Bitbucket Data Center・HTTPS の git・REST API・2026年10月30日

Bitbucket Data Center の「CAPTCHA required. Your Bitbucket account has been locked.」

Bitbucket Data Center（旧 Bitbucket Server）が、あなたのユーザーのサインインの失敗を5回続けて数え（既定の回数）、ブラウザで CAPTCHA を解くよう求めています。解くまでは、あなたのユーザー名でサインインする HTTPS の git と REST の呼び出しを、正しいパスワードやトークンでも断ります。1回解けば済むとは限りません。何かが誤った資格情報を5回送ったので、それが動き続けていれば、また鍵が掛かります。

答えの全体

git は fatal: remote error: の後に Bitbucket の文を出します：

fatal: remote error: CAPTCHA required
Your Bitbucket account has been locked. To unlock it and log in again you must
solve a CAPTCHA. This is typically caused by too many attempts to login with an
incorrect password. The account lock prevents your SCM client from accessing
Bitbucket and its mirrors until it is solved, even if you enter your password
correctly.

If you are currently logged in to Bitbucket via a browser you may need to
logout and then log back in in order to solve the CAPTCHA.

REST API は同じ文を Bitbucket の誤りの形で返します：

HTTP/1.1 401
WWW-Authenticate: Basic realm="Atlassian Bitbucket"

{"errors": [{"context": null,
             "message": "CAPTCHA required. Your Bitbucket account has been locked. ...",
             "exceptionName": "com.atlassian.bitbucket.auth.CaptchaRequiredAuthenticationException"}]}

上の 401 は、curl --user でプルリクエストを承認していた Jenkins のジョブの公開の報告（2020年）からです。コマンドラインのツールは、承認に 403 で同じ例外が返ったと報告し（2025年）、直るまで「XSRF check failed」と出していました。
鍵が掛かる前のパスワードの誤りには com.atlassian.bitbucket.auth.IncorrectPasswordAuthenticationException が返ると、Atlassian のナレッジベースは書いています。
ここでは再現していません。Data Center のサーバーを持っていないためです。文は Atlassian のナレッジベースと報告が引用しているものです。

鍵の外し方

自分で：ブラウザで Bitbucket を開いてサインインすると、サインインの画面が CAPTCHA を求めます。すでにサインインしているなら、先にサインアウトします（メッセージもそう書いています）。
サインインの画面に CAPTCHA が出ないなら（Okta でサインインする会社の公開の報告、2022年）、管理者に外してもらいます。
管理者は、REST API で1人ずつ外せます（Atlassian のナレッジベース、Bitbucket 7.x・8.x）：
```
curl --user <admin> -X DELETE "<base_url>/rest/api/1.0/admin/users/captcha?name=<user_name>"
```
同じページは、鍵の掛かったユーザーをデータベースで探し（failedAuthenticationAttemptCount の属性が5以上）、Bitbucket を止めてバックアップしてから全員分を戻す手順も載せています。
管理者は CAPTCHA を止めることもできます。bitbucket.properties に feature.auth.captcha=false を書いて再起動します（Atlassian「How to configure CAPTCHA in Bitbucket Data Center」、2026年6月5日更新）。既定は true です。

誤った資格情報を送るもの（公開の報告から）

パスワードを変えた後に残った古いパスワード。デスクトップの git クライアントが、Windows の資格情報マネージャーに残ったパスワードで取得を続けていました（2022年）。取得のたびに失敗が1回増えます。
自分でやり直すクライアント。ある git クライアントの報告では、ユーザー名とパスワードで5〜7回続けて試した後に鍵が掛かりました（2023年）。一定の間隔で読み直すツールも、期限切れのトークンで同じことをします。
持ち主と違うユーザー名のトークン。HTTP Basic では、ユーザー名はトークンの持ち主でなければなりません。コード検索のツールは、トークンを作った人のユーザー名を足すまで Bitbucket Server に入れませんでした（2019年）。
資格情報を持ったビルドのジョブ。Jenkins のパイプラインがビルドのたびに curl --user で REST API を呼び、鍵が掛かりました（2020年）。
HTTP アクセストークンを使う git。ホスティングのビルドサービスが、権限の足りた HTTP アクセストークンで git から「CAPTCHA required」を受けました（2022年、スレッドに答えなし）。git はトークンを HTTP Basic のパスワードとして送り、鍵はそれにも掛かります。
データベースの接続が足りない間に、パスワードとして送られたトークン。Atlassian の不具合 BSERV-20269（8.19.0 で報告・9.4.19、10.2.2、10.3.0 で修正・2026年4月に完了）：Bitbucket がデータベースに接続できない間、個人のアクセストークンを HTTP Basic のパスワードにした要求が外部のディレクトリに回され、トークンはパスワードとして断られました。アカウントは Bitbucket で、Active Directory の上限の方が低ければ Active Directory で締め出されました。

トークンと鍵

Atlassian のナレッジベースは「Personal access tokens used in bearer auth will NOT trigger a captcha even with repeated auth failures.」と書いています。REST API を呼ぶスクリプトやツールでは、ユーザー名を付けずに Authorization: Bearer <token> としてトークンを送ります。git は、指定しなければユーザー名とトークン（パスワードとして）でサインインします。Atlassian の HTTP access tokens（Data Center 10.5）のページは、git から Bearer として送る例を載せています：

git clone -c http.extraHeader='Authorization: Bearer <token>' <クローンの URL>

同じページは、既知の問題があるため Git LFS では Basic を勧めています。

確かめること

鍵を外し（上）、数分何も変えずに、また掛かるかを見ます。掛かるなら、まだ何かが古いパスワードかトークンを送っています。
Bitbucket のパスワードかトークンを持っている所を全部見ます：OS の資格情報の保管場所（Windows の資格情報マネージャー、macOS のキーチェーン）、git の資格情報ヘルパー、IDE、デスクトップの git クライアント、ビルドサーバー、定期実行のジョブ。
HTTP Basic のトークンなら、ユーザー名がトークンの持ち主か、トークンが期限切れでないかを確かめます。個人のトークンは Manage account → HTTP access tokens にあります。
ツールが許すなら、ユーザー名を空にして、トークンを Bearer で送らせます。

IntelliJ IDEA で Bitbucket のプルリクエストを

Pull Request Inbox for Bitbucket は、Lesstep が作っている JetBrains IDE（2024.1 以降）のプラグインです。自分のレビューを待っているプルリクエストを IDE のツールウィンドウに並べます。Bitbucket Cloud と、ベータとして Bitbucket Data Center 8.9 以降（個人の HTTP アクセストークン・そのサーバーにだけ送る）に対応します。設定でユーザー名を空にすると、トークンは Bearer で送られます。1.0.56 からは、ユーザー名つきのサインインを Data Center が断ると、トークンかユーザー名を変えるか「読み直す」を押すまで同じものを送りません。5分ごとの読み直しでアカウントに鍵を掛けることはなく、鍵が掛かったときは、そう伝えて、ブラウザで開くサーバーを示します。レビューの受け箱・差分・議論は無料、承認・コメント・マージは Pro（月 US$1.50・30日間の無料試用つき）です。画面は日本語です。

JetBrains Marketplace で入れる

Bitbucket と Atlassian は Atlassian の商標、IntelliJ IDEA は JetBrains s.r.o. の商標です。このページは Atlassian・JetBrains のいずれとも提携しておらず、承認も受けていません。

ほかに：Data Center の「You are not permitted to access this resource」 · Data Center の「PKIX path building failed」 · IntelliJ IDEA の Bitbucket プルリクエストのプラグインを比べる · English