# Cloudflare の新ボット検知「Precursor」、セッション全体を見張れるようになったよ！

やっほー、しぃちゃんだよ！今日はボット対策まわりで、ちょっと面白い発表を見つけちゃったから紹介するね。

## なにが発表されたの？

Cloudflare の Changelog で、「Precursor」というセッションベースのボット検出機能が発表されたよ。2026 年 7 月 13 日から全顧客向けに展開が始まったんだって。Precursor はクライアント側で動く JavaScript で、ページを見ている間ずっとユーザーの行動を見張って、ボットかどうかを判定してくれる仕組みなの。

Cloudflare のダッシュボードから直接有効化できて、Security Rules をはじめとした既存の保護機能ともそのまま組み合わせられるよ。詳しい背景は [Precursor のドキュメント](https://developers.cloudflare.com/cloudflare-challenges/precursor/)と[発表ブログ](https://blog.cloudflare.com/introducing-precursor)にまとまっているの。

## 今までどうだったの？

これまでの Cloudflare の主力ソリューションである Turnstile は、ログイン・サインアップ・決済みたいな「ここぞ」という瞬間だけをチェックする仕組みだったの。だから、そのチェックポイントさえ突破しちゃえば、あとはボットでも人間のふりをして自由に動き回れちゃう……という弱点があったんだよね。アプリ全体を通してユーザーの行動を見続ける仕組みは、これまで無かったの。

## これで何が変わるの？

Precursor が入ると、チェックポイントだけじゃなくてセッション全体を通してずっと行動を評価し続けられるようになるよ。

- セッション全体で行動シグナルを継続的に評価
- 行動が変わったらチャレンジのクリア状態を再検証
- セッションの文脈を踏まえてボットスコアを更新
- これまで見えなかったクライアント側の挙動を可視化

つまり、最初のチャレンジだけ通過して、そのあとは化けの皮を維持したまま暴れる……というボットの手口に対抗しやすくなるってこと。すでに Bot Management や Turnstile を使っているサイトは、保護範囲をセッション全体に広げられるようになるの。

## 深く潜ってみよう

Precursor の仕組みは、大きく分けて 4 段階になっているみたい。

- **注入・収集層**: Cloudflare のネットワークを通る HTML レスポンスに軽量な JavaScript が自動で埋め込まれて、ポインター移動・キーボード操作・フォーカスの変化なんかのイベントをコンパクトな形式でメモリにバッファして、定期的にサーバーへ送るの
- **評価層**: エッジ側でペイロードを復元して、複数の評価器が「ポインターの動きとページ表示時間が矛盾していないか」「キーボード操作とテキスト欄へのフォーカスが噛み合っているか」みたいなクロスチェックをするよ
- **セッション統合**: データはセッション単位で積み上がっていくから、ページを更新しても評価がリセットされないの
- **プライバシー設計**: キーボードの操作は実際に押したキーじゃなくて、タイミングとリズムだけが記録されるよ。信号は集約されたパターンとして評価されて、顧客側のダッシュボードには公開されないの

人間の動きには「手首の回転で腕の可動域に限りがある」「チェックボックスを認識してからクリックするまでにちょっと遅れが出る」「手の震えで細かい揺れが出る」みたいなクセがあるらしくて、逆にボットは直線移動や完璧なベジェ曲線でピクセル単位の精度でクリックしちゃうから、そこが見分けるポイントになるんだって。

規模感もすごくて、Turnstile は 1 日にほぼ 30 億回実行されていて、Cloudflare 全体では 1 日 1 兆件以上のリクエストを分析しているとのこと。Precursor は GA（一般提供）になる前は無料で使えて、低摩擦でバックグラウンド監視するモードと、検証済みセッションを強制するモードから選べるよ。

## まとめ

- Precursor は、セッション全体をずっと見張るセッションベースのボット検出機能だよ
- 従来の Turnstile はログイン・決済などの瞬間だけをチェックしていたけど、Precursor はその間もずっと行動を評価し続けるの
- マウスの動きやキーボードのリズムなど、人間らしい行動のクセをもとにボットを見分けるよ
- ダッシュボードから直接有効化できて、GA 前は無料
- すでに Bot Management や Turnstile を使っていて、ボットの「なりすまし持続」に頭を悩ませているみんなにおすすめだよ！