2026年10月23日
Studioの事案を受けて、reCAPTCHA v3のキーは差し替える必要がありますか？ reCAPTCHA v3の設定が漏れると何か影響がありますか？ reCAPTCHA v3のキーを再発行する手順は？ 移行先ではreCAPTCHAとCloudflare Turnstileのどちらを使うべきですか？ # Studioの事案を受けて、reCAPTCHA v3のキーは差し替える必要がありますか？ 実際、シークレットキーがあってもフォームの回答は見られません。GoogleアカウントやreCAPTCHAの管理画面にも入れませんし、Studioが送信のたびに行っているGoogleの判定確認も、キーを知っているだけでは通せない仕組みです。ただし、フォームの回答そのものが漏れたかという話は、キーとは別に考えます。
切り替えの目安は2つあります。ひとつはフォームが送信できなくなったとき。もうひとつは、reCAPTCHAの管理画面で心当たりのない利用の増加が見えたときです。管理画面では日ごとの利用状況を確認できるので、事案の前後で数字が急に増えていないかを見ておきましょう。
気持ちの上で落ち着かない場合は、異常がなくても予防として新しいキーへ替えてかまいません。更新作業を行う際は、先に古いキーを消してしまうと問い合わせが届かなくなる点に注意が必要です。
# reCAPTCHA v3の設定が漏れると何か影響がありますか？ 「設定が漏れる」には、外に知られてしまう場合と、設定し忘れや入力ミスの場合があり、起きることが違います。reCAPTCHAでは、ブラウザ側の画面表示や呼び出しに使う公開の「サイトキー」と、サーバー側の裏側で判定結果を照合するための「シークレットキー」という2つの値が対になっています。外に知られて困るのは主にシークレットキーのほうです。
とはいえ、シークレットキーが漏えいした疑いがあっても、過去に届いた問い合わせの回答文を第三者に閲覧されたり、Googleのアカウントや管理画面を勝手に操作されたりする事態は防がれています。Studio側でも送信の都度システムが判定結果を照合しているため、キーを知られただけでスパム送信のチェックを無条件で素通りされるわけでもありません。
一方で生じうる実際の影響は、フォームの利用停止トラブルです。悪意のある第三者が不正に入手したシークレットキーを使ってGoogleへ大量の検証リクエストを送りつけた場合、サービスの利用上限枠が使い切られてしまい、正規の訪問者がフォームから問い合わせを送信できなくなる事態が考えられます。被害が出たと発表されているわけではなく、あくまで起こりうる話として示されていました。
また、Studioでキーやドメイン、しきい値を間違えると、フォームの送信が正しく完了しなくなります。しかもこの設定はプロジェクト内のすべてのフォームにかかるので、1か所の打ち間違いで問い合わせも資料請求も止まってしまいます。キーを替えた直後に送信テストを省くと、流出よりこちらのほうが痛手になりやすいですね。
# reCAPTCHA v3のキーを再発行する手順は？ 「キーの再発行といっても、管理画面のどこからやり直せばいいのか迷ってしまう」という声は少なくありません。reCAPTCHAには既存のキーをその場で更新するボタンはなく、管理コンソール上で新しいサイトとして登録を追加する手順を踏むことになります。
Studioで使う場合の流れは次のとおりです。
GoogleのreCAPTCHA管理画面でサイトを新規登録し、種類にreCAPTCHA v3を選ぶ ドメイン欄に公開サイトのドメインと preview.studio.site を入れる 発行されたサイトキーとシークレットキーを控える Studioの［ホーム］＞［Apps］＞［Google reCAPTCHA v3］で、サイトキー・シークレットキー・しきい値を書き換えて保存する ライブプレビューと公開サイトの両方からフォームを送ってみる 届いたのを確かめてから、管理画面で古いキーを削除する 細かな画面の説明はStudioのreCAPTCHA v3設定ガイド にまとまっています。同じキーをほかのサイトでも使っているなら、そちらの設定も同時に書き換えてください。なお、ドメイン設定を変更した場合は、反映までに最大30分ほどかかる場合がある点も頭に入れておくと作業を落ち着いて進められます。
もうひとつ、Studio側の「連携解除」とGoogle側の「キー削除」は別の操作です。Google側のキーはそのまま残るので、不要になったキーは管理画面から完全に削除しておきます。
# 移行先ではreCAPTCHAとCloudflare Turnstileのどちらを使うべきですか？ Studioから別のCMSやサーバーへ移行する際、スパム対策には実績のあるreCAPTCHAと、使い勝手で注目されるCloudflare Turnstileのどちらを選ぶのが良いのでしょうか。どちらでもフォームは守れますが、移行先の作り方で手間が変わります。
reCAPTCHA v3は、操作の様子を0.0〜1.0のスコアで返します。1.0に近いほど人の操作らしく、0.0に近いほどボットらしいという見方です。しきい値は0.5から始め、実際のアクセスを見ながら調整できます。利用者に画像選択やチェック操作を求めない利点がある一方、しきい値の調整を誤ると正規の問い合わせまで弾いてしまう難しさがありますね。
一方、Turnstileは、サイトの通信がCloudflareを通っていなくても使えます。ドメインのDNSをCloudflareへ移す必要はありません。無料プランでは1アカウントあたり20ウィジェット まで作れます。ここで数えるのはサイト数や認証回数ではなく、ウィジェットの数です。
注意したいのは実装の手間です。Turnstileはページにウィジェットを埋め込むだけでは足りず、サーバー側で受け取ったトークンを検証する処理まで用意します。WordPressならSimple CAPTCHA with Cloudflare Turnstile を使えば、Cloudflareで発行したキーを入れ、守りたいフォームを選んで保存し、APIの応答テストをするだけで動きます。
WordPressとContact Form 7へ移るなら、慣れたreCAPTCHA v3を新しいキーで入れ直すのがいちばん手早いでしょう。Googleのサービスを減らしたい、Cloudflareをすでに使っているという人にはTurnstileが合っています。
こんな聞き方も StudioのreCAPTCHA v3設定は移行先でどうすればいいですか？ studio recaptcha 移行 reCAPTCHA v3のキーも変更しなければいけませんか？ reCAPTCHA v3の設定が漏れると何か影響がありますか？ Studioの事案を受けて、reCAPTCHA v3のキーは差し替える必要がありますか？ studio recaptcha 差し替え 必要 移行先ではreCAPTCHAとCloudflare Turnstileのどちらを使うべきですか？ turnstile recaptcha 比較 reCAPTCHA v3のキーを任意で再発行する手順は？ Contact Form 7でreCAPTCHAを設定するには？ あわせて知りたい（関連する疑問） Q Contact Form 7でreCAPTCHAを設定するには？ WordPress管理画面の左メニューにある「お問い合わせ」から「インテグレーション」を開くと、reCAPTCHAの欄があります。ここで「インテグレーションのセットアップ」を押し、Googleで取得したサイトキーとシークレットキーを貼り付けて「変更を保存」を押せば設定は終わりです。手順の画面はContact Form 7のreCAPTCHA説明 で確認できます。
キーを取るときは、reCAPTCHAの登録画面で種類にv3を選び、移行先サイトのドメインを入れます。キーは登録したドメインとそのサブドメインでしか動かないので、本番のドメインを入れ忘れるとフォームが送れません。
このときに使うキーですが、サイトのドメインが変わらない移転であれば、既存のキーの設定画面で移行先サーバーのドメインが含まれているか確かめるだけで済む場合もあります。ただ、Studioの事案でシークレットキーが知られたおそれがある以上、移行を機に新しいキーを作るほうが気持ちよく使えるでしょう。あわせて、Google側でドメインの登録内容を書き換えた際は、変更が全体へ行き渡るまでに最大30分ほど要することがあるため、設定直後に焦らず少し待ってから送信確認を行うのがコツですね。
Q reCAPTCHA v3のキーも変更しなければいけませんか？ 「WordPressや別サービスへサイトを引っ越すにあたって、reCAPTCHAのキーまで新しく作り直さなければいけないのだろうか」と判断に迷う場面は多いものです。すべての運営者がキーを作り直さなければいけないわけではありません。Studioの発表でも、事案に伴う一律の差し替えは求められておらず、問い合わせフォームが正常に動いていて管理画面のアクセス数にも異常が見られないなら、そのまま運用を継続しても差し支えないとされています。
ただし、シークレットキーは利用者の認証結果をサーバー間で安全に検証するための大切な秘密情報です。Studio上で保管されていたデータに含まれていた以上、少しでもセキュリティ面での気がかりを解消したい場合は、予防措置として新しいキーを発行しておくのが賢明でしょう。
また、移転先のドメイン設計とも関係してきます。Studio用に登録していた preview.studio.site は、Studioを離れれば要らなくなります。移行先で新しいドメインを使う場合や、過去の環境に紐づいた不要なドメイン登録を整理したい場合は、引っ越しのタイミングに合わせてキーを新しく作り直したほうが管理もすっきりしますね。
Q reCAPTCHAを外すとスパムは増えますか？ reCAPTCHAを完全に外してしまった場合、問い合わせフォームに届くスパムメールは一気に増えてしまうのでしょうか。外したらどれくらい増えるという実測の数字は公表されていませんが、守りが一枚なくなるのは間違いありません。
reCAPTCHA v3は、フォームを不正な送信から守るために入れるものです。もし連携を解除して保護を外すと、画面右下の保護ロゴが消えるだけでなく、サーバー側での正当性検証も行われなくなります。そのため、フォームのURLを機械的に探して無差別に広告や怪しいリンクを送りつけてくるボットの送信を遮断できなくなる恐れが生じます。
移行先でreCAPTCHAの管理を続けたくない場合は、単に外して放置するのではなく、代替となる防御策をあらかじめ用意しておくのが無難です。たとえばContact Form 7などの環境であれば、Cloudflare Turnstileを組み込むプラグインを追加するなど、別の認証ツールへ切り替えることでスパムの急増を抑えられますね。
Studio側で連携を解除したら、ライブプレビューと公開サイトの両方で、ロゴが消えていることとフォームが送れることを確かめます。ただ、送れたからといってスパム対策が効いているわけではありません。
Q reCAPTCHAの差し替えとAPIキーの差し替えはどちらが先ですか？ 「事案への対応やサイトの移行作業を進める中で、外部連携のAPIキーとreCAPTCHAのキーはどちらから先に手を付けるべきか」と作業の順序に迷う現場は多いはずです。公式に順番が示されているわけではありませんが、外部サービスのAPIキーとWebhookのURLを先に片付けるのが筋でしょう。
というのも、Studioの事案のお知らせ は、今回の事案についてreCAPTCHA v3のキーの一律差し替えを求めていないためです。逆に、APIキーは外部サービスへ接続するための鍵で、悪用されればそのサービス上のデータや操作に届きます。
具体的な作業順序は、どの認証情報であっても共通の原則があります。Google CloudのAPIキー運用ガイド でも案内されている通り、新しいキーを発行し、利用側の設定を更新した上で、最後に古いキーを削除または失効させるという流れです。Webhookの通知URLも、Studioの設定を新しいURLに替え、テスト送信で通知が届くのを見てから、通知先のサービスで古いURLを止めます。古いURLを先に止めると通知が届かなくなるので、順番は崩さないでください。
まずは外部連携のAPIキーやWebhookのURLを再発行して正常なデータ連携を確かめ、その後にreCAPTCHAのキー更新や移行先での再登録へと進むと、フォームの停止トラブルを起こさずに作業を完結させられますね。
前のQ&A Studioで作ったデザインはFigmaやHTML／CSSに書き出せますか？次のQ&A Studioから移行したあと、飲食店のメニュー写真は自分で差し替えられますか？
