このドキュメントでは、WAF 用 reCAPTCHA の概要と、ウェブ アプリケーション ファイアウォール（WAF）サービス プロバイダとの統合について説明します。
reCAPTCHA は、WAF レイヤでサービスとしてデプロイされるプラグインを提供します。これにより、WAF を使用してスパムや不正行為からサイトを保護できます。高度なリスク分析技術を使用して、正当なリクエストと不正なリクエストを区別します。
WAF 用 reCAPTCHA の統合
reCAPTCHA は、WAF レイヤでの bot 検出を担うプラグインを提供し、ウェブサイトやサービスにアクセスする自動アクティビティを検出、阻止、管理します。
WAF 用 reCAPTCHA は、次の WAF サービス プロバイダと統合されます。
- Google Cloudの組み込み WAF: Google Cloud Armor
- サードパーティの WAF サービス プロバイダ: Fastly Edge Compute、Cloudflare Workers
アプリケーションまたはサービスへのアクセスを制御するために、WAF サービス プロバイダは、条件に基づいてトラフィックをフィルタするポリシーと呼ばれる一連のルールを使用します。条件には、受信リクエストの IP アドレス、IP 範囲、リージョン コード、リクエスト ヘッダーなどがあります。Cloud Armor はセキュリティ ポリシーを使用します。
WAF 用 reCAPTCHA は、WAF サービス プロバイダとやり取りして、次の処理を行います。
- エンドユーザーは、WAF 用 reCAPTCHA で保護された HTML アクションをトリガーします。
- reCAPTCHA JavaScript クライアントは、reCAPTCHA の評価と関連する属性を含む暗号化されたトークンを発行します。
- reCAPTCHA トークンは、フォローアップ リクエストに添付されます。
WAF サービス プロバイダがこのトークンを解読します。トークン属性と構成されたセキュリティ ルールに基づいて、WAF サービス プロバイダは受信リクエストを許可、ブロック、またはインタースティシャル チャレンジ ページにリダイレクトします。
次の図は、WAF サービス プロバイダが WAF 用 reCAPTCHA とやり取りして、スムーズな評価を行う方法を示しています。
WAF 用 reCAPTCHA 統合を使用するタイミング
この統合は、アプリケーションがすでに WAF の背後にあり、reCAPTCHA ポリシーの変更をフロントエンドとバックエンドのコードから切り離す場合に使用します。
利点
WAF 用 reCAPTCHA の統合には、次の利点があります。
- 統合は WAF レイヤで行われるため、バックエンド サーバーコードを変更する必要はありません。
- WAF 用 reCAPTCHA の統合では、JavaScript クライアント統合（セッション トークンと課題ページのキー用）を動的に挿入できるため、フロントエンド JavaScript を変更する必要はありません。また、クライアントがまったく必要ない場合もあります（エクスプレス キーの場合）。
- ネットワークのエッジで bot トラフィックが軽減されるため、保護されたバックエンドの負荷が軽減されます。
- Google Cloud Armor セキュリティ ポリシーは、保護されたアプリケーションへのアクセスルールを効率化します。
次のステップ
- WAF 用 reCAPTCHA によって提供される機能について学習する。