hCaptchaはIntuition Machinesが提供する企業向けボット検知・不正防止サービスで、サイトが登録・ログイン・決済に組み込み、行動ベースの機械学習とZero-PII設計でreCAPTCHAを置き換えます。
このツールを使いましたか？評価してください
hCaptchaは、ウェブサイトやアプリが不正の実際に起きる地点——登録フォーム、ログインページ、決済フロー、API——に組み込むボット検知・不正防止サービスです。バスの写っているマス目をクリックした経験があるなら、それはこの製品の利用者側の末端に触れたにすぎず、あのウィジェットは製品全体で最も小さな部分です。公式サイトは現在、自らをリアルタイムのボット検知、AIエージェント検証、不正防止を束ねる企業向けプラットフォームと位置づけ、一つのパズルで特定の瞬間を塞ぐのではなく、セッション全体を通じて振る舞いを継続的に評価すると説明しています。
背後の企業を知ることが、この製品を理解する鍵になります。hCaptchaは商標を保有するIntuition Machines, Inc.のサービスであり、顧問にはBrave最高経営責任者でJavaScriptの生みの親であるBrendan Eich、カリフォルニア大学バークレー校教授のDawn Songが名を連ねます。この系譜が立ち位置を説明します。狙いは明確にGoogleのreCAPTCHAであり、差異はhCaptchaが広告事業の傘下にないという一点です。アーキテクチャはZero-PIIを掲げ、広告事業に隣接する security 製品が依存するブラウザフィンガープリントなしでも検知は成り立つと主張します。公式の言い回しをそのまま引けば、ブラウザフィンガープリントや個人データに依存する代わりに、活動が正当な利用者の意図を反映しているかを継続的に評価し、同社がAdvanced Threat Signaturesと呼ぶ手法に、行動分析と数千のシグナルから導いたリスクスコアを重ねます。
出自を知っておくことにも意味があります。痕跡が今も残っているからです。Aboutページ自身の説明は、いまだにこの製品を「サイト運営者が収益を得られ、企業がデータのラベル付けを済ませられるreCAPTCHAの代替品」と呼んでいます。パブリッシャーが利用者の解答という人間の労働に対して報酬を受け取り、その労働が学習データを生み出す両面市場だったわけです。企業向けセキュリティプラットフォームはまさにその機構から育ち、両方の半身が今も文書に残っています。
これはアプリではなくインフラです。文章作成アシスタントを契約するように hCaptcha に「登録して使う」人はいません。開発者が組み込み、セキュリティチームが調整し、何百万もの利用者は自ら選んだ覚えのないまま出会います。
h-captchaクラスとdata-sitekey属性を持つ空要素を置きます。script-src、frame-src、style-src、connect-srcに追加してください。とりわけ重要なのは、newassets.hcaptcha.comのような具体的なサブドメインをCSPにハードコードしないことです。使用される資産のサブドメインは時期や地域によって変わり得ます。callback、error-callback、expired-callbackをつないでおけば、送信の瞬間に失敗する代わりにアプリケーションがトークンの失効を穏やかに処理します。無料枠は実在します。hCaptchaは無料のBasic階層、月間の評価枠を同梱し超過分を千回単位で課金するPro階層、そして営業経由で販売されるEnterprise階層を用意しています。無料プランは試用期間ではありません。中核のボット保護、世界的な可用性、掲げられたコンプライアンス体制を含んでおり、小規模サイトやオープンソースのプロジェクトでこのサービスをよく見かける理由がここにあります。
階層の境界は契約前に確かめる値打ちがあります。多くの人が基本だと思っている機能が、実際には基本階層にないからです。リスクスコア、完全パッシブのNo-CAPTCHAモード、APT緩和、企業SLA、SAML SSO、レポーティングAPIはすべてEnterprise専用で、低摩擦のパッシブモードとカスタムテーマ、分析はProにあります。自社ロジックで数値化されたリスクスコアを読む設計なら、トラフィック量に関係なく買うのはEnterpriseです。Proは支払い情報不要の期間限定無料トライアルが用意され、期間終了後は自動的に無料プランへ戻ります。もう一点、精度と費用に関する看板の競争主張には脚注が付いています。費用と精度の見積もりは顧客が報告した比較データに基づく、つまり独立したベンチマークではなく顧客の自己申告だということです。具体的な数値は公式の料金ページでご確認ください。
はい。中核のボット保護、世界的な可用性、掲げられたコンプライアンス体制を含む恒久的な無料枠があり、単なる試用ではありません。有料階層はパッシブモード、分析、リスクスコア、企業向けの管理機能を加え、使用量は評価回数で計量されます。
意図的に容易にしてあります。メソッドはrender()やonload()といったreCAPTCHAの対応物とAPI互換で、theme、size、tab-indexなどの属性も同じように働くため、既存の実装の多くはスクリプトの差し替えと新しい鍵で済み、書き直しは不要です。
主張はそうではありません。Zero-PIIアーキテクチャは個人情報の最小化を指しており、プライバシーポリシーは訪問者が人間かを判断するためにマウスの動きやスクロール位置、キー入力イベントといった行動シグナルを収集すると開示しています。公式の立場は、それが識別された個人とは結び付かないというものです。
プライバシーポリシーはプロンプトへの回答をLabeled Dataに分類し、機械学習の応用のためのデータラベリングに用いるとし、識別された個人とは結び付かないと述べています。セキュリティ機能とは別に、データラベリング市場から出発したこの製品の来歴が表れた箇所です。
ベンダーはGDPRとCCPAへの準拠を支援するとし、ISO 27001、SOC 2 Type II、PCI DSSの認証を維持、EUのデータ移転はデータ処理付属書の標準契約条項で扱うとしています。重要なのは、利用者データの処理が公開のプライバシーポリシーではなくあなたとhCaptchaの契約に従う点であり、義務はあなた自身のデータ処理契約とプライバシー通知に載ります。
部分的には使え、ベンダーはその境界を率直に述べています。テキストベースのアクセシビリティチャレンジと登録制のアクセシビリティクッキーを提供しWCAG 2.2 AAを目標としますが、視覚チャレンジはセキュリティ機能を果たしながら完全にアクセシブルにはなり得ないと明記し、どの配慮を有効にするかはサイト運営者が決めるとしています。
ある程度は、あります。分野全体がそうです。独立した報道は一件あたり一セントに満たない価格の代行解決サービスと、広く使われているCAPTCHAを狙うAI攻撃を記録しており、ベンダーのロードマップがより難しいパズルではなくパッシブな行動検知を重視する理由にもなっています。
常に必要です。ブラウザはトークンを受け取るだけであり、サーバーが検証エンドポイントへ送って確認したうえでリクエストを信頼しなければなりません。クライアントにしか存在しない検査は、そのクライアントを支配する攻撃者に迂回されます。
商標を保有するIntuition Machines, Inc.のサービスです。顧問にはBrave最高経営責任者でJavaScriptの生みの親であるBrendan Eich、カリフォルニア大学バークレー校教授のDawn Songが名を連ね、同社が掲げる専門はディープラーニングと大規模な視覚領域の機械学習です。
ベンダーは世界的な可用性をreCAPTCHAに対する差異として明確に掲げています。reCAPTCHAはどこでも確実に到達できるわけではないためです。2020年にCloudflareが採用した際に挙げた理由の一つでもあり、残る二つは費用とプライバシーへの配慮でした。