WordPressのスパム対策にCloudflare Turnstileを入れる方法｜ログイン・コメント欄を無料で守ろう

WordPressのログイン画面やコメント欄には、人間ではなく自動プログラム（ボット）による大量のアクセスが届きます。パスワードの総当たりや、スパムコメントの投稿が典型です。

その対策として使えるのが、Cloudflareが提供する無料の確認の仕組み「Turnstile（ターンスタイル）」です。この記事では、WordPressプラグイン「Simple CAPTCHA with Cloudflare Turnstile」を使った導入の流れと、無料プランの範囲、つまずきやすい点を整理します。

先にポイント

1. Turnstileは無料で使えます。Cloudflareのアカウントは必要ですが、サイト自体をCloudflareに移す必要はありません。
2. 必要なものは「サイトキー」と「シークレットキー」の2つです。Cloudflareで作り、プラグインの設定画面に入力します。
3. シークレットキーは人に見せないのが鉄則です。記事やスクリーンショットにも載せないようにしましょう。

なお、この記事のプラグイン画面は、Simple CAPTCHA with Cloudflare Turnstile 1.44.0（2026年10月時点）のものです。実際のキーを使った動作確認は行っていないため、キーを入れたあとの挙動は、公式の説明をもとに書いています。

Turnstileとは？ reCAPTCHAとの違い

Turnstileは、「あなたは人間ですか？」をWebサイトの訪問者に確認する、Cloudflareの無料サービスです。ブラウザ側でのチェックが中心で、追加の確認が必要な場合も、公式の説明では画像や文字を読み取らせることはなく、ボックスを選ぶだけで済みます。

確認の見せ方（ウィジェットのモード）は3種類あります。

• Managed（マネージド）：Cloudflareが状況を見て判断します。追加の確認が必要なときだけ、チェックボックスを押してもらいます。公式のおすすめです。
• Non-Interactive（非インタラクティブ）：確認中のスピナーが表示されますが、訪問者が操作することはありません。
• Invisible（非表示）：何も表示されずに裏側で確認します。このモードを使う場合は、Cloudflareのプライバシー追補（Turnstile Privacy Addendum）をサイトのプライバシーポリシーで参照する必要があります。

迷ったときは、公式がすすめているManagedで十分です。

無料プランでできること

個人のブログや小規模なサイトなら、無料プランの範囲で足ります。Cloudflareの公式ページでも、Cloudflareの他のサービスを使っていなくてもTurnstileだけで利用できると説明されています。

導入の流れ

導入は、大きく次の3段階です。

1. Cloudflareで「ウィジェット」を作り、サイトキーとシークレットキーを手に入れる
2. WordPressにプラグインを入れ、キーを入力する
3. Turnstileを有効にするフォームを選んで保存する

手順1：Cloudflareでキーを作る

Cloudflareのアカウントを持っていない場合は、先に無料のアカウントを作成します。ここは必ずご自身で行ってください。その後は、Cloudflareの公式ドキュメントにある次の流れです。

1. Cloudflareのダッシュボードで「Turnstile」のページを開きます。
2. 「Add widget（ウィジェットを追加）」を押します。
3. ウィジェット名（例：ログインフォーム）、使うドメイン（ホスト名）、モード（Managed／Non-Interactive／Invisible）を入力・選択します。
4. 「Create（作成）」を押すと、サイトキーとシークレットキーが表示されます。

サイトキーは公開される情報で、シークレットキーはサーバー側だけで使う秘密の値です。シークレットキーは安全な場所（パスワードマネージャーなど）に保管してください。

ドメインには、WordPressを公開しているドメインを指定します。公式のドキュメントでも、ウィジェットは自分が管理するドメインだけに限定することがすすめられています。

手順2：プラグインを入れてキーを入力する

WordPressの管理画面で「プラグイン」→「新規追加」を開き、「Simple CAPTCHA with Cloudflare Turnstile」を検索してインストールし、有効化します。WordPress公式ディレクトリでは、有料版のない無料のプラグインと説明されていて、20万以上のサイトで有効化されています（2026年10月時点）。

有効化すると、管理画面の「設定」メニューに「Cloudflare Turnstile」が追加されます。ここを開き、一番上の「APIキーの設定」に、手順1で作ったサイトキーとシークレットキーを貼り付けます。

プラグインの公式の説明では、キーを入力して保存したあと、設定画面の「TEST API RESPONSE」ボタンを押して、Turnstileの応答が正しく返ってくるかを確認することになっています。

その下の「一般設定」では、次のような項目を変えられます。

• テーマ：ライト、ダーク、自動から選べます。
• 言語：自動検出のほか、日本語などを選べます。
• 送信ボタンを無効化：オンにすると、Turnstileの確認が終わるまで送信ボタンが押せなくなります。

このほかに「高度な設定」「ホワイトリスト設定」「フェイルセーフ設定」の項目があります。

手順3：保護するフォームを選ぶ

同じ設定画面の「フォームでTurnstileを有効化する」で、Turnstileを出したいフォームにチェックを入れます。標準のWordPressフォームでは、次の4つが選べます。

• WordPressログイン
• WordPress登録
• WordPressパスワードリセット
• WordPressコメント

このほかに、Contact Form 7、WooCommerce、WPForms、Gravity Formsなど、多くのフォーム系プラグインにも対応しています。対応するプラグインを入れていれば、設定画面に項目が表示されます。

まずはログインとコメントの2つに絞るのがおすすめです。そのうえで、問題なく動いたことを確認してから、他のフォームを増やすと切り分けが簡単です。

2段階認証とあわせて使う

Turnstileは「ボットを減らす」仕組みで、「ログインした人が本人かどうか」を確かめるものではありません。目的が違うので、置き換えではなく組み合わせて使えます。

プラグインの公式ページには、ほとんどの2段階認証プラグインと互換性があると書かれています。2段階認証のやり方はWordPressのログインに2段階認証を入れる方法で、サーバー側も含めた全体の対策はWordPressがPHPの攻撃を受けたときの対策で紹介しています。

つまずきやすい点・注意点

• キーの入力ミスに注意する：サイトキーとシークレットキーを取り違えないよう、貼り付けるときに確認しましょう。入力したあとは、設定画面の「TEST API RESPONSE」ボタンで確認できます。
• ログインできなくなったときの備えをしておく：キーの設定を間違えたままログインフォームに有効化すると、自分もログインできなくなる可能性があります。設定中は、別のブラウザで管理画面にログインしたままにしておくと安心です。
• キャッシュ系プラグインとの相性を確認する：WordPress公式ディレクトリのレビューには、LiteSpeed Cacheを有効にするとコメント欄のウィジェットが表示されなくなったという、利用者1人の報告があります。最新版（1.44.0）の更新履歴には、LiteSpeed Cacheなどとの互換性を改善したと書かれていますが、キャッシュ系のプラグインを使っている場合は、設定後にログイン画面とコメント欄の表示を確認しましょう。
• 変更前にバックアップを取る：手順はWordPressの変更前に取りたいバックアップで解説しています。
• プライバシーポリシーを確認する：Invisibleモードを使う場合は、前述のとおりCloudflareのプライバシー追補への言及が必要です。

よくある質問

まとめ

Cloudflare Turnstileは、無料で導入できるボット対策です。Cloudflareでキーを作り、プラグインに入力し、ログインとコメントのフォームに有効化する、という流れで設定できます。

最初はログインとコメントに絞って導入し、問題なく動くことを確認してから範囲を広げましょう。設定前のバックアップと、シークレットキーの保管だけは忘れないでください。