CAPTCHA不要へ。Cloudflareとブラウザ3社が新プロトコル
ウェブを閲覧するたびにバスや信号機の画像を選ばされる、あの煩わしさが終わるかもしれない。Cloudflareが現地時間6月22日、Google Chrome、Microsoft Edge、Mozilla Firefoxの開発元と共同で新プロトコルPACT（Private Access Control Tokens）の開発を発表した。CAPTCHAやログインの強制に頼らず、「この訪問者は正当だ」とブラウザが匿名で証明する仕組みだ。ECプラットフォームのShopifyも加わり、標準化に向けて提出する方針だ。
ボットが過半数を占めるウェブに、答えが要る
背景にあるのは、ウェブの交通量そのものの変質だ。6月3日、Cloudflare CEOのマシュー・プリンス（Matthew Prince）氏がCloudflare Radarのデータを公開した。HTMLコンテンツへのHTTPリクエストのうち、ボットによるものが約57.5%、人によるものは約42.5%。ウェブのページ閲覧トラフィックで、初めて機械が人を上回った。プリンス氏自身、この逆転は2027年末と予測していた。18か月早い到来だ。
原因はAIエージェントの爆発的な増加にある。人がカメラを比較するとき開くタブは5つほどだが、同じ作業をAIエージェントに任せれば数千ページを数秒で巡回する。1人の意図が、数千件のリクエストに変換される。この非対称性が、ウェブの交通量を塗り替えた。
サイト運営者にとって、これは頭痛の種だ。正当な訪問者なのか、データを無断で収集するスクレイパーなのか、判別する手段が追いついていない。従来のCAPTCHAはAIが人より高い正答率で突破する。ログインを強制すれば離脱率が上がる。フィンガープリンティング（ブラウザの環境情報からユーザーを特定する手法）に頼ればプライバシーが犠牲になる。どの選択肢も、何かを差し出さなければ使えない。
PACTの仕組み
PACTが提案するのは、「人間性の証明」を匿名トークンとして受け渡す仕組みだ。ユーザーとの関係を通じて「この人は実在する」と把握しているサイトが、匿名のトークンを発行する。ブラウザはそのトークンを保持し、別のサイトを訪れたときに提示する。受け取ったサイトはトークンを検証し、CAPTCHAもログインも求めずにアクセスを許可する。
Cloudflareの説明では、トークンにはユーザーの個人情報は含まれない。閲覧履歴の追跡やユーザーの特定にも使えない設計だという。「この人は正当な訪問者です」という無記名の証明書を、ウェブ全体で使い回す発想だ。
この考え方自体は初出ではない。IETFが2024年6月に標準化したPrivacy Pass（RFC 9576）が技術的な下敷きにあり、Appleは2022年からiOS/macOSでPrivate Access Tokensとして、デバイスのSecure Enclaveを使った類似の仕組みを実装している。Cloudflare自身も、すでにPrivacy Passを同社のボット管理製品のシグナルとして利用している。
PACTの新しさは2つある。1つは、主要3ブラウザの開発元がそろって対応を表明したこと。もう1つは、人だけでなく「正当なAIエージェント」のトラフィックも対象に含めた点だ。注文や予約をユーザーの代わりにこなすAIエージェントが増える時代に、「人かボットか」という二者択一は意味をなさなくなる。必要なのは「正当か不正か」の判定で、PACTはそこに軸を移した。
各社の思惑
CloudflareのCTOデーン・ネクト（Dane Knecht）氏は、食事の注文を例に挙げた。かつてはメニューを自分で見て、決済画面を自分で操作していた。今はAIエージェントがその一連の作業を代行し始めている。既存のセキュリティツールはこの変化に対して粗すぎる、というのが同氏の認識だ。
Shopifyが参加しているのも示唆的だ。同社のディスティングイッシュドエンジニア、イリヤ・グリゴリク（Ilya Grigorik）氏は、ECにおける不正検知の誤判定の問題を挙げた。セキュリティ上の確認が1つ余計に入るだけで、購入が途中で放棄される。正当な客まで阻んでしまう摩擦が、売り手にも買い手にもコストを強いている。
MozillaのFirefox CTOボビー・ホリー（Bobby Holley）氏は「自動化されたトラフィックの雪崩」がサイトに鈍重な防御手段を強いている現状を指摘し、プライバシーを守りながら利用者にとってはるかに快適な仕組みを作れると述べた。MicrosoftのEdge Webプラットフォーム担当エリック・アンダーソン（Erik Anderson）氏も、オープンウェブ全体への展開を見据えた標準策定に意欲を示している。
残された問い
CAPTCHAが消えること自体は、ほとんどの利用者にとって朗報でしかない。だが、PACTがもたらす構造には見過ごせない論点がある。
最大の問いは、「人間性」を証明するトークンを誰が発行するのか、その権限がどこに集中するのかだ。Cloudflareは「人間性について強い知識を持つサイト」がトークンを発行すると説明している。具体的に何がその条件を満たすのかは、まだ詳しく語られていない。仮にGoogleアカウントやMicrosoftアカウントへのログインが実質的な「人間性の証拠」として機能するなら、巨大プラットフォームがウェブ全体の「信頼の起点」を握ることになる。
もう1つは、トークンを取得できない利用者の問題だ。Chrome、Edge、Firefoxを使っている大多数にとってPACTは透明に機能するだろう。だがTorブラウザや、主要ブラウザに属さないソフトウェアの利用者はどうか。トークンが得られなければ、そのまま「信頼されないトラフィック」として扱われるリスクがある。ウェブが「歓迎される訪問者」と「歓迎されない訪問者」に分かれる仕組みは、すでにファイアウォールやWAFで存在している。だがそれがブラウザのレベルで標準化されれば、境界線はこれまでより明確になる。
トークン自体に個人情報が含まれないとしても、既存のフィンガープリンティングやIPアドレスによる追跡は別途存在し続ける。PACTがそれらを無効化するわけではない。「プライバシーを守るプロトコル」という看板と、ウェブの追跡インフラが並存する現実は、PACTの展開後も変わらない。
展開時期は未定。標準化団体への提出と、数十億のブラウザセッションで動く仕様への落とし込みには時間がかかる。今回の発表は「開発の約束」であり、「完成した仕組み」ではない。
それでも、ボットが人を追い越したウェブに対して、Cloudflareと3大ブラウザの開発元が足並みをそろえた事実は軽くない。CAPTCHAの時代が終わりに向かっていることは確かだ。問われているのは、その先に何を建てるかだ。「信頼のトークン」を発行する権限が少数の手に集まるとき、オープンウェブは開いたままでいられるのか。その答えは、仕様書の中ではなく、実装と運用の中で出る。
参照元
関連記事
- Chrome 150でuBlock Originの回避策が完全終了へ
- Chromeには指紋採取対策がない、30手法が今日も稼働中
- Firefoxが開発ロードマップを公開。152の新機能も多数
- スマホ広告が兵士の居場所を売っていた
- Edge「仕様」撤回、起動時のパスワード平文展開を修正へ
- Chrome設定から消えた「データを送らない」の一文
- MozillaがChromeのPrompt API搭載に反対、ウェブの中立性に懸念
- Firefox 150.0.1配信、Relay無料枠が10倍に
- OpenAIがCodexに「クロニクル」——Windows Recallの轍を踏むか
- Claude Desktopが無断で架ける、7ブラウザへの橋
