Cloudflare Turnstileは中国本土で使えるか：越境データのリスク
Turnstileは訪問者のシグナルを読み取り、Cloudflareのネットワーク上で評価します。Cloudflareは、Turnstileを中国本土では動かしていないと述べています。PIPLの越境の問いを、コンプライアンス起点で読み解きます。
Cloudflare Turnstileは中国本土で使えるか
Cloudflare Turnstileはプライバシーに優しいCAPTCHAの代替として売られていますが、中国本土の訪問者に使うことは、まず越境の個人データの問いであり——配信の問いはその次です。それが人間とボットを見分けるために読み取るシグナルはCloudflareのネットワーク上で評価され、Cloudflare自身がそのネットワークは中国本土の内側でTurnstileを動かしていないと述べます。
Cloudflare自身のドキュメントによれば、Turnstileは“client-side security challenges … proof-of-work … probing for web APIs, and various other challenges for detecting browser-quirks and human behavior”を走らせ、そのチェックに“processes only the data strictly necessary”とします。それらのデバイスとブラウザのシグナルはCloudflareのネットワーク上で評価され——そのChina Networkのドキュメントは明確に“Turnstile is not supported in Mainland China.”とします。ですからシグナルは海外で評価されるために中国本土を離れます：PIPLが規律する個人情報の越境移転（英語）で、通知・個別の同意・移転メカニズムを要し、CIIOや大量取扱者になれば中国国内での保存を要します。下の表はCloudflare自身の記述と、それが引き起こすルールです。
これはリスクの見取り図であって、判定ではありません——義務は取扱データ量と役割で変わり、一つのCAPTCHAから「プライバシーファースト」のものへ切り替えても、シグナルがどこで処理されるかは片づきません。当社の中国チームが貴社のリスクを一緒に整理します →
コンプライアンス・スナップショット
- ! 設計上プライバシーファースト——しかし、それでもデバイスとブラウザのシグナルを読み取る
- ! それらのシグナルは海外のCloudflareのネットワーク上で評価される——PIPLの下の越境個人情報
- ✕ Cloudflare自身のドキュメント：Turnstileは「中国本土では非対応」
- ! 配信も不安定——製品ページは中国国内の回線で読み込みを完了しなかった（計測）
- ✓ 実行可能な経路は存在する——移転を評価し、人間検証を中国国内で行う
Cloudflare Turnstileの公式ドキュメントの記載と、当社が中国本土内から実測した結果
| 事実 | 一次情報源 |
|---|---|
| Cloudflare自身のTurnstileのドキュメントで：Turnstileは“performs client-side security challenges … to distinguish human visitors from automated traffic,”（人間の訪問者を自動化トラフィックから区別するクライアントサイドのセキュリティチャレンジを行う）を、“proof-of-work (computational puzzles), proof-of-space, probing for web APIs, and various other challenges for detecting browser-quirks and human behavior”を用いて行う。Cloudflareは“processes only the data strictly necessary to provide this security function”とし、“does not access, store, or transmit user communications, form entries, or other page inputs.”とする。最小化されても、それらは各訪問者から読み取られCloudflareが評価するデバイスとブラウザのシグナルだ——プライバシー保護の枠組みは集める内容を狭めるのであって、処理する場所ではない（21YunBoxの注）。 | Cloudflare — Turnstile Frequently Asked Questions（developers.cloudflare.com/turnstile、2026-10-07 取得） |
| Cloudflare自身のChina Networkのドキュメントは「Turnstileは中国本土では非対応」とする。Turnstileは、China Network——JD Cloudが運営する中国本土の内側のデータセンター——でCloudflareが提供する製品の一覧に現れない。CloudflareがTurnstileに中国国内のオプションを提供しないため、チャレンジは中国本土の外のCloudflareのネットワークから配信され、訪問者のシグナルはそこで評価される；その処理を中国本土の内側に保つCloudflareの構成はない（21YunBoxの推定）。 | Cloudflare — China Network FAQ and Available Products（2026-10-07 取得） |
| それらのシグナルが中国本土の外で評価されるため、PIPLはそれを個人情報の越境提供として扱う。取扱者——Turnstileを展開するウェブサイト運営者であって、Cloudflareではない——が、通知し、個別の同意を取得し、PIPLのメカニズムのいずれか一つ（CACの安全評価、CAC標準契約、認証、またはその他の許可された根拠）を満たさなければならない。 | PIPL 第3章 第38〜40条（個人情報の越境提供） |
| リスクはツールを使うこと自体ではなく、量と役割に応じて大きくなる：CACの2024年3月の越境規則以降、非CIIOが暦年で10万人未満の非センシティブ個人情報を移転する場合、安全評価・標準契約・認証は免除される。CIIOまたは大量取扱者にとって、中国で収集した個人情報は中国本土内に保存しなければならない（CSL 第39条（旧第37条）、PIPL 第40条）——そしてCloudflareがTurnstileを中国本土で非対応とするため、それを満たすには人間検証のステップとその記録を自ら中国本土の内側に立ち上げることを意味し、それがICP備案を要する行為である。 | CAC — データ越境移転の促進と規範化に関する規定（2024年3月）；CSL 第39条（旧第37条）；PIPL 第40条 |
配信も不安定で、それが二次的な問題である。CloudflareのTurnstileの製品ページ（cloudflare.com/products/turnstile）を、中国本土内のプローブ（阿里雲 cn-zhangjiakou）から2026-08-28に要求したところ：最初のバイトは速く到着した（およそ0.7〜1.3秒）が、3回の実行のいずれも60秒以内に読み込みを完了せず、毎回7〜10個のサブリソースが宙に浮いたままだった。これは機房回線——最悪値ではなく下限——で、ウィジェットのエンドポイント自体ではなく製品ページの配信を計測している。決して読み込みを終えない検証ステップは、ボタンが決して有効にならないステップである。 | 21YunBox — 中国配信計測、中国本土内から実測（プローブ：阿里雲 cn-zhangjiakou）、2026-08-28 |
情報源は21YunBox コンプライアンスチームが2026年10月7日に確認しました。
Cloudflare Turnstileが中国本土の訪問者に「使える」かは、パフォーマンスの問いである前に越境データの問いです。Turnstileはプライバシーに優しいCAPTCHAとして売られ——従来のチャレンジより少ないシグナルしか読みません——が、それでも各訪問者からデバイスとブラウザのシグナルを読み取り、それをCloudflareのネットワーク上で評価します。Cloudflare自身のドキュメントによれば、そのネットワークは中国本土の内側でTurnstileを動かしていません。ですからシグナルは中国を離れて海外で評価され、プライバシーの枠組みは何を集めるかを決めるのであって、どこで処理するかではありません。
中国でのCloudflare Turnstile：ひと目で
| 決め手 | Cloudflare自身の言葉では |
|---|---|
| 何を読み取るか | Turnstileは“proof-of-work (computational puzzles), proof-of-space, probing for web APIs, and various other challenges for detecting browser-quirks and human behavior”（proof-of-work（計算パズル）、proof-of-space、web APIのプロービング、そしてブラウザの癖と人間の振る舞いを検出する各種のチャレンジ）を走らせます——各訪問者から読み取るデバイスとブラウザのシグナルです。 |
| どれだけ読み取るか | Cloudflareは“processes only the data strictly necessary”（厳密に必要なデータのみを処理する）とし、“does not access, store, or transmit user communications, form entries, or other page inputs.”（ユーザーの通信・フォーム入力・その他のページ入力にはアクセス・保存・送信しない）とします。プライバシーの枠組みは、集める内容を狭めます。 |
| どこで動くか | Cloudflareのネットワーク上です。そのChina Networkのドキュメントは“Turnstile is not supported in Mainland China,”とするので、中国国内のオプションはありません（上のページ参照）。 |
| 何を発動するか | 海外で評価されるシグナルは、PIPLが規律する個人情報の越境提供です——通知・個別の同意・移転メカニズム、そしてCIIOや大量取扱者になれば中国国内での保存を伴います。 |
| 中国からそれに到達すること | 不安定です：中国本土内からの計測で、CloudflareのTurnstileの製品ページは3回の実行のいずれも60秒以内に読み込みを完了しませんでした（方法は下記）。 |
プライバシーファーストの枠組みは、集める内容についてであって、動く場所についてではない
Turnstileは確かに従来のCAPTCHAより少なく尋ねます。Cloudflare自身の言葉では、“client-side security challenges … to distinguish human visitors from automated traffic,”（人間の訪問者を自動化トラフィックから区別するクライアントサイドのセキュリティチャレンジ）を、“proof-of-work (computational puzzles), proof-of-space, probing for web APIs, and various other challenges for detecting browser-quirks and human behavior”を用いて行い、“processes only the data strictly necessary to provide this security function”（このセキュリティ機能の提供に厳密に必要なデータのみを処理）し、“does not access, store, or transmit user communications, form entries, or other page inputs.”（ユーザーの通信・フォーム入力・その他のページ入力にはアクセス・保存・送信しない）とします。
それは本当に小さなデータフットプリントです——が、それらのチェックの一つ一つは、それでも訪問者からデバイスとブラウザのシグナルを読み取り、Cloudflareは自社のネットワーク上でそれらを評価します。何を集めるかを最小化しても、どこで処理するかは変わらず、中国本土の訪問者にとって、中国の法が反応するのは二つ目の問いです。
Cloudflare自身のドキュメントによれば、Turnstileは中国本土の外で動く
CloudflareはChina Network——現地のパートナーが運営する中国本土の内側のデータセンター——を運用しますが、Turnstileはそこで提供する製品の一つではありません。Cloudflare自身のChina Networkのドキュメントは明確に“Turnstile is not supported in Mainland China”（上のページ）とし、TurnstileはそのChina Networkの製品一覧に現れません。
CloudflareがTurnstileに中国国内のオプションを提供しないため、チャレンジは中国本土の外のCloudflareのネットワークから配信され、各訪問者のシグナルはそこで評価されます。その処理を中国の内側に保つCloudflareの設定はありません（Cloudflareのドキュメントからの21YunBoxの推定）。その単一の事実が、ボット検出のウィジェットを越境データの問いに変えます。
それがPIPLの規律する越境移転になる
シグナルが中国本土の外で評価された瞬間、中国の個人情報保護法（PIPL）（英語）は、中国の訪問者向けにTurnstileを展開することを個人情報の越境提供として扱います。取扱者——Turnstileをオンにするウェブサイト運営者であって、Cloudflareではない——が、通知し、個別の同意を取得し、PIPLのメカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を満たさなければなりません。
リスクはCAPTCHAを切り替えること自体ではなく、量と役割に応じて大きくなります。CACの2024年3月の越境規則以降、非CIIOが暦年で10万人未満の非センシティブ個人情報を移転する場合、安全評価・標準契約・認証は免除されます。しかしCIIOや大量取扱者にとって、中国で収集した個人情報は中国本土内に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条）、PIPL 第40条）——そしてCloudflareがTurnstileを中国本土で非対応とするため、それを満たすには人間検証のステップとその記録を自ら中国国内に立ち上げることを意味し、それがICP備案を発動する行為です。
配信も不安定——二次的な問題
到達性はここでの二次的な論点で、見出しではありません。CloudflareのTurnstileの製品ページ（cloudflare.com/products/turnstile）を、中国本土内のプローブ（阿里雲 cn-zhangjiakou）から2026-08-28に要求したところ：最初のバイトは速く到着しました——およそ0.7〜1.3秒——が、3回の実行のいずれも60秒以内に読み込みを完了せず、毎回7〜10個のサブリソースが宙に浮いたままでした。これは機房回線なので、最悪値ではなく下限であり、ウィジェットのエンドポイント自体ではなく製品ページの配信を計測しています。スクリプトが決して読み込みを終えない検証ステップは、ボタンが決して有効にならないステップです——が、ウィジェットが完璧に読み込まれても、上記の越境の問いは立ちます。
これは判定ではなくリスクの見取り図です。Turnstileを中国向けに運用できるか、どう運用するかは、取扱データ量、役割、そして選ぶ個別の同意と移転メカニズムの経路で変わります——そして「プライバシーファースト」のCAPTCHAに切り替えても、シグナルがどこで処理されるかは片づきません。専門家と確認する価値があります。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
スタックとボット防御の戦略はそのまま保ちます。当社が加えるのは、CloudflareがTurnstileに中国本土で提供しないピース：中国の内側から到達できICP備案済みの、人間検証と配信の経路を、既存オリジンの前段に置きます——作り直しも、二つ目のコードベースもありません。当社の中国チームが、貴社の法人と取扱データ量について、Turnstile（または任意のボット検出）の展開の越境とデータの国内保存のリスクをマップし、法令適合の中国拠点に必要な中国国内での検証と保存を立ち上げます。
関連する読み物：
よくあるご質問
Turnstileはプライバシーに優しいCAPTCHAでは——それで中国のデータルールの外に出られませんか？
それ自体では出られません。Turnstileは従来のCAPTCHAより少なく集めます——Cloudflareは「厳密に必要なデータのみを処理する」とし、フォーム入力やページ入力を読まないとします。しかしそれでも人間とボットを見分けるためにデバイスとブラウザのシグナルを読み取り、Cloudflareのネットワーク上で評価します。PIPLの越境ルールは、個人情報が中国本土を離れるかで決まるのであって、どれだけ集めるかではないので、小さなデータフットプリントは賭け金を下げますが、越境の問いを取り除きはしません。取扱データ量と役割に照らして専門家と評価すべきリスクとして扱ってください。
CloudflareのChina NetworkはTurnstileを中国本土の内側で動かせますか？
いいえ。Cloudflare自身のChina Networkのドキュメントは「Turnstileは中国本土では非対応」とし、TurnstileはChina Networkが中国国内（JD Cloudが運営）のデータセンターから提供する製品の一覧にありません。ですからTurnstileの処理を中国本土の内側に保つCloudflareの構成はありません——チャレンジは海外のCloudflareのネットワークから配信され、シグナルはそこで評価されます。それが配信が不安定な理由でもあります：中国本土内からの当社の計測で、製品ページは読み込みを完了しませんでした。
21YunBoxは中国でのCloudflare Turnstileを手助けできますか？
はい。当社の中国チームが、貴社の取扱データ量と役割について、Turnstile（または任意のボット検出）の展開の越境とデータの国内保存のリスクを評価し、中国本土の内側から到達できICP備案済みの、人間検証と配信の経路——CloudflareがTurnstileに提供しない中国国内のオプション——を立ち上げます。個別のケースはお問い合わせ（英語）いただければ一緒に整理します。
