flagの特徴をまとめると、①問題ごとにユニークな文字列である、②形式が決まっている（通常は CTF{...} の形）、③大会のシステムがhash比較などで正誤を判定する、という3点が挙げられます。つまりflagは「その問題を本当に解いた証拠」であり、問題ページや隠しファイル・暗号文の中に仕込まれています。

なお、flagのタイプには大きく2種類あります。静的flag（Static Flag）は、問題を解いた人全員が同じflagを受け取るタイプです。一方、動的flag（Dynamic Flag）は、参加者ごとに異なるflagが割り当てられます。動的flagは「他のチームからflagを盗む」攻撃を防ぐために設計されており、より高度な大会で使われます。この連載では主に静的flagを前提に解説します。

ほとんどのCTF大会では、flagは決まった形式を持っています。最も一般的なのが CTF{ここに答え} という形式です。波括弧の前の部分（プレフィックス）は大会によって異なりますが、本文の波括弧 { と } で本体を囲む形は共通しています。

フラグ本体（Body）の部分は、問題ジャンルによって内容が異なります。Web問題なら「脆弱性を突いて入手したトークン」、暗号問題なら「暗号文を解読して得た文字列」、OSINT問題なら「調査した結果の情報」が入ることが多いです。また、一部の問題では CTF{r4nd0m_str1ng_0nly} のようにランダムな文字列だけがBodyに入るケースもあり、これは「このflagを見つけた」という到達確認が目的です。

CTFの採点方式は大会によって異なりますが、主に2種類の方式が使われています。特に近年は「動的点数制」が多くの大会で採用されています。

動的点数制の具体的な計算式は大会ごとに異なりますが、「最大500点・最小100点、解く人が増えるほど線形または指数的に点数が下がる」設計が多く見られます。これにより、簡単な問題（多くの人が解ける）は自動的に低い点数になり、難しい問題（少ない人しか解けない）は高い点数のまま維持されます。参加者の腕前に応じたスコア分散が自然につくられる、よく考えられた仕組みです。

CTFでflagを探すとき、「どこを見ればいいか」を知っていると大きなアドバンテージになります。ジャンルごとに典型的な隠し場所があるので、一覧として把握しておきましょう。

今回のミニチャレンジは「WebジャンルのHTMLコメント隠し」パターンです。このページのHTMLソースに、今回のflagがコメントとして書かれています。開発者ツールのElementsタブ、またはブラウザのページソース表示（Ctrl+U／Cmd+U）で探してみてください。

今回のflagはこのページのHTMLの中にコメントとして隠されています。前回のConsoleタブに続き、今回は「Elementsタブ」または「ページのソース表示」を使ってflagを探しましょう。実際のCTF Web問題でも定番のパターンです。

第3話では、CTFの「答え」であるflagの正体・形式・点数の仕組みを解説しました。flagのフォーマット（CTF{...}）と動的点数制の考え方は、これからCTFに参加するうえで必ず役立つ知識です。また、flagの隠し場所を知っておくことで、問題を解くときの「最初の一手」が見えやすくなります。今回のチャレンジでは「HTMLコメントを探す」という、Web問題の最も基本的なパターンを体験しました。