reCAPTCHAとは？仕組みやスコアの意味、フォーム送信できない原因をわかりやすく解説

Webサイトのお問い合わせフォームや会員登録画面で、「私はロボットではありません」というチェックボックスを見たことはありませんか？

これは、Googleが提供するセキュリティ技術「reCAPTCHA（リキャプチャ）」の代表的な仕組みのひとつです。

reCAPTCHAは、不正なプログラムによる大量送信や迷惑アクセスからWebサイトを守るために利用されています。

一方で、設定や利用環境によっては、実際に人間が操作しているにもかかわらず、フォームの送信が制限される場合もあります。

本記事では、reCAPTCHAの基本的な仕組みから、スコアの意味、セキュリティ設定の注意点、フォーム送信時のトラブルへの対処方法まで、専門知識がなくても理解できるように解説します。

reCAPTCHAとは？Webサイトを守るセキュリティの仕組み

reCAPTCHAとは、Googleが提供する、Webサイトへの不正なアクセスや自動化された操作を検知するための技術です。

例えば、企業のWebサイトには、次のような機能があります。

• お問い合わせフォーム
• 資料請求フォーム
• セミナーの申し込みフォーム
• 会員登録・ログイン画面
• アンケートフォーム

こうした機能は利用者にとって便利ですが、不正なプログラム（ボット）によって悪用される可能性があります。

ボットとは、人間の代わりにインターネット上の操作を自動実行するプログラムのことです。

すべてのボットが悪質なわけではありませんが、中には迷惑メッセージの大量送信や、不正ログインなどを目的とするものも存在します。

reCAPTCHAは、こうした不正な操作を検知し、Webサイトの安全性を高める役割を担っています。

reCAPTCHAにはどんな種類がある？

reCAPTCHAには複数の方式があります。代表的なのが、reCAPTCHA v2とreCAPTCHA v3です。

reCAPTCHA v2：利用者が確認操作を行う方式

reCAPTCHA v2では、「私はロボットではありません」というチェックボックスなどを利用して、正当な利用者であることを確認します。

状況によっては、画像を選択する確認画面が表示される場合もあります。

利用者自身が確認操作を求められることがあるため、セキュリティ対策が行われていることを認識しやすい方式です。

reCAPTCHA v3：操作をスコアで評価する方式

reCAPTCHA v3では、利用者にチェックボックスや画像選択を求めることなく、Webサイト上の操作を分析します。

そして、それぞれの操作に対してスコアを付け、不正なアクセスのリスクを評価します。

例えば、普通にフォームへ入力している利用者にも、プログラムによる自動送信にも、スコアが付けられます。

重要なのは、スコアを算出することと、実際に送信を拒否することは別の処理であるという点です。

スコアを受け取ったWebサイト側が、どのように対応するかを設定します。

reCAPTCHAのスコア「0.0〜1.0」は何を意味する？

reCAPTCHA v3では、0.0から1.0までの数値を使い、操作のリスクを評価します。

基本的な考え方は次のとおりです。

スコア	基本的な意味
0.0に近い	不正な操作の疑いが強い
0.5付近	判断の中間的な領域
1.0に近い	正当な操作である可能性が高い

※実際に返されるスコアの段階は、利用するreCAPTCHAの環境や設定によって異なります。

ここで注意したいのは、スコアが人間である確率を示しているわけではないということです。

例えば、スコアが0.3だからといって「30％の確率で人間」という意味ではありません。

あくまで、操作の特徴から不正利用のリスクを評価した数値です。

reCAPTCHAのスコアとリスクの関係

不正操作の疑いが強い正当な操作の可能性が高い

0.000.250.500.751.00

0.50は基準値の一例

受付基準（しきい値）とは？

スコアによる判定を利用する場合、Webサイト側では「どのスコアを基準に対応を変えるか」を決めることができます。

この基準を「しきい値」と呼びます。

例えば、しきい値を0.5に設定し、0.5未満の送信を拒否する仕組みの場合、次のようになります。

• スコア0.2：送信を拒否
• スコア0.4：送信を拒否
• スコア0.6：送信を許可
• スコア0.9：送信を許可

※これは仕組みを理解するための設定例です。実際の判定条件や対応方法はWebサイトごとに異なります。

GoogleのreCAPTCHA v3の公式資料でも、0.5が初期の基準値の例として紹介されています。

ただし、0.5がすべてのWebサイトに最適というわけではありません。

しきい値を低くすれば問題は解決する？

フォームの送信が拒否されたとき、しきい値を下げれば送信できるようになる場合があります。

しかし、単純に数値を下げることが必ずしも適切な解決策とは限りません。

例えば、しきい値を0.5から0.1に引き下げ、0.1以上を受け付ける設定にすれば、これまで拒否していた低スコアの送信も受け付けるようになります。

その反面、不正なボットによる送信が通過するリスクも高まります。

一方で、しきい値を高く設定しすぎると、正規の利用者まで制限される可能性があります。

企業のお問い合わせフォームでこの問題が発生すると、本来受け取れるはずだったお問い合わせや商談の機会を逃してしまうかもしれません。

つまり、セキュリティ対策を厳しくすればするほど良い、というわけではないのです。

大切なのは、不正なアクセスを防ぐことと、正規の利用者が問題なくサービスを利用できることの両立です。

人間が操作しているのに、低いスコアになることはある？

あります。

reCAPTCHAは人間かボットかを絶対的に証明する仕組みではなく、操作の特徴などからリスクを評価する仕組みです。

そのため、正規の利用者が操作していても、低いスコアが返される可能性があります。

特に注意したいのが、開発中のテスト環境です。

Googleの公式ドキュメントでも、reCAPTCHAは実際のアクセス状況をもとに評価するため、テスト環境と本番環境でスコアが異なる場合があると説明されています。

また、導入初期は十分なアクセスデータが蓄積されていない場合もあります。

そのため、テストで低いスコアが出たとしても、それだけでシステムの設定ミスや不具合と断定することはできません。

AI Mateでの開発事例

AI Mate株式会社でも、AIを活用した診断アプリの開発・検証中に、フォーム送信がreCAPTCHAの判定によって制限される事象を確認しました。

このとき、reCAPTCHAのスコアは0.10、アプリ側で設定していた受付基準は0.29でした。

つまり、スコアがアプリの受付基準を下回ったため、送信が許可されなかったという状況です。

ただし、低スコアとなった具体的な原因については、検証が必要な段階でした。

このように、実際の開発では、フォームそのものが正常に動作していても、セキュリティ判定によって送信処理が止まるケースがあります。

reCAPTCHAが原因でフォーム送信できないときの確認ポイント

フォームが送信できない場合には、次の点を確認することが重要です。

1. reCAPTCHAのスコアと設定値を確認する

まず、どの程度のスコアが返されているのか、サイト側がどの値を基準に判定しているのかを確認します。

スコアの低さが原因で送信を止めている場合は、しきい値の設定と実際のアクセス状況を比較する必要があります。

2. テスト環境と本番環境を区別する

開発中の環境では、本番運用時と異なる評価が行われる可能性があります。

テスト環境だけで問題が発生しているのか、本番環境でも同様の問題が生じているのかを切り分けることが重要です。

3. スコア以外のエラーを確認する

フォーム送信の失敗は、スコアだけが原因とは限りません。

reCAPTCHAの検証トークンには有効期限があり、タイミングや検証方法によってエラーが発生する場合があります。

また、フォーム側の入力チェック、サーバー処理、外部サービスとの連携など、別の原因も考えられます。

4. 低スコアへの対応方法を検討する

低いスコアを返した操作を、すべて一律に拒否する必要はありません。

用途に応じて、追加の本人確認を行う、メール認証を求める、管理者による確認対象にする、といった方法も考えられます。

Googleも、スコアに応じて異なる対応を取る方法を案内しています。

企業のWebサイトでは、セキュリティだけでなく、利用者の利便性や問い合わせ機会への影響も含めて判断することが大切です。

AIやDXの活用でも、セキュリティと使いやすさの両立が重要

近年は生成AIを活用して、問い合わせ対応や診断ツール、社内業務システムなどを構築する機会が増えています。

こうしたシステムでは、機能が完成しただけで導入が成功したとは限りません。

実際の利用者が問題なく操作できること、適切なセキュリティ対策が実装されていること、トラブル発生時に原因を調査できることも重要です。

特に、問い合わせフォームや申し込みフォームは、企業と顧客をつなぐ大切な接点です。

不正な送信を防ぐ仕組みが、正規の利用者の申し込みまで妨げてしまうことのないよう、運用面まで考慮する必要があります。

まとめ：reCAPTCHAは設定して終わりではない

reCAPTCHAは、Webサイトを不正なアクセスから守るために役立つセキュリティ技術です。

特にreCAPTCHA v3では、利用者の操作に応じてスコアを算出し、サイト側で適切な対応を判断できます。

一方で、スコアやしきい値の意味を理解せずに設定すると、正規の利用者まで制限してしまう可能性があります。

重要なのは、次の3点です。

• reCAPTCHAのスコアは、人間である確率ではなく、不正利用のリスクを評価する数値である
• しきい値を安易に変更するのではなく、実際のアクセス状況や設定を確認する
• セキュリティ対策と利用者の使いやすさを両立させる

AIやデジタル技術を導入する際には、システムを作ることだけでなく、安全に、そして利用者が安心して使える状態を維持することが求められます。

AI Mate株式会社では、法人向け生成AI研修やAI活用定着支援を通じて、企業の業務に生成AIを取り入れるための支援を行っています。

生成AIの導入や業務への活用をご検討の際は、お気軽にご相談ください。