2025年末までに必須！Google CloudへreCAPTCHAキーを安全に移行する手順と代替ツール

2024年にGoogleから発表された重要な変更により、reCAPTCHAのキー管理がGoogle Cloudプロジェクトに統合されることが決まりました。
これまでサイトオーナーや開発者は、reCAPTCHA管理画面（https://www.google.com/recaptcha/admin）から直接キーを発行・管理していましたが、今後はGoogle Cloudプロジェクトを通して行う必要があります。

そして、移行の期限は2025年末。
この期限までに対応しないと、既存のreCAPTCHAキーが正しく機能しなくなる可能性があります。

この記事では、

なぜ移行が必要なのか？
期限を過ぎるとどうなるのか？
移行の手順と注意点

をわかりやすく解説していきます。WebサイトにreCAPTCHAを導入している方は、早めに準備を進めておきましょう。

「2025年末までに移行してください」の通知が届いたら？
1. Googleからのメール文面と背景を解説
  1. 背景とその目的
2. なぜ移行が必要？理由とGoogleの狙いとは
reCAPTCHAキーの移行手順（具体的ステップ）
よくある質問自動移行と自分で移行を選ぶ判断基準
reCAPTCHAの代替ツール
まとめ：今すぐ対応したい理由と次のステップ

「2025年末までに移行してください」の通知が届いたら？

Googleからのメール文面と背景を解説

「2025年末までにすべての reCAPTCHA キーを Google Cloud プロジェクトに移行してください」
この記事を見ている方はこのようなメール届いたと思います。

背景とその目的

1. Google Cloud への統合管理

従来、reCAPTCHAキーは“reCAPTCHA 管理画面”（Classic）で発行・管理されていました。
しかし、セキュリティ強化と運用の一元化のため、Google Cloud プロジェクト内での一括管理に移行する必要が出てきました。
これにより、ログ・監査・アクセス制御などの高度な機能が使えるようになります。

2. 統一された利用規約と料金体系

移行により、reCAPTCHAの利用条件や課金ルールがGoogle Cloudの一般的な構造に統一され、10,000リクエスト／月までは無料、超過時のみ課金される明確な仕組みに整理されます。

3. 自動 vs 手動移行の選択肢提供

Googleは、対象キーを自動的に移行する対応も予定していますが、どのプロジェクトに属させるかを自分で管理したいユーザーに対しては手動移行も可能にする柔軟性を提供しています。

4. 移行後も既存コードが動作する安心感

既存のインテグレーションコードはそのまま有効で、動作変更や再配置の必要は基本的にありません。
ただし、Enterpriseの最新機能を使う場合はバックエンド実装の更新が必要になります。

なぜ移行が必要？理由とGoogleの狙いとは

2025年末までに「reCAPTCHAキーをGoogle Cloudプロジェクトに移行してください」とGoogleから案内が来ているのは、単なる仕様変更ではなく、セキュリティと管理体制を強化するためです。

従来のreCAPTCHAキーは、Googleアカウントと紐づけられたシンプルな管理方式でした。
しかし、運用が長くなるにつれ以下のような課題が出てきました。

キーの管理が煩雑になる
複数サイトやサービスでキーを利用している場合、どのキーがどこで使われているか分かりづらく、セキュリティリスクが高まっていました。
不正利用や漏洩リスクへの対応が不十分
万が一キーが流出した場合、利用範囲を特定して制御することが難しく、セキュリティ上の問題が生じる可能性がありました。
Google Cloudサービスとの統合不足
近年、Googleはサービスを「Google Cloud」に集約し、より高度な分析・管理ができる環境を整えています。
reCAPTCHAもこの流れに合わせ、Google Cloudプロジェクトのリソースのひとつとして一元管理できるようにするのが狙いです。

Webサイトのセキュリティ対策は年々高度化が求められているため、GoogleとしてもreCAPTCHAの運用も曖昧なままにせず、責任の所在をGoogle Cloudプロジェクト単位で明確にすることを重視しているようです。

reCAPTCHAキーの移行手順（具体的ステップ）

ここからは、Googleが推奨するreCAPTCHAキーをGoogle Cloudプロジェクトに移行する具体的な流れを解説します。
手順は大きく分けて以下の通りです。

1.Google Cloud プロジェクトを準備する

まず、Google Cloud Console（https://console.cloud.google.com/）にアクセスします。
既存のプロジェクトを利用するか、新しく「reCAPTCHA用」のプロジェクトを作成しましょう。
複数サイトでreCAPTCHAを使っている場合、整理のために専用プロジェクトを作るのがおすすめです。

2.reCAPTCHA Enterprise API を有効化する

作成したプロジェクトで「APIとサービス」→「ライブラリ」に移動します。
「reCAPTCHA Enterprise API」を検索して有効化してください。
これにより、今後のキー管理がGoogle Cloud上で行えるようになります。

3.既存のサイトキー・シークレットキーを確認する

これまで使用していた reCAPTCHA管理画面にログインし、登録済みのキーを確認します。
「サイトキー」と「シークレットキー」の両方をメモしておきましょう。

4. キーをGoogle Cloudに移行する

Google Cloudの「セキュリティ」→「reCAPTCHA Enterprise」から「キーの作成または移行」を選択します。
「既存のreCAPTCHAキーを移行」を選び、先ほど確認したキーを入力します。
ドメインや設定を確認し、移行を完了させます。

5. サイト側のコードを変更しなきゃいけない？

すでに導入済みの サイトキー（Site Key） と シークレットキー（Secret Key） はそのまま使えます。
WordPressプラグイン（Contact Form 7やInvisible reCAPTCHAなど）も基本的に変更不要です。
Google Cloudに紐付けた後も、認証の仕組み自体は従来通り動作します。

よくある質問自動移行と自分で移行を選ぶ判断基準

reCAPTCHAキーの移行には、Googleによる自動移行と自分で手動移行の2つの方法があります。
どちらを選ぶべきかは、利用環境や管理体制によって変わってきます。

自動移行を選んでも良いケース

Google Cloudのプロジェクトをすでに利用していて、請求や権限の設定が問題なく整っている
サイトやサービスでreCAPTCHAを基本的な設定でしか使っていない（カスタマイズが少ない）
管理者が複数おらず、シンプルに移行を済ませたい
移行にかかる工数を最小限にしたい

このような場合は、Googleが案内する自動移行に任せても大きな問題はありません。

手動移行を選んだ方が良いケース

複数のサイト・サービスでreCAPTCHAを利用している
複数人でGoogle Cloudを利用しており、権限管理が複雑
移行後の課金設定やAPIキーの管理方法を細かく制御したい
移行を機にセキュリティや権限の棚卸しをしたい

特に複数サイトや組織単位での利用では、手動移行によってどのキーをどのプロジェクトに割り当てるかを明確に管理した方が、後のトラブルを防ぎやすいです。

判断の目安

「小規模・単独管理」 → 自動移行
「複数サイト・組織管理」 → 手動移行

移行自体は大きな作業ではありませんが、後々の運用コストやトラブル回避を考えると、自分の管理体制に合った方法を選ぶことが重要です。

reCAPTCHAの代替ツール

費用面などから「Google reCAPTCHAを使い続けるのは難しい」「移行が面倒」という場合、他のセキュリティツールを検討する方法もあります。
reCAPTCHAと同様に、ボットやスパムからフォームを保護できるサービスはいくつかありますが、その中でも無料で使えてよさそうなのは「Cloudflare Turnstile（クラウドフレアターンスタイル）」でした。

Cloudflare Turnstile（クラウドフレアターンスタイル）とは？

Cloudflare Turnstileは、ユーザーに負担をかけずにボットやスパムからウェブサイトを保護する、新しい認証ツールです。
従来のGoogle reCAPTCHAのように、画像選択やチェックボックスの操作をユーザーに強いることなく、裏側でボット判定を行うのが特徴です。

主な特徴

無料で利用可能
- Turnstileは完全無料で利用でき、評価回数の上限もありません。
- Google reCAPTCHAの無料枠が10,000リクエストに制限されたのに対し、Turnstileなら無制限で運用可能です。
ユーザー体験を損なわない
- Turnstileはユーザーの操作をほとんど必要とせず、自動的にアクセスを評価します。
- クリックや画像認証の手間がないため、フォーム送信時の離脱を防ぎやすいです。
プライバシー重視
- Google reCAPTCHAのようにユーザーの行動データを収集せず、プライバシーへの配慮が強化されています。
- GDPRやCCPAなどの個人情報保護規制にも対応しやすい設計です。
簡単に導入可能
- Cloudflareアカウントを持っていれば、既存のウェブサイトにTurnstileを簡単に設置できます。
- JavaScriptのコードを1～2行追加するだけでフォームに組み込むことが可能です。
自動スコアリング
- Turnstileはアクセス元の情報を解析し、自動的にボットかどうかを判断します。
- 必要に応じて、管理画面で疑わしいアクセスを確認・ブロックすることもできます。

Cloudflare Turnstileの導入方法

アカウントの作成とウィジェットの設定

１．Cloudflareの公式サイトにアクセスし、無料アカウントを作成します。

２．Cloudflareの管理画面にログインし、「Turnstile」を開きます。
※英語なのでブラウザの翻訳機能を使いましょう。

３．画面右上の［Add widget］をクリックします。

４．ウィジェット名を入力し、［+ Add Hostnames］をクリックしてサイトのドメインを登録します。
※ウィジェット名は自分がわかるように任意の名前で大丈夫です。

５．右下の［Create］をクリックして、サイトキーとシークレットキーを取得します。

サイトへの実装手順

１．WordPressのプラグイン「Simple Cloudflare Turnstile」をインストールします。

２．設定画面でサイトキーとシークレットキーを入力します。

３．対象となるフォームを選択し、Turnstileを適用します。
Contact Form7も指定可能です。

４．最後に「応答テスト」を実行して設定完了です。
※応答テストは必ず行ってください。
※ドメイン追加時に「ドメインが無効です」と表示され、以下の画面にならない場合は、Turnstile側で設定を確認してください。
※Trunstileの設定の反映に時間がかかる場合があります。上手くいかない場合は、少し時間を置いてください。

５．「成功！TurnstileはこれらのAPIキーで正しく動作します。」のメッセージが出たら完了です。