ライフスタイル

Cloudflare、Turnstile Spinを発表：AIコーディングエージェントがサイトのボット対策導入を代行、AIでサイトを作る運営者に影響

Cloudflareは2026年9月25日、Turnstile Spinを発表した。Claude Code、Cursor、Codexなどのコーディングエージェントが、ユーザーの承認のもとで、ボット対策サービスTurnstileの導入、修正、他のCAPTCHAからの移行を行う。バックエンドの知識がなくても正しく設定しやすくなるとCloudflareは説明しており、AIツールでサイトを作る個人や小規模チームに関係する。

読了目安 9 分

Cloudflare、Turnstile Spinを発表：AIコーディングエージェントがサイトのボット対策導入を代行、AIでサイトを作る運営者に影響
画像：Mokaair (Original editorial artwork)

何が起きたのか

Cloudflareは2026年9月25日、公式ブログでTurnstile Spinの提供開始を発表した。 Cloudflareの説明によると、Turnstileは同社が2023年に投入したプライバシー重視の仕組みだ。訪問者のブラウザ側で確認（チャレンジ）を行い、人間と自動化プログラム（ボット）を見分ける。従来のCAPTCHA（人間かボットかを見分けるためのテスト）とは違い、訪問者にパズルを解かせることは一切ないという。同社によれば無料で利用でき、あらゆるウェブサイトに対応する。Cloudflare経由でトラフィックを中継（プロキシ）する必要もない。 Spinは、このTurnstileの導入を、エージェントの支援によって最初から最後まで完了させる方法である。

Cloudflareによると、Turnstileの導入にはもともと2つの手順が必要だった。 まず、フロントエンド（訪問者が見る画面側）に、確認用の部品である「ウィジェット」を追加する。ウィジェットは確認の結果として「トークン」（確認を受けた証明となるデータ）を発行する。次に、バックエンド（サーバー側の処理）で、そのトークンをSiteverify APIというCloudflareの検証窓口に送り、訪問者がチャレンジを通過したかを確かめる。 同社によれば、Turnstileは通常の平日に約30億回の検証を処理している。最近のある週には、23,000以上のアカウントが新しいウィジェットを作成した。ただし、Turnstileはもともと開発者向けに設計されたものだ。一方で、簡単なボット対策を必要とする人は、日常的にバックエンドのコードを書く人よりはるかに多いという。

Cloudflare、Turnstile Spinを発表：AIコーディングエージェントがサイトのボット対策導入を代行、AIでサイトを作る運営者に影響
Mokaair 編集検証フロー · 画像：Mokaair (Original editorial artwork)
詳しい説明を読む

情報源を収集し、独立検証を行ってから Jev が判断します。

Turnstile Spinの仕組み

Cloudflareによると、Spinの流れは次のとおりだ。ユーザーが保護したい箇所を選ぶと、エージェントが関連するフロントエンドとバックエンドのコードを特定する。次に計画を提示し、ユーザーの承認を待つ。承認後、フロントエンドとバックエンドの両方の組み込みをまとめて完了する。 Spinは次のいずれかの方法で起動できる。 ・Cloudflareのダッシュボード（管理画面） ・Cloudflareのコマンドラインツール「Wrangler」 ・エージェント向けの手順書として公開されている「skill」のURLを、エージェントに貼り付ける

Cloudflareは、Spinがアプリケーションのコードを同社に送信することはなく、Cloudflareがリモートでコードを変更することもないと強調している。実際の変更は、ユーザーが普段使っているエージェント（Claude Code、Cursor、Codexなど）が、ユーザー自身のコードベース内で行う。 同社によれば、アカウントに新たに追加されるのはTurnstileウィジェットだけだ。検証処理は引き続きユーザー自身のバックエンドで行われる。

Turnstile Spinの3つの利用シナリオ（出典：Cloudflare公式ブログ）
状況Cloudflareが説明する方法対象となる人
新規導入サイトにCAPTCHAがない場合、エージェントがフロントエンドにウィジェットを埋め込み、バックエンドにSiteverifyをゼロから接続するサイトを作ったばかりで、ボット対策がまだない人
ウィジェットの修正サーバー側の検証がないウィジェットには、ダッシュボードに「Fix with Spin」が表示される。エージェントは同じシークレットキーを使い、抜けているバックエンドの手順を補う。その間もウィジェットは稼働し続けるTurnstileを導入済みだが、バックエンドの検証が抜けている可能性がある人
CAPTCHAからの移行エージェントが既存のCAPTCHAの目印（マーカー）を検出し、置き換え計画を提示する。適用するのは承認後のみ他のCAPTCHAサービスを使っていて、乗り換えを検討している人

一般ユーザーとサイト運営者への影響

Cloudflareは、AIについて二つの面を指摘している。AIはより多くの人のアプリケーション開発を助けている。一方で、攻撃者にとっても、不正行為を自動化する手段を増やしているという。 Spinの目的は二つある。バックエンドの経験がない人でも正しく設定を完了できるようにすること。そして、経験のある開発者が繰り返し作業を省き、抜けている手順を見つけられるようにすることだ。 AIツールで素早くサイトを作る個人や小規模チームにとっては、ログインや登録などのフォームにボット対策を加えるハードルが下がる可能性がある。

  • 承認する前に、エージェントが提示した変更計画をよく読み、想定したフロントエンドとバックエンドのファイルだけが変更されることを確認する。
  • 導入後は、フロントエンドにウィジェットが追加されただけでなく、バックエンドで実際にSiteverifyによる検証が行われていることを確認する。
  • 他のCAPTCHAを使っている場合は、移行前にCloudflareのドキュメントにあるツール別の移行ガイドを参照するとよい。

初期の利用データと注意点

Cloudflareによると、Spinは7月にダッシュボードで提供が始まった。それ以来、Spinによるウィジェット作成の成功は65,000回を超えた。また、開発者がSpinの生成したプロンプト（エージェントへの指示文）をコピーした回数は30,000回を超えた。 ブログ記事の執筆者であるJules Lemee氏は、Spinはインターン期間中に開発したプロジェクトだと述べている。 なお、上記のデータや機能の説明は、いずれもCloudflareが自ら公表したものだ。Cloudflareによれば、Turnstileは誰でも無料で利用できる。ただし、導入するかどうかは、それぞれのサイトの必要性に応じて判断したい。

よくある質問

Turnstile Spinとは何ですか？

Cloudflareによると、Turnstile Spinは、AIコーディングエージェントの支援でTurnstileを最初から最後まで導入する方法です。ウィジェットの作成、サイトへの埋め込み、バックエンドへのSiteverify検証の追加ができます。不適切に導入されたウィジェットの修正や、他のCAPTCHAからの移行にも対応します。

Spinを使うと、自分のコードがCloudflareに渡されますか？

Cloudflareは渡されないとしています。Spinはアプリケーションのコードを同社に送信せず、Cloudflareがリモートで変更することもありません。変更はあなた自身が使っているエージェントが、あなたのコードベース内で行います。変更の前には、あなたの承認が必要です。

どのAIコーディングエージェントと併用できますか？

Cloudflareはブログ記事の中でClaude Code、Cursor、Codexを例に挙げ、他のエージェントも使えるとしています。

既存のTurnstile設定に問題があるかどうかは、どうすればわかりますか？

Cloudflareによると、同社は各ウィジェットのSiteverify呼び出しを監視しています。ウィジェットが稼働しているのにバックエンドの検証がない場合は、アカウントのTurnstileページに「Fix with Spin」の表示が出ます。

Turnstileの利用は有料ですか？

Cloudflareは、Turnstileは誰でも無料で利用できるとしています。

この記事の情報はどこから来ていますか？

すべてCloudflare公式ブログの記事によるもので、同社が自ら公表した内容です。

このトピックの最新ニュースを見る

同じテーマの記事

最新の旅の情報・ガイド

出典

ライフスタイル