【重要】「私はロボットではありません」が有料化？2026年問題とWordPressユーザーが今やるべき対策

Webサイトを運営している皆さん、お問い合わせフォームのスパム対策は大丈夫でしょうか？
WordPressでよく使われている「Contact Form 7」では、Googleが提供しているreCAPTCHA（リキャプチャ）という無料サービスでスパム対策をしている方が多いと思います。「私はロボットではありません」というチェックや、信号機の画像を選ぶアレです。
実はこの reCAPTCHA、2025年末〜2026年にかけて大きな変更があります。ほとんどのWordPressで対策が必要になります。

設定を何も変えずに放置すると、
・フォームが突然動かなくなる
・Googleから不意に請求が来る
・スパムが急増する
といったトラブルが起きる可能性があります。

この記事では、2026年に向けて何が変わるのか、どう対策すれば安心なのか？について、WEBサイト運営担当者が理解できるように解説します。

このページの目次

フォームの安全性を確保するために
さぁ対策案を検討しましょう
結論：2025年のうちに準備しておくのが安全

フォームの安全性を確保するために

何が変わるの？「reCAPTCHA Classic」の終了とは

今、多くの人が使っている reCAPTCHA は、昔の管理画面（旧コンソール）で発行した「Classic版（v2 / v3）」です。

Google reCAPTCHAは2025年末に有料化を予定、これからフォームの安全性をどうやって確保しますか？

「reCAPTCHA（リキャプチャ）」とは、Googleが提供しているサービスで、WEBサイトのメールフォームに設置されているボット対策です。スパムや不正アタックの対策としてもっとも有効と言われている方法なので、ほとんどのWEBサイトに設置されています。このreCAPTCHAが2025年末に実質有料化になるという動きがあります。この対応策を検討しておきましょう。

直近、Google の発表では、この Classic版の管理方式が2025年末で終了 します。

ポイントはここです。

■ 仕様そのもの（v2 / v3）が終わるわけではない

正しくは、

「旧コンソールで発行した鍵（サイトキー）が使えなくなる」
「Google Cloud（新しい仕組み）で再設定が必要になる」

ということです。

つまり今後は、Google Cloud（GCP）という管理画面に移行して使う必要がある
というのが大きなポイントです。

Google Cloud で使う場合の注意点

（ここが多くの人がつまずきます）

Google Cloud に移行した場合、使い方やルールが以前より少し厳格になります。

注意点①：一部の操作に「クレジットカード登録」が必要になる

Google Cloud では、機能によっては請求アカウント（クレジットカードなど）の登録を求められるケースがあります。

ただし、
・無料枠の範囲内で使うだけなら、必ずしも課金は発生しない
・クレジットカード登録が常に必須というわけではない
という点も大切です。

実務上は、「設定手順のどこかでカード登録画面が出ることが多い」というくらいで覚えておくといいと思います。

注意点②：無料枠は「月1万回評価（assessments）」まで

Google Cloud 版の reCAPTCHA は、

月10,000回まで無料
10,000回を超えると、約1,200円〜の課金

という料金体系です。

「10,000回」＝フォーム送信数ではありません

reCAPTCHA はサイト上で動くたびに「評価（assessments）」というカウントが発生します。

v3では、ページを開いたタイミングや、ボタンを押したタイミングでも評価が走ることが多いです。

つまり、
・アクセスの多いサイト
・全ページにreCAPTCHAを読み込んでいるサイト
は要注意です。

この設定のままだと、あっという間に上限を超える可能性があります。

Google Workspace ユーザーでも条件は同じ？

「有料のGoogle Workspaceを使っているから関係ないのでは？」と思う方もいるかもしれません。

残念ながら、reCAPTCHAの扱いは Workspace かどうかは関係ありません。

・無料アカウント
・Workspace アカウント

どちらでも、reCAPTCHA の無料枠やGoogle Cloud移行の手順は同じです。

さぁ対策案を検討しましょう

Googleのまま無料で使うための工夫（上級者向け）

アクセス数の多いサイトでは、reCAPTCHA をページごとに読み込むと無料枠をすぐ超えてしまいます。

そんな場合に使われるテクニックがこちら。

「フォームだけ別サイト」に切り分ける方法

たとえば、
・メインのブログサイト：月2万PV
・お問い合わせ専用サイト：月200PV
と分離すれば、
reCAPTCHA のカウント対象は問い合わせ専用サイトの 200回だけになります。つまり、無料枠（1万回）に余裕で収まります。

実は当社のWordPressは元々このような構造にしてありました。WEBサイト全体としては2万PVくらいありますが、フォームだけのWordPressだと月200PV程度で収まります。この設定だとreCAPTCHAの表示回数が少ないため無料枠で収まるはずです。

そのため、当社はreCAPTCHAを使い続けようと考えています。

※ただし、この方法はサーバー構成や運用の手間が増えるので、中級〜上級者向けです。

最強の代替サービス登場！

完全無料で使える「Cloudflare Turnstile」

「課金は避けたい」
「クレジットカードを登録したくない」
「もっと簡単に設定したい」

という人に、今もっとも人気の代替サービスがこちら。

Cloudflare Turnstile（ターンスタイル）

Turnstile のメリットをまとめると：

完全無料で使える
パズルが表示されない（自動で人間かどうか判定）
クレジットカード不要
広告目的でデータを使われない
WordPress向けのプラグインも充実

特に個人ブログや小規模サイトの人は、Google reCAPTCHA より Turnstile を選ぶケースが急増しています。

問い合わせフォーム（WPFormsプラグイン）のスパム対策CAPTCHAをreCAPTCHA v3からTurnstileに変更

このサイトの問い合わせフォームは、2種類用意している。 WPFormsプラグイン外部サービス「フォームメーラー」（入力→確認→送信ステップ）今回、「フォーム

タスクマザーの中野治美さんがTurnstileの設定について解説しています。これからTurnstileを入れてみようという方は一度じっくりとご覧になってみることをおすすめします。

Contact Form 7 でのTurnstile設定は超かんたん

「設定が難しいのでは？」と思われるかもしれませんが、とてもかんたんです。

手順はたった3ステップ

Cloudflare の無料アカウントを作る
（メールアドレスだけでOK）
サイトキーとシークレットキーを発行する
WordPressに「Simple Cloudflare Turnstile」プラグインを入れ、キーを貼るだけ

これだけで、画像パズルのない快適なフォームになります。

詐欺サイトや悪意のある運営者であっても、Cloudflare Turnstileは非常に簡単に実装できてしまいます。

なぜそのような状況になっているのか、その理由と仕組みをわかりやすく解説します。

Turnstileにも弱点あり

無料で使えて設定が簡単というTurnstileにも弱点があります。それは最近、詐欺サイトがTurnstileを使っていることです。

その理由は以下のとおりです。

1. 導入に「審査」がない

Turnstileを利用開始するために、企業の登記簿を出したり、身元確認（KYC）を行ったりする必要は基本的にありません。

誰でも登録可能: メールアドレスさえあれば、誰でもCloudflareの無料アカウントを作成できます。
即時発行: サイトを登録すれば、すぐにTurnstileを動かすための「サイトキー（コード）」が発行されます。
技術的な簡単さ: 発行された数行のコードをHTMLに貼り付けるだけなので、少し知識がある人なら5分とかからずに設置できます。

このように簡単に手軽に利用できるため、詐欺グループにとってもハードルが非常に低いのです。

2. 詐欺サイトがTurnstileを使う「本当の理由」

詐欺サイトがTurnstileを導入するのは、「安心感を与えるため」だけではありません。「セキュリティ会社のスキャンから逃げるため」というより、別の悪知恵が働いているようです。その目的はクローキングです。

クローキング（隠蔽）: Googleやセキュリティ企業は、自動プログラム（クローラー）を使ってネット上を巡回し、詐欺サイトを見つけてブラックリストに登録しています。詐欺サイト側は、サイトの入り口にTurnstileを設置することで、「人間（カモになる被害者）は通すが、セキュリティ会社の自動クローラー（ボット）はブロックする」という選別を行います。

つまり、詐欺サイトはTurnstileを導入することで、Googleなどの検索エンジンに発見・通報されて閉鎖されるまでの時間を稼いでいるのです。