象になり得ます。適切な対策を講じることで、正規のユーザーは快適に利用でき、不正なアクセスをブロックすることができます。

2. reCAPTCHAとは

reCAPTCHAは、Googleが提供する無料のボット対策サービスです。人間とボットを区別し、不正なアクセスからWebサイトを保護します。

2-1. reCAPTCHAの歴史

年バージョン特徴
2007年初代reCAPTCHA歪んだ文字を読み取る方式。古書のデジタル化にも貢献
2014年reCAPTCHA v2（No CAPTCHA）「私はロボットではありません」チェックボックス方式
2017年Invisible reCAPTCHAチェックボックスが不要に。バックグラウンドで判定
2018年10月29日reCAPTCHA v3スコアベースの完全自動判定。ユーザー操作一切不要

2-2. バージョンごとの違い

v2（チェックボックス型）

  • 「私はロボットではありません」をクリック
  • 必要に応じて画像認証（信号機、横断歩道など）
  • ユーザー体験に影響あり

v3（スコアベース型）

  • ユーザー操作は一切不要
  • バックグラウンドで行動を分析
  • 0.0〜1.0のスコアで人間らしさを判定
  • UXを損なわない最新の対策

3. reCAPTCHA v3の仕組み

3-1. スコアリングシステム

reCAPTCHA v3は、ユーザーの行動を分析して0.0〜1.0のスコアを返します。

スコア判定推奨アクション
0.9〜1.0ほぼ確実に人間通常処理
0.5〜0.8おそらく人間通常処理（要監視）
0.3〜0.4疑わしい追加認証を検討
0.0〜0.2ボットの可能性大ブロックまたは厳重な確認

3-2. 判定に使用される要素

reCAPTCHA v3は以下のような要素を総合的に分析します：

  • マウスの動き：自然な動きかプログラム的な動きか
  • スクロール挙動：人間らしいスクロールパターンか
  • キー入力：タイピングの速度やリズム
  • ブラウザ情報：一般的なブラウザか、ヘッドレスブラウザか
  • IPアドレス：過去の不正利用履歴
  • クッキー/セッション：Googleアカウントでのログイン状況など

4. reCAPTCHA v3の実装方法

4-1. 準備：APIキーの取得

手順：

  1. Google reCAPTCHA管理コンソールにアクセス
  2. 「+」ボタンで新規サイトを登録
  3. reCAPTCHA タイプで「v3」を選択
  4. 対象ドメインを入力（例：example.com）
  5. 利用規約に同意して「送信」
  6. サイトキーとシークレットキーが発行される

4-2. フロントエンド実装

HTMLに以下のスクリプトを追加します：

<!-- reCAPTCHA v3 読み込み -->
<script src="https://www.google.com/recaptcha/api.js?render=YOUR_SITE_KEY"></script>

<script>
grecaptcha.ready(function() {
  grecaptcha.execute('YOUR_SITE_KEY', {action: 'submit'})
    .then(function(token) {
      // トークンをフォームに追加
      document.getElementById('recaptcha-token').value = token;
    });
});
</script>

<form method="post" action="process.php">
  <input type="hidden" id="recaptcha-token" name="recaptcha_token">
  <!-- その他のフォーム要素 -->
  <button type="submit">送信</button>
</form>

4-3. サーバーサイド検証（PHP）

<?php
$secret_key = 'YOUR_SECRET_KEY';
$token = $_POST['recaptcha_token'];

// Google APIに検証リクエスト
$response = file_get_contents(
  "https://www.google.com/recaptcha/api/siteverify?" .
  "secret={$secret_key}&response={$token}"
);
$result = json_decode($response);

// スコアをチェック（0.5以上なら人間と判定）
if ($result->success && $result->score >= 0.5) {
  // 正常処理
  echo "フォーム送信を受け付けました";
} else {
  // ブロック
  echo "スパムの可能性があります";
}
?>

4-4. WordPressでの実装（Contact Form 7）

Contact Form 7プラグインを使用している場合、簡単にreCAPTCHA v3を導入できます。

方法1：管理画面から設定

  1. WordPress管理画面 → お問い合わせ → インテグレーション
  2. reCAPTCHAの「インテグレーションのセットアップ」をクリック
  3. サイトキーとシークレットキーを入力
  4. 「変更を保存」

方法2：wp-config.phpで定義（推奨）

// wp-config.php に追加
define( 'WPCF7_RECAPTCHA_SITEKEY', 'あなたのサイトキー' );
define( 'WPCF7_RECAPTCHA_SECRET', 'あなたのシークレットキー' );

この方法なら、テーマやプラグインの更新で設定が上書きされる心配がありません。

5. 導入時の注意点

5-1. スコア閾値の調整

デフォルトの閾値（0.5）が厳しすぎる場合や緩すぎる場合は、サイトの特性に合わせて調整しましょう。最初は0.5で運用し、誤検知が多ければ下げる、スパムが多ければ上げるといった調整が効果的です。

5-2. アクション名の設定

複数のフォームがある場合は、アクション名を分けて管理しましょう：

  • お問い合わせフォーム：action: 'contact'
  • ログインフォーム：action: 'login'
  • 会員登録：action: 'signup'

これにより、Google reCAPTCHA管理コンソールでアクションごとの統計を確認できます。

5-3. プライバシーポリシーへの記載

reCAPTCHAを使用する場合、Googleの利用規約により、プライバシーポリシーへの記載が推奨されています。以下のような文言を追加しましょう：

当サイトでは、お問い合わせフォームのスパム対策としてGoogle reCAPTCHAを使用しています。このサービスにより収集されるデータは、Googleのプライバシーポリシーおよび利用規約に従って取り扱われます。

6. まとめ

reCAPTCHA v3は、ユーザー体験を損なわずにスパムボットからWebサイトを守る強力なツールです。

導入のメリット：

  • ユーザーに負担をかけない（操作不要）
  • 高精度なボット判定
  • 無料で利用可能
  • Googleの継続的なアップデート

Webサイトのセキュリティ対策の第一歩として、ぜひreCAPTCHA v3の導入を検討してみてください。

作成: Seeds Brains（ジェイノーム業務支援AI）