メインコンテンツにスキップ

ログインページのCAPTCHAプロバイダー比較: CasdoorにおけるreCAPTCHA、hCaptcha、Turnstile、GeeTest、Alibaba Cloud

· 1分読む
Yang Luo
Yang Luo
Casdoor Maintainer

グローバルインターネット上のほとんどのサインインおよびサインアップページでは、Cloudflare Turnstileが最も簡単な選択です。無料プランにはチャレンジ回数の上限がなく、デフォルトモードではリスクのある訪問者にのみチェックボックスが表示されます。ユーザーの多くが中国本土にいる場合は、CloudflareはTurnstileが同地域でサポートされていないと述べているため、代わりにAlibaba Cloud CaptchaまたはGeeTestを使用してください。外部サービスなしでcaptchaを動作させる必要がある場合は、Casdoorの組み込み画像captchaを使用してください。Casdoorはこれらのすべてに加え、Google reCAPTCHA (v2およびv3) と hCaptcha を captcha providers としてサポートしており、アプリケーションごとにcaptchaを表示するタイミングを選択できます。

比較表​

以下の価格と利用可能性は、各ベンダー自身のサイトで2026-11-02に確認しました。ベンダーが数値を公開していない場合、推測する代わりにその旨を表に記載しています。

プロバイダーユーザーが見るもの非表示モードデータとプライバシー無料枠と価格中国本土Casdoor タイプ
Casdoor default画像から5桁を入力いいえCasdoorサーバーによって生成・検証され、第三者関与なし無料、Casdoorの一部動作可能、外部呼び出しなしDefault
Google reCAPTCHA v2チェックボックス; 一部のユーザーには画像チャレンジが表示されるv2には不審なトラフィックのみをチャレンジする非表示バリアントもあるGoogle; リスク分析用に _GRECAPTCHA クッキーを設定Essentials tier は組織あたり月間10,000アセスメントまで無料; Premium は100,000件まで固定$8、以降1,000件あたり$1Googleは www.google.com にアクセスできない場合 www.recaptcha.net を使用することを推奨reCAPTCHA, reCAPTCHA v2 (checkbox)
Google reCAPTCHA v3Nothing; returns a score (Casdoor rejects scores below 0.5)YesSame as v2Same as v2Same as v2reCAPTCHA v3
hCaptcha無料プランでは画像チャレンジ付きのチェックボックスProではパッシブモード("99.9% passive")、EnterpriseではCAPTCHAなしモードを提供無料プランはGDPR、CCPA、LGPD、PIPLに準拠していると主張; EU-U.S. Data Privacy Frameworkに認証済みBasicは無料; Proは月額$139(または年間一括払いで月額$99)で100,000評価を含み、以降1,000件あたり$0.99; Enterpriseは営業経由hCaptchaによる公式声明なしhCaptcha
Cloudflare TurnstileManagedモードは必要な場合にのみチェックボックスを表示Non-interactive および Invisible widget モードCloudflareは必要最小限のデータのみを処理し、フォーム入力を読み取らないと主張; Cloudflareプロキシ不要Free plan: チャレンジ無制限、最大20ウィジェット; Enterpriseは営業経由Cloudflare: "Mainland China ではサポートされていません"Cloudflare Turnstile
GeeTest CAPTCHA v4ワンクリック、スライドパズル、テキストクリック、マッチスリーv4製品ページに記載なし中国のベンダー; 製品固有のプライバシーポリシー公開価格表なし; 30日間の無料トライアル後、営業経由中国のベンダーGEETEST
Alibaba Cloud Captcha 2.0ワンクリック、スライダー、ジグソー、画像復元Standard および Enterprise エディションで Traceless モードを提供Alibaba Cloud上で実行従量課金: 中国本土では1回あたり0.005 CNY、海外では0.007 CNY; サブスクリプションエディションやリソースパッケージも利用可能はい; Casdoorは上海リージョンのエンドポイントに対して検証を実行Aliyun Captcha

reCAPTCHAに関する2つの注記。GoogleはreCAPTCHAをGoogle Cloud Fraud Defenseに移行し、Essentials、Premium、Enterpriseティアを用意しています。無料枠の10,000アセスメントはGoogle Cloud組織全体でプールされています。Casdoorは標準的な siteverify エンドポイントを介してサイトキーとシークレットキーでreCAPTCHAと通信し、ブラウザスクリプトとサーバー側検証の両方において google.com ではなく recaptcha.net からスクリプトを読み込みます。

どれを選ぶべきか​

グローバルSaaS​

Cloudflare Turnstile から始めましょう。無料プランではチャレンジ回数が計量されず、Managedモードによりほとんどのユーザーはクリック操作を行う必要がありません。また、サイトをCloudflare経由にする必要もありません。すでにGoogle Cloud上で運用しており、reCAPTCHAのリスクシグナルを活用したい場合は、reCAPTCHA も適していますが、10,000件の無料アセスメント制限に注意してください。繁忙なサインインページやSMSポンピング攻撃により、この制限を1日で超過する可能性があります。hCaptcha も一般的な選択肢ですが、無料プランでは常にチャレンジが表示され、パッシブモードは有料です。

中国本土にユーザーがいるアプリ​

Cloudflareの公式ドキュメントによると、Turnstileは使用できません。reCAPTCHAについては、Googleは www.google.com に到達できない場合の代替ドメインとして www.recaptcha.net を記載しており、Casdoorもこれを使用していますが、依存する前にユーザーのネットワーク環境からテストすべきです。hCaptchaは中国に関する声明を公表していないため、同じアドバイスが適用されます。

安全な選択肢は Alibaba Cloud Captcha と GeeTest です。Alibaba Cloudは1回あたりの料金を公開しており、従量課金で開始できます。そのtracelessモード(Casdoorでは Popup サブタイプを使用)は、Turnstileのような非表示体験に近いものです。GeeTestは30日間のトライアル後に営業チームを通じて販売されます。1つのCasdoorインスタンスで中国とその他の地域両方にサービスを提供する場合、アプリケーションには1つのcaptchaプロバイダーしか設定できないため、異なるcaptchaが必要な場合はオーディエンスを2つのアプリケーションに分割してください。

EUのプライバシー重視のユーザー​

すべてのホスト型CAPTCHAは、訪問者のブラウザに関するデータをベンダーに送信します。法的チームがサインイン経路に第三者を一切含めたくない場合、CasdoorのデフォルトCAPTCHAは、すべてを自社のサーバー内に留める唯一の選択肢です。ホスト型のうち、TurnstileとhCaptchaはいずれもプライバシーを製品の一部として説明しています（それぞれ、チェックに必要なデータに限定する、GDPRおよびEU-米国のData Privacy Frameworkに従う）。reCAPTCHAは_GRECAPTCHACookieを設定します。Googleは、www.recaptcha.netから配信することで、www.google.comが設定する可能性のある他のCookieを回避できると明記しています。どれを選択する場合でも、プライバシーポリシーに記載してください。

セルフホスト、イントラネット、またはオフライン環境​

デフォルトのCAPTCHAを使用してください。キーや外部ネットワークアクセスが必要ないため、エアギャップ環境でも動作します。オフィスネットワーク上のユーザーには表示されず、パブリックインターネットからのリクエストには表示されるように、以下のInternet-Onlyルールと組み合わせて使用してください。

デフォルトのCAPTCHAは、歪んだ数字の画像のみであるため、自動化されたソルバーに対してはこのグループ中最も脆弱です。公開されておりトラフィックが多いサインインページでは、多要素認証と組み合わせるか、ユーザーをパスワードレスサインインに移行して、CAPTCHAが遅延させることを目的としているパスワード推測を排除してください。

CasdoorにおけるCAPTCHAの仕組み​

CategoryをCaptchaに設定し、次のいずれかのタイプを持つプロバイダーを追加します： Default, reCAPTCHA, reCAPTCHA v2, reCAPTCHA v3, hCaptcha, Cloudflare Turnstile, GEETEST, または Aliyun Captcha。その後、Providersタブでアプリケーションに追加します。アプリケーションにはCAPTCHAプロバイダーを1つだけ保持できます。Casdoorは2つ目の保存を拒否します。各ベンダーの設定手順はCAPTCHAプロバイダードキュメントにあります。

CasdoorがCAPTCHAを要求する場所​

同じプロバイダーが複数のアクションを保護し、Casdoorはブラウザだけでなくサーバー側でもトークンを確認します：

  • パスワードによるサインイン。
  • サインアップフォームの送信。
  • メールまたはSMSによる確認コードの送信。これは、サインアップ時のコードステップ、パスワード再設定ページ、コードベースのサインインをカバーします。これは、SMS予算を消費するボットに対する保護です。

CasdoorがCAPTCHAを要求するタイミング​

アプリケーション内のCAPTCHAプロバイダーのRuleによって、表示されるタイミングが決まります：

RuleBehavior
None常に無効。CAPTCHAはオフです
Dynamicユーザーのサインイン失敗回数がアプリケーションのFailed signin limitに達した場合のみ
Always毎回
Internet-OnlyパブリックIPアドレスからのリクエストに対して有効。プライベート、ループバック、その他の非パブリックアドレスからは表示されません

Dynamicはサインインにおいて最も優しい設定です。正当なユーザーはチャレンジを見ることがなく、パスワードを推測している人は数回の失敗後にチャレンジが表示されます。ただし、これは既存のアカウントにのみ適用されます。サインアップ時や、まだアカウントが存在しないアドレスへのコード送信ではトリガーされません。サインアップ時のSMSまたはメールの悪用が懸念される場合は、AlwaysまたはInternet-Onlyを使用してください。

ページ上の表示位置​

アプリケーションのサインイン項目において、Captcha項目には独自のルールがあります： Pop upは必要に応じてダイアログでCAPTCHAを表示し、Inlineはページ上に直接配置します。Change the captchaを参照してください。Alibaba Cloud Captchaには追加のSub typeがあります： EmbedはCasdoorのダイアログ内に表示し、PopupはAlibaba Cloud自身のポップアップに制御を渡します。これはtracelessシーンで必要とされるものです。

ルールを有効にする前に、プロバイダーページのPreviewボタンを使用してキーを確認してください。

参考資料​