「challenges.cloudflare.com のブロックを解除してください」の原因と対処法

「続行するには、challenges.cloudflare.com のブロックを解除してください」（英語の原文は “Please unblock challenges.cloudflare.com to proceed”）は、開いたサイトが Cloudflare のセキュリティ確認で保護されていて、 ブラウザがその確認を Cloudflare の配信ドメインである challenges.cloudflare.com から読み込めなかった ことを示します。原因はたいてい利用者側にあり、広告やスクリプトのブロッカー、プライバシー系の拡張機能、 DNS フィルター、ファイアウォール、VPN のいずれかです。2025 年 11 月 18 日のように Cloudflare 自体の障害が 原因のこともあります。challenges.cloudflare.com を許可して再読み込みすれば解決します。自動化ツールで 同じ表示が出る場合は、ツール自身の設定が確認用スクリプトを遮断しています。

この表示はどこから来るのか

この文は、サイトの Cloudflare ルールが本来のページより先に表示する全画面の確認ページ（「しばらく お待ちください…」、英語では “Just a moment…”）に表示されていました。このページは Cloudflare の チャレンジプラットフォームで動いています。Cloudflare のドキュメントによれば、これはフォームに埋め込む Cloudflare Turnstile と「同じ基盤技術」で、どちらも challenges.cloudflare.com から読み込まれます。 このドメインに到達できないと確認が実行できず、ブロックの解除を求める表示になります。

日本語の文面は利用者のスクリーンショットやブログで広く引用されているもので、Cloudflare の公式 ドキュメントには載っていません。developers.cloudflare.com にもこの文を含むページはありません（2026 年 9 月 30 日に確認）。2025 年 11 月 18 日の Cloudflare の障害では、多くの大手サイトの確認画面に一斉に この表示が出ました。Cloudflare の事後報告によると、障害中は Turnstile が読み込めない状態で、障害は UTC 11:20 から 17:06（日本時間 20:20 から翌 2:06）まで続きました。

現在の確認ページは同じ問題を別の言葉で伝えます。現行のスクリプト（2026 年 9 月 30 日に確認）では、 日本語の画面に「互換性のないブラウザ拡張機能またはネットワーク設定」と表示され、インターネットや ファイアウォールの設定によってデバイスが「challenges.cloudflare.com」にアクセスできないようにブロック されていないか確認するよう求めます。フォームに埋め込まれた Cloudflare Turnstile は同じ状況をエラー コード 200500（“Iframe load error”、iframe の読み込み失敗）として報告し、公式の対処法は challenges.cloudflare.com がブロックされていないか確認することです。

閲覧者の対処法

上から順に試し、そのつどページを再読み込みしてください。

1. ブロッカーを確認する。 Cloudflare のドキュメントには、広告ブロッカーやコンテンツブロッカーが 確認用スクリプトの読み込みを妨げることがあり、スクリプトブロッカーやフィンガープリント対策、Canvas ブロッカーも確認を妨げうると書かれています。拡張機能で challenges.cloudflare.com を許可するか、 そのサイトでは拡張機能をオフにしてください。
2. JavaScript と Cookie を有効にする。 確認には両方が必要です。JavaScript がオフだと、JavaScript と Cookie を有効にするよう求める表示になります。
3. DNS フィルターを確認する。 Pi-hole、NextDNS、AdGuard DNS やルーターのフィルター機能は、 ネットワーク上のすべての端末でこのドメインを遮断することがあります。challenges.cloudflare.com と そのサブドメインを許可してください。Cloudflare は 2026 年 7 月に hagen.challenges.cloudflare.com と brunhild.challenges.cloudflare.com を追加しており、両方の 許可を求めています。
4. VPN やプロキシを外して試す。 Cloudflare は確認に失敗する原因として VPN とプロキシを挙げています。
5. 会社や学校のファイアウォールを確認する。 ドメイン単位でフィルタリングするネットワークでは、 challenges.cloudflare.com を許可リストに入れる必要があります。変更できるのは管理者だけです。
6. 時計を確認する。 端末の時刻がずれていると確認に失敗し、Cloudflare は「デバイスの時刻が正しく ない」旨の表示を出します。
7. Cloudflare の診断ページを使う。 debug.challenges.cloudflare.com で、ブラウザとネットワークが 確認を実行できるかを調べられます。

どれも効かず、多くのサイトで同時に起きているなら、Cloudflare 側の障害かもしれません。設定を変える前に Cloudflare のステータスページを確認してください。

サイト運営者の対処法

自分のサイトの訪問者からこの表示について報告があった場合:

• コンテンツセキュリティポリシー（CSP）。 script-src と frame-src で https://challenges.cloudflare.com を許可するか、Cloudflare が推奨する nonce ベースの方法を使います。 Turnstile は strict-dynamic に対応しています。
• スクリプトは Cloudflare から読み込む。 Cloudflare は api.js をドキュメント記載の URL から そのまま取得するよう求めており、プロキシやキャッシュを挟むと今後の更新時に Turnstile が動かなく なると警告しています。
• アプリの WebView。 公式に挙げられている原因は、JavaScript の無効化、DOM ストレージや Cookie の 非対応、challenges.cloudflare.com へのアクセスの遮断、セッション中の User-Agent の変化です。

自動化ツールにとっての意味

自動化が許可されているサイトでも、スクレイパーやテストで同じ失敗が起きます。原因はたいてい自動化の 設定そのものです。

• リクエストの遮断。 Playwright や Puppeteer では、通信量を減らすためにサードパーティドメインへの リクエストや、スクリプトと画像をまとめて中止する最適化がよく使われます。これは確認用スクリプトも 止めてしまいます。challenges.cloudflare.com とそのサブドメインは通してください。
• 出口ネットワークの制限。 DNS フィルター、社内プロキシ、ドメインの許可リストを持つクラウドの ファイアウォールの内側にあるクローラーも challenges.cloudflare.com に届きません。許可リストに 追加してください。
• JavaScript をまったく実行しない。 curl、requests、Scrapy などの HTTP クライアントは確認を実行 しないので、この表示を見ることもありません。受け取るのは確認ページの HTML で、ステータスは 403、 cf-mitigated: challenge ヘッダーが付きます。ドメインを許可してもこれは変わりません。ページが 求めているのは確認を通過できるブラウザか、ブラウザが得た cf_clearance Cookie です。

次の Playwright の例は、画像とフォントを遮断しつつ Cloudflare の確認は通します。

import { chromium } from "playwright";

const browser = await chromium.launch();
const page = await browser.newPage();
await page.route("**/*", (route) => {
  const request = route.request();
  const host = new URL(request.url()).hostname;
  const cloudflare = host === "challenges.cloudflare.com" || host.endsWith(".challenges.cloudflare.com");
  if (!cloudflare && ["image", "font", "media"].includes(request.resourceType())) return route.abort();
  return route.continue();
});
await page.goto("https://shop.example.com/");
console.log(await page.title());
await browser.close();

ブロックを解除すれば確認は実行されますが、自動化されたブラウザが確認を通過できるようになるわけでは ありません。Cloudflare は、Selenium、Puppeteer、Playwright、Cypress などのブラウザ自動化フレームワーク では本番環境の確認を通過できないと明記しています。確認が実行されても通過できないなら、問題は遮断された ドメインではなく確認そのものです。

• フォーム内の Cloudflare Turnstile なら、解決 API がページの sitekey に対するトークンを返します。 Cloudflare Turnstile ソルバー（英語）をご覧ください。
• 全画面の確認ページ（「しばらくお待ちください…」）が求めているのは cf_clearance Cookie です。 ZeroCaptcha のチャレンジページ用タスクは、お客様自身のプロキシ経由で確認を通過し、この Cookie と、それに結び付いた User-Agent を返します。 Cloudflare チャレンジソルバー と cf_clearance Cookie の解説（いずれも英語）をご覧ください。

通過したのに確認ページが繰り返し表示される場合は、 Cloudflare の確認がループする理由（英語）をご覧ください。自動化は、 許可されているサイトに対してだけ行ってください。詳しくは 責任ある CAPTCHA 自動化（英語）にまとめています。

同じ内容の英語版もあります。

出典

• Cloudflare チャレンジ: 確認を通過できない問題 と対応ブラウザ （2026 年 9 月 30 日に確認）。
• Cloudflare Turnstile: クライアント側のエラーコード、 200500 について（2026 年 9 月 30 日に確認）。
• Cloudflare Turnstile の変更履歴、2026 年 7 月 22 日の項目（2026 年 9 月 30 日に確認）。
• Cloudflare Turnstile: コンテンツセキュリティポリシー とクライアント側のレンダリング （2026 年 9 月 30 日に確認）。
• Cloudflare チャレンジ: 確認レスポンスの検出 （2026 年 9 月 30 日に確認）。
• 2025 年 11 月 18 日の障害に関する Cloudflare の事後報告 （2026 年 9 月 30 日に確認）。
• 確認ページの現在の日本語の文面は、2026 年 9 月 30 日に Cloudflare の稼働中の確認スクリプトから読み 取りました。以前の表示の日本語の文面は利用者の投稿によるもので、たとえば Yahoo!知恵袋の質問があります。

The team that builds and runs the ZeroCaptcha API. Articles are drafted with AI tools, then checked against the API's code and the primary sources each one cites.