技術記事

「reCAPTCHA を導入したのに、問い合わせフォームに営業メールが届く」

「Cloudflare の bot 対策を入れても効果が薄い」

──多くの企業がこの悩みを抱えています。

実は reCAPTCHA は「ボットを止める」ことはできても「営業メールそのものを止める」ことはできません。

本記事では reCAPTCHA・Cloudflare Turnstile などの代表的なボット対策の仕組みと限界、そして根本的な解決策となるAI判定（FormGuard）との違いを解説します。

reCAPTCHA はそもそも何を守っているのか

reCAPTCHA は Google が提供する、不正アクセス・スパム送信を防ぐためのボット判定サービスです。バージョンによって動作が異なります。

reCAPTCHA v2（チェックボックス型）

「私はロボットではありません」のチェックボックスをクリックさせる古典的な方式。マウス操作の自然さや過去の挙動から人間／ボットを判定します。一方で、自動化ツールによる突破手段が広く出回っており、現在では十分な防御力とは言えません。

reCAPTCHA v3（スコア型）

ユーザーには見えない裏側で行動パターンを解析し、0.0〜1.0 のスコアで「人間らしさ」を判定します。一定スコア以下を弾く方式によりv2 より高度ですが、巧妙なツールには突破されるケースが残ります。

Cloudflare Turnstile

Cloudflare が提供する代替サービス。ユーザーへの操作要求がほぼゼロで導入できる点が魅力ですが、防御の本質は reCAPTCHA と類似しています。

なぜ営業メールが reCAPTCHA を突破するのか

① CAPTCHA 突破サービスが流通している

有料の CAPTCHA 解決サービス（人海戦術型・AI型）が存在し、低コストで突破可能。営業代行業者はこれらを業務に組み込んでいます。

② 「人間が送っている」営業が増えている

クラウドソーシングで雇われた人間が、リスト通りに各社のフォームへ手動送信する形態が広がっています。これは bot ではないため、reCAPTCHA でも完全に弾けません。

③ ヘッドレスブラウザ＋自動化ツール

Puppeteer や Playwright のようなツールを使い、本物のブラウザを自動操作する手法。reCAPTCHA v3 のスコアも比較的高く出やすく、突破されやすいです。

④ 信頼できるIPアドレスのプロキシ

家庭用回線を使った住宅プロキシなど、信頼できるIPから送信することでスコアを稼ぐ手法もあります。

reCAPTCHA の決定的な弱点

reCAPTCHA・Turnstile などのボット対策は、「機械的な送信か」を判定する仕組みです。送信元が「人間」であれば、内容が営業メールでも通過します。問い合わせフォーム経由の営業メールには、実は人間が送るパターンが多く含まれているため、ボット対策だけでは根本的な解決にならないのです。

AI判定（FormGuard）との違い

AI判定型のサービスは、「誰が送ったか（人かボットか）」ではなく「内容が営業メールかどうか」を判定します。送信元の人間／ボットを問わず、本文の文脈・文体・常套句から判別するため、reCAPTCHA とは根本的に異なるアプローチです。

FormGuard の判定の仕組み

• Google Gemini AI（gemini-2.5-flash）でメール本文を解析

• 0〜100 のスパムスコアを算出

• pass / block / review の3段階で判定

• 判定理由も記録され、後から確認可能

• カスタムルール（特定キーワード・送信者・ドメイン）で補強できる

reCAPTCHA との違い 早見表

• 判定対象：reCAPTCHA = 送信主体 / FormGuard = メール内容

• 人間が送る営業：reCAPTCHA = 通過 / FormGuard = ブロック可能

• ユーザー体験：reCAPTCHA = チェックや待ち時間あり / FormGuard = ユーザーは何もせず

• 導入：reCAPTCHA = フロントエンドにスクリプト追加 / FormGuard = フォーム送信先を変えるだけ

• 運用：reCAPTCHA = 一度設定すればそのまま / FormGuard = AIが学習・判定理由を確認可能

  
  

両者を併用するのがベスト

reCAPTCHA と FormGuard はそれぞれ守備範囲が異なるため、併用が最も効果的です。

• reCAPTCHA：単純なボット送信・自動化ツールを弾く第一の防御線

• FormGuard：reCAPTCHA を突破した（または人間が送った）営業メールをAIで判定して止める第二の防御線

この二段構えにより、「人間か？ボットか？」と「営業か？本物の問い合わせか？」の両軸で防御できる体制が整います。

導入の優先順位

すでに reCAPTCHA を導入済みの企業

営業メールが止まらない場合、原因はボット送信ではなく内容ベースのフィルタ不足。FormGuard を追加して内容判定を強化するのが効果的です。

これから対策する企業

まずは reCAPTCHA v3 や Turnstile で第一の防御線を作り、同時に FormGuard で内容ベースの判定も導入。両方同時のほうが運用が安定します。

まとめ｜「ボット対策」と「内容判定」は別の軸

reCAPTCHA は素晴らしい技術ですが、営業メール対策の観点では限界があります。送信主体の判定（reCAPTCHA）と、内容の判定（FormGuard）を組み合わせることで、フォームから届く営業メールを大幅に減らせます。AI判定型の FormGuard は月額500円で、既存の reCAPTCHA との併用も可能。営業メール対応の負担を減らしたい方はぜひご検討ください。