CAPTCHA ソルバーとは何か、いつ使うべきか

CAPTCHA ソルバーは、チャレンジが要求する結果を生成するサービスまたはツールです。応答トークン、Cookie のセット、画像内のテキストのいずれかです。それ自体がアクセス権を得るわけではありません。結果は、テスト許可を得たサイトのフローで送信し、そのサイトがサーバー側で検証します。

このガイドでは、こうしたツールが実際に行うこと、代表的な提供形態の違い、そして適切でなくなる境界を説明します。

ソルバーが返すもの

Cloudflare Turnstile や Arkose FunCaptcha のようなトークン型では、フォームと一緒に送信する文字列です。DataDome、Akamai、Imperva のような Cookie 型では、Cookie のセットで、生成時と同じ出口 IP と同じ User-Agent でのみ有効です。画像チャレンジでは認識されたテキストです。

いずれも恒久的な資格情報ではありません。トークンは失効し、Cookie はセッション文脈に紐づき、ある IP で通った結果が別の IP では失敗します。

API・ブラウザー拡張・人手サービス

• ソルバー API：サーバー側で無人実行。チャレンジのパラメーターでタスクを作成し、結果をポーリングして自分のテストコードに戻します。CI で再現でき、タスク単位で計量でき、監査も可能です。
• ブラウザー拡張：対話的。人が自分のブラウザーでチャレンジを通過する補助をします。ヘッドレスのテストで再生できず、実行環境にも依存します。
• 人手・クラウドソーシング：人が代行します。遅く、監査が難しく、テストデータの流れに制御できない第三者を追加します。

回帰テストでは、パイプラインに組み込めるのは API 形態だけです。他の二つは人の単発作業を解くもので、テストスイートの反復作業には向きません。

許可されたテストでの使いどころ

• 自社のボット対策設定が正常なフローを受け入れることを確認する回帰テスト。
• トークンや Cookie がフロントエンドからバックエンドへ正しく渡るかのステージング確認。
• 自分が管理するページでの不具合報告の再現。
• 実際のチャレンジ所要時間における、自社連携の性能と再試行の検証。

いずれも許可が前提です。自社サイト、ステージング環境、または自動テストを明示的に許可した案件に限ります。許可なく第三者サイトへ使うことは、テストではありません。

見込んでおくべき限界

• 検出の変化：チャレンジ提供事業者は継続的に変更します。成功率は変動し、種類によっては一時的に利用できません。
• 所要時間：ソフト処理枠は通常 90〜180 秒です。ブロッキングではなくポーリングを設計します。
• uncertain 状態：クライアントのタイムアウトは失敗を意味しません。タスク ID を保持して照会を続け、重複作成しないでください。
• 文脈の紐づけ：Cookie 型の結果は、生成時の IP と User-Agent と組み合わせた場合のみ有効です。
• 費用：成功タスク単位の課金です。大量実行の前に再試行回数と予算を制限します。
• 規約と法令：提供事業者の規約と各国のルールが適用されます。まず許可、次にツールです。

公式テストキーかソルバーか

自社のウィジェットをテストする場合は、まず提供事業者のテストキーを使います。Cloudflare は Turnstile のテスト用 sitekey と secret を公開しており結果は決定的です。Arkose にも同等のフィクスチャがあります。無料で揺らがず、単体テストや CI に適しています。

有料のソルバーが必要になるのは、被測対象が実際のチャレンジフローの場合です。たとえば、バックエンドが本物のトークンを受け入れるか、再試行ロジックが実際のチャレンジに耐えるかの検証です。この判断は Turnstile テストガイド で詳しく扱っています。

次のステップ

作成とポーリングの流れは クイックスタート、大量実行前の料金は リアルタイム料金、種類ごとの必須項目は各リファレンスを参照してください。Python で連携する場合は Python クライアントの例 に、コピーして使える完全なサンプルとタイムアウト復帰の説明があります。