Before you start
サポートされているサードパーティーCAPTCHAプロバイダーの統合を利用するには、プロバイダーの構成情報が必要です。詳細については、「サードパーティーCAPTCHAプロバイダーの統合を構成する」をお読みください。
ボット検知を構成する
- ［Dashboard］>［Security（セキュリティ）］>［Attack Protection（攻撃防御）］に移動し、［Bot Detection（ボット検知）］ を選択します。
-
［Detection（検知）］ セクションでトグルを有効にします。
リスク評価用のテナントログを有効にするトグルが表示されない場合は、プランのアップグレードが必要な可能性があります。 -
［Response（応答）］ セクションで、ボット検知応答を選択します。
認証チャレンジの使用中は、［Fail open（失敗で開く）］ トグルはデフォルトで無効になっています。
ボット検知のためのデフォルトの応答であるAuth Challenge（認証チャレンジ）は、強固なプライバシー保護と優れたユーザーエクスペリエンスを備えた、CAPTCHAのないWebエクスペリエンスを提供します。ダッシュボートにもあるように、このログインエクスペリエンスにはJavascriptが必要です。Javascriptを使用しないことがログインエクスペリエンスの要件である場合は、Simple CAPTCHAを選択してください。 -
パスワードフロー、パスワードレスフロー、およびパスワードリセットフローでCAPTCHAを必須にしたい場合は選択してください。
- ［Never（求めない）］ ：ユーザーに対してログイン時にCAPTCHAの完了を一切求めません。
- ［When Risky（リスクがある場合）］ ：ユーザーに対して、ログインが ［Bot Detection Level（ボット検知レベル）］ 設定と一致する場合にのみ、CAPTCHAの完了を求めます。
- ［Always（常に）］ ：ユーザーに対してログイン時に常にCAPTCHAの完了を求めます。
-
［When Risky（リスクがある場合）］ か ［Always（常に）］ を選択すると、［CAPTCHA Providers（CAPTCHAプロバイダー）］ フィールドが ［Response（応答）］ セクションに表示されます。［Auth Challenge（認証チャレンジ）］ （Auth0提供）、［Simple CAPTCHA（シンプルCAPTCHA）］ （Auth0提供）、またはサポートされているサードパーティープロバイダーの統合（外部でのセットアップと登録が必要）を選択してください。
- ［Auth Challenge（認証チャレンジ）］ か ［Simple CAPTCHA（シンプルCAPTCHA）］ を選択する場合は、操作はこれだけです。ログインエクスペリエンスがJavaScriptをサポートしていない場合は、［Simple CAPTCHA（シンプルCAPTCHA）］ を選ぶ必要があります。
- サードパーティープロバイダーの統合を選択する場合は、続けてプロバイダーの構成の詳細を入力します。詳細については、「サードパーティーCAPTCHAプロバイダーの統合を構成する」をお読みください。
- ［When Risky（リスクがある場合）］ を選択すると、［Bot Detection Level（ボット検知レベル）］ フィールドが ［Response（応答）］ セクションに表示されます。ユースケースに適したセキュリティレベルを選択してください。詳細は、「ボット検知レベルを構成する」をお読みください。
- ［Save（保存）］ を選択します。
ボット検知レベルを構成する
- ［Low（低）］ ：ボットアクティビティの可能性が高い場合にCAPTCHAがトリガーされ、実際のユーザーには比較的負担が少なくなります。
- ［Medium（中）］ ：デフォルト。ボットアクティビティの可能性が中程度の場合にCAPTCHAがトリガーされ、実際のユーザーにはセキュリティと負担のバランスが取れたエクスペリエンスが提供されます。
- ［High（高）］ ：ボットアクティビティの可能性がわずかにある場合にCAPTCHAがトリガーされ、実際のユーザーにはセキュリティは強化されますが、負担が大きくなる可能性があります。
信頼できるIPアドレスにボット検知の迂回を許可する
- ［Dashboard］>［Security（セキュリティ）］>［Attack Protection（攻撃防御）］に移動し、［Bot Detection（ボット検知）］ を選択します。
- ［IP AllowList］ フィールドに、ボット検知をバイパスするIPアドレスおよび/またはCIDRレンジを入力します。アドレス・範囲が複数ある場合は、カンマで区切ります。
カスタムログインページやクラシックログインエクスペリエンスにサインアップ検知モデルを構成する
- ［Dashboard］>［Security（セキュリティ）］>［Attack Protection（攻撃防御）］に移動し、［Bot Detection（ボット検知）］ を選択します。
- ［Detection Models（検知モデル）］ セクションを見つけます。
- ［Signup detection models for custom and classic login pages（カスタムおよびクラシックログインページのサインアップ検知モデル）］ トグルを有効にします。
制約と制限
フローの制限
| フロー | 制限 |
|---|---|
| ユニバーサルログイン | デフォルトで対応 |
| クラシックログイン（カスタマイズなし） | デフォルトで対応 |
クラシックログイン（__Lock__テンプレートを用いたカスタムログインページ) | lock.js SDKバージョン12.4.0以降の使用で対応 |
| クラシックログイン（__カスタムログインフォーム__テンプレートを用いたカスタムログインページ） | auth0.js SDKバージョン9.24以降を使用し、CAPTCHAやreCAPTCHAチャレンジを処理するようにコードを拡張している場合に対応 |
| ネイティブアプリケーション | 以下のSDKの使用で対応：
|
| 通常のWebまたはネイティブアプリケーションでリソース所有者のパスワードフローを使用 | 制限付きで対応。CAPTCHAなど、ボット検知の応答は対話型フローが必要なため非対応。SDKがrequires_verificationエラーを返した場合は、Webベースのログインフローをトリガーしてユーザーの認証を完了させる必要がある。 |
Auth0がホストしていないフローでlock.js SDKまたはauth0.js SDKを使用してクロスオリジン認証（co/authenticateエンドポイント）を行う | 非対応 |
接続タイプの制限
| 接続タイプ | 制限 |
|---|---|
| データベース | フロー制限の表が示すように、ログインが互換性のあるログインフローを使用する場合に対応されます。 |
| カスタムデータベース | フロー制限の表が示すように、ログインが互換性のあるログインフローを使用する場合に対応されます。 |
| Active Directory/LDAP | フロー制限の表が示すように、ログインが互換性のあるログインフローを使用する場合に対応されます。 |
| エンタープライズ | 非対応です。 |
| ソーシャルログイン | 非対応です。 |
| パスワードレス | フロー制限の表が示すように、ログインが互換性のあるログインフローを使用する場合に対応されます。 |