名前の中の「P」（Public）が意味するように、CAPTCHAが利用するアルゴリズムは公開されている。CAPTCHAは1996年ごろにさまざまな形で開発されたが、カーネギーメロン大学（Carnegie Mellon University）とIBMの研究者がその名前を付けたのは2000年のことだ。この公開アルゴリズムは画像内のランダムな文字列と数字を生成するためだけに使われる。従ってアルゴリズムが破られても、CAPTCHA自体がすぐに破られるわけではない。

　最も重要なCAPTCHAの意義は、スパム広告業者が詐欺メッセージをWebサイトのコメントとして投稿し、拡散するのを防ぐことだ。Webサイト管理者は、全てのユーザーにCAPTCHAを要求することで、大量のメッセージを自動投稿しようとするスパム業者を締め出すことができる。

　CAPTCHAはWebサイトにアクセスしているユーザーが生身の人であるかどうかを判断する。加えてスパム業者やbotがメールアドレスを自動的に収集しようとしたり、Webサイト、ブログ、フォーラムサイトに自動で登録しようとしたりするのをブロックする。CAPTCHAがこうした自動化システムをブロックできるのは、自動化システムが画像内のゆがんだ文字を「読めない」からだ。

　「チャレンジレスポンス認証」は、認証サーバがクライアントに対してランダム生成した質問を投げると同時に、想定される応答を用意し、クライアントからの応答と一致する場合は認証するという仕組みを持つ。CAPTCHAは、このチャレンジレスポンス認証の一種だ。このときの質問として、人にとっては簡単に答えられるものの、自動化システムにとっては難しい質問を生成する。アクセスしようとしているのが生身の人であり、自動化システムではないことを認証するのに有効なのはこのためだ。

　CAPTCHAの質問は、人工知能（AI）技術を使って答えようとする攻撃を阻止できる程度に難しく、人が答えられる程度に簡単でなければならない。問題は、文字がゆがみすぎていて、視覚障害者はもとより、視覚健常者も認識できない場合があることだ。Webサイトのアクセシビリティーに関する国や地域の規制によっては、コンプライアンス（法令順守）上の問題になる恐れがある。

　開発者はCAPTCHAの改良を進めているが、攻撃者もCAPTCHAを破るために新しい脆弱（ぜいじゃく）性や戦術に注目している。2015年には、Googleのデジタルコンテンツストア「Google Playストア」で提供されている「Android」向けアプリケーションの中に、CAPTCHAを回避するマルウェアが混入していたことが見つかっている。

　2019年初めにはセキュリティ研究者が、CAPTCHAの強化を目指す「reCAPTCHA」の音声フレーズによる認証を破る「unCAPTCHA」という手法を報告した。別のセキュリティ研究者も、「ReBreakCaptchaという手法でreCAPTCHAを突破できたという。

どんな場合にCAPTCHAを使用するか

　CAPTCHAは、ログインしていないユーザーからの入力を受け付けるWebページで使用する。正規ユーザーとして認証を受ける必要がないフォーラムサイトやブログのコメント欄において、認証されていないユーザーが迷惑メッセージを投稿するのを防ぐ。

　CAPTCHAを実装するには、「PHP」などのWebスクリプト言語について一定の知識が必要だ。CAPTCHAに関する詳しい情報を得るには、reCAPTCHAの開発者ガイドをチェックするとよい。