Contact Form 7のスパム対策で効く設定と、迷惑な送信が止まらないときの見直し方

WordPressのサイトにContact Form 7で問い合わせフォームを設けると、しばらくして、意味のない英文や怪しいリンクの入った送信が毎日のように届くようになることがあります。採用の応募フォームや、取引の問い合わせフォームが迷惑な送信で埋まると、本当に大切な連絡を見落とす原因になります。

Contact Form 7には、迷惑な送信を防ぐための仕組みがいくつも用意されています。公式ドキュメントも、異なるタイプの対策を複数組み合わせて使うことを勧めています。この記事では、公式ドキュメントに書かれている5つの対策の設定方法と向き不向きを整理し、迷惑な送信が止まらないときにどの順番で見直せばよいかを説明します。届いた問い合わせの管理まで含めて仕組みを見直したいときの選択肢として、Halictにも後半で触れます。

なぜContact Form 7のフォームにスパムが届くのか

迷惑な送信の多くは、人ではなく、プログラムが自動で送っています。こうしたプログラムはボットやスパムボットと呼ばれ、インターネット上のフォームを機械的に探し出し、宣伝の文章や怪しいリンクを大量に送り付けます。

Contact Form 7は、WordPressで最も広く使われているフォームのプラグインの1つです。多くのサイトで同じ形のフォームが使われているため、ボットにとっては見つけやすく、送り付けやすい相手になります。フォームを設けたまま対策をしていなければ、迷惑な送信が届くのは時間の問題だと考えておいたほうがよいでしょう。

迷惑な送信の害は、受信箱が散らかることだけではありません。1つ目は、本物の問い合わせを見落とすことです。毎日何十件もの迷惑な送信に紛れて、取引先からの大切な連絡や、応募者からの連絡が埋もれてしまいます。2つ目は、メールの送信元としての評判が下がることです。フォームの自動返信を設定していると、ボットが入力した他人のメールアドレスに、自動返信のメールが大量に送られることがあります。これが続くと、自分のサーバーから送るメールが迷惑メールと判定されやすくなります。3つ目は、怪しいリンクを誤って開いてしまうおそれです。

対策の目的は、迷惑な送信を「届く前に止める」ことと、止めきれなかったものを「本物と見分けて処理する」ことの2つです。Contact Form 7の対策も、この2つの考え方で整理すると分かりやすくなります。

Contact Form 7の公式が用意している5つの対策

Contact Form 7の公式ドキュメントには、迷惑な送信への対策として、主に次の5つが載っています。

対策	仕組み	費用
Cloudflare Turnstile	人かボットかを判定する仕組みを、フォームに組み込む	無料
reCAPTCHA v3	Googleの仕組みで、送信が人からのものかを点数で判定する	一定の件数まで無料
Akismet	送信の内容を外部のサービスで調べ、スパムかどうかを判定する	個人のブログは無料、企業や商業サイトは有料
クイズ	人なら答えられる質問を出し、正しく答えないと送信できなくする	無料
禁止用語リスト	特定の単語やIPアドレスを含む送信を、スパムとして扱う	無料

前の2つは「人かボットか」を判定して届く前に止める対策、Akismetは「送信の内容」を調べて見分ける対策、クイズは人の手間で止める対策、禁止用語リストは決まった言葉や送信元で止める対策です。それぞれ得意な相手が違うので、1つだけに頼るのではなく、組み合わせて使うのが基本です。

以下では、5つの対策の設定方法を、公式ドキュメントの記載に沿って順に説明します。

対策1：Cloudflare Turnstile

Turnstileは、Cloudflareが提供する、CAPTCHAの代わりになる仕組みです。CAPTCHAとは、ゆがんだ文字を読ませたり、画像を選ばせたりして、人かボットかを見分ける仕組みのことです。Turnstileは、利用者に面倒な操作をさせずに、裏側で人かどうかを判定します。

Contact Form 7の公式ドキュメントは、Turnstileについて次のように書いています。

Google reCAPTCHA とは異なり Turnstile は無料で利用できます。reCAPTCHA を使うべき理由が特にないのであれば Turnstile を選択してください。 出典: contactform7.com

開発元が、特に理由がなければTurnstileを選ぶよう勧めているので、これから対策を始めるなら、まずTurnstileを検討するのが近道です。

Turnstileの設定手順

公式ドキュメントの手順は次のとおりです。

1. Cloudflareのドキュメントに従ってTurnstileのウィジェットを作り、サイトキーとシークレットキーの組を手に入れる。ウィジェットのモードは、推奨どおり「Managed」を選ぶ
2. WordPressの管理画面で［お問い合わせ］から［インテグレーション］を開く
3. Turnstileの欄の［インテグレーションのセットアップ］を選び、サイトキーとシークレットキーを入力する

サイトキーとシークレットキーとは、自分のサイトがTurnstileを使ってよいことを示す、2つの合言葉のようなものです。公式ドキュメントによると、設定はこれだけで、サイトにあるフォームにTurnstileのウィジェットが自動で組み込まれます。ウィジェットは、初期設定ではフォームの先頭に表示されます。位置を変えたい場合は、フォームのテンプレートの中に [turnstile] というタグを書き込むと、その位置に表示されます。

対策2：reCAPTCHA v3

reCAPTCHAは、Googleが提供する、人かボットかを判定する仕組みです。Contact Form 7は、バージョン5.1以降、reCAPTCHAのv3という版を使っています。v3は裏側で判定を行うため、以前のv2のように「私はロボットではありません」のチェックボックスを押させる必要がありません。

reCAPTCHA v3の設定手順

公式ドキュメントの手順は次のとおりです。

1. Googleのアカウントでログインし、reCAPTCHAの管理コンソールを開く
2. reCAPTCHA v3を選び、ドメインの欄に自分のサイトのドメインを入力して登録する
3. 登録したサイトのサイトキーとシークレットキーを確かめる
4. WordPressの管理画面で［お問い合わせ］から［インテグレーション］を開く
5. reCAPTCHAの欄の［インテグレーションのセットアップ］をクリックし、2つのキーを入力して保存する

注意したいのは、v2とv3のキーが別物であることです。公式ドキュメントにも、v2のキーはv3では使えないので、サイトを登録し直してv3のキーを新しく取得するよう書かれています。古いサイトでv2のキーを使い回していて、うまく動いていない例は少なくありません。

reCAPTCHAの費用に気をつける

reCAPTCHAを使う場合は、費用の面にも気をつける必要があります。Contact Form 7の公式ドキュメントには、Googleがすべての reCAPTCHA の利用者を reCAPTCHA Enterprise に移行させる計画を表明しており、多くの利用者にとって費用の増加を意味する、という注意書きがあります。

Google Cloudの比較のページによると、現在の無料の区分（Essentials）では、1暦月あたり10,000件の評価まで無料です。評価とは、reCAPTCHAが1回の送信について人かボットかを判定することです。この無料枠は組織ごとで、すべてのアカウントとすべてのサイトでの使用を合計して数えると書かれています。また、無料の区分でも、Google Cloud に有効な支払い方法を登録する必要があります。

小さな会社のサイトの問い合わせフォームなら、1か月に1万件を超えることはまずありません。ただ、複数のサイトを同じ組織で管理している場合や、ボットの攻撃で送信が急増した場合は、無料枠を超える可能性があります。費用をかけたくない場合は、Turnstileを選ぶほうが安心です。

対策3：Akismet

Akismetは、WordPressの開発に関わるAutomatticが提供している、迷惑な送信を見分けるサービスです。もともとはWordPressのコメント欄を守るためのものですが、Contact Form 7のフォームにも使えます。公式ドキュメントは、Akismetによるフィルタリングを、Contact Form 7の迷惑な送信への対策の要と位置づけています。

Akismetの使い方

Akismetのプラグインは WordPress に同梱されているので、［プラグイン］のメニューで「Akismet Anti-Spam」を有効化します。使うにはAPIキーの取得が必要で、公式ドキュメントによると、個人のブログで使う場合は無料で取得でき、企業や商業のサイト向けには有料のプランが用意されています。会社のサイトで使う場合は、有料のプランが前提になる点に注意してください。

Akismetをフォームで働かせるには、フォームの項目に専用のオプションを付けます。名前の項目には akismet:author、メールアドレスの項目には akismet:author_email、WebサイトのURLの項目には akismet:author_url です。どれか1つでも付ければAkismetが働きますが、公式ドキュメントでは、正確な結果のために、なるべく多くの種類を付けることを勧めています。

Akismetが「スパム」と判定した場合、Contact Form 7はメールの送信を止め、「メッセージの送信に失敗しました」という表示を出します。

Akismetが働いているかを確かめる

公式ドキュメントには、動作を確かめる方法も載っています。名前の項目に「viagra-test-123」、またはメールアドレスの項目に「[email protected]」と入力して送信すると、Akismetは必ず「スパム」と判定します。オレンジの枠のエラーの表示が出れば、正しく働いています。

送信内容が外部へ送られることを知っておく

Akismetを使う場合に知っておきたいのは、フォームの送信内容が外部のサービスに送られることです。公式ドキュメントには、Akismetを使うフォームでは、送信のたびに、すべての入力内容と環境に関する情報がAkismetに送られると書かれています。応募のフォームや相談のフォームなど、個人に関わる情報を受け取るフォームで使う場合は、プライバシーポリシーにその旨を書いておくなど、扱いを確かめておく必要があります。

対策4：クイズ

クイズは、人なら答えられる質問をフォームに出し、正しく答えないと送信できないようにする機能です。外部のサービスを使わず、Contact Form 7だけで完結するのが特徴です。

使い方は、フォームのテンプレートに、質問と答えを縦線で区切ったタグを書き込むだけです。公式ドキュメントでは、[quiz math-quiz "12+48=?|60"] のような例が紹介されています。縦線より前が質問、後ろが期待する答えです。質問と答えの組を複数並べると、毎回その中から1つが選ばれて表示されます。

クイズは、外部のサービスに頼りたくない場合に手軽に使える一方で、答える人の手間が増えます。採用の応募フォームのように、少しでも入力の負担を減らしたいフォームでは、答えに迷う質問を出すと、応募そのものをやめてしまう人が出かねません。使う場合は、誰でも迷わず答えられる、短い質問にしてください。

対策5：禁止用語リスト

禁止用語リストは、もともとWordPressのコメント欄のための機能ですが、Contact Form 7もこのリストを使って、特定の単語やIPアドレスを含む送信を止められます。IPアドレスとは、インターネット上で通信の送り元を示す番号のことです。

公式ドキュメントの手順では、WordPressの管理画面で［設定］から［ディスカッション］を開き、「コメント内で許可されないキーワード」の欄に、止めたい単語かIPアドレスを1行に1つずつ入力します。リストに含まれる単語を含む送信や、リストのIPアドレスから送られた送信は、スパムとして扱われ、メールとして送られなくなります。

送信元のIPアドレスを知るには、自分宛てに届くメールの本文に [_remote_ip] という特別なタグを入れておくと、送信者のIPアドレスが表示されます。同じIPアドレスから何度も迷惑な送信が来ている場合は、そのアドレスをリストに加えます。

注意したいのは、このリストがコメント欄にも効くことです。単語を登録しすぎると、正常なコメントや問い合わせまで止めてしまうことがあります。一般的な言葉は登録せず、迷惑な送信にしか出てこない、特徴的な言葉だけを登録するようにしてください。

対策の組み合わせ方の例

5つの対策をどう組み合わせるかは、サイトの性格によって変わります。代表的な3つの例を紹介します。

例1：小さな会社のコーポレートサイト

問い合わせの数が月に数件から数十件の、小さな会社のサイトです。まずTurnstileを入れ、それでも迷惑な送信が残る場合に、禁止用語リストで特徴的な言葉や送信元を止めます。会社のサイトでAkismetを使う場合は有料のプランが前提になるので、Turnstileと禁止用語リストで十分に止まるなら、それ以上の対策は要りません。送信の保存のためにFlamingoを入れておくと、止めすぎの確認にも使えます。

例2：採用の応募を受け付けるサイト

応募者の入力の負担を増やさないことを優先します。Turnstileで裏側の判定を行い、クイズのように手間を増やす対策は避けます。応募の内容には個人情報が多く含まれるので、送信内容を外部に送るAkismetは、プライバシーポリシーでの説明を整えたうえで判断します。スパムと判定された送信の一覧は、応募の締切の前後には特にこまめに確かめます。

例3：個人のブログ

個人のブログでは、Akismetを無料で使えます。コメント欄とフォームの両方をAkismetで守り、フォームにはTurnstileを加える、という組み合わせが手間と効果のつり合いの取れた形です。

どの例でも、対策を1つ加えるたびに、自分で一度フォームから送信して、正常な送信が届くことを確かめる習慣を付けてください。

フォームの作り方でも迷惑な送信は減らせる

対策のプラグインやサービスに加えて、フォームそのものの作り方を見直すことでも、迷惑な送信を減らせます。

1つ目は、URLを入力する項目を本当に必要か見直すことです。迷惑な送信の多くは、怪しいサイトへのリンクを載せることを目的にしています。WebサイトのURLの項目があると、それだけで狙われやすくなります。問い合わせへの対応に不要なら、項目を外します。

2つ目は、必須の項目を適切に設定することです。名前やメールアドレスを必須にしておくと、一部の雑なボットの送信は、入力の確認の段階で止まります。

3つ目は、フォームを置くページを絞ることです。サイトのすべてのページの下にフォームを表示していると、ボットに見つかる機会が増えます。問い合わせのページなど、必要なページだけにフォームを設けます。

4つ目は、送信の後の画面を工夫することです。送信が終わったら、別の完了のページに移るようにしておくと、正常な送信の件数を数えやすくなり、迷惑な送信が急に増えたときにも気づきやすくなります。

迷惑な送信が止まらないときの見直しの順番

対策を入れたのに迷惑な送信が止まらない場合は、次の順番で見直します。

1. 対策が本当に働いているかを確かめる

まず、入れたはずの対策が実際に働いているかを確かめます。Turnstileなら、フォームのページを開いて、ウィジェットが表示されているかを見ます。reCAPTCHAなら、v3のキーを入力しているか、v2のキーのままになっていないかを確かめます。Akismetなら、先に書いたテスト用の名前やメールアドレスで送信し、エラーの表示が出るかを確かめます。設定したつもりで働いていない、というのが、いちばん多い原因です。

2. キャッシュの影響を疑う

ページを高速で表示するためのキャッシュのプラグインを使っている場合、古いページが表示され続け、フォームの設定の変更が反映されていないことがあります。設定を変えたら、キャッシュを消してからフォームのページを確かめます。

3. 対策を組み合わせる

1つの対策だけでは止めきれない送信もあります。公式ドキュメントが勧めているとおり、タイプの違う対策を組み合わせます。たとえば、Turnstileで人かボットかを判定し、通り抜けたものをAkismetで内容から見分け、それでも残る決まった送信元は禁止用語リストで止める、という重ね方です。

4. 届いている送信の特徴を調べる

それでも止まらない場合は、届いている送信の特徴を調べます。同じIPアドレスから来ているのか、同じ言葉が入っているのか、同じ時間帯に集中しているのか。特徴が分かれば、禁止用語リストで止めるべき言葉や送信元が見えてきます。人が手で送っている迷惑な送信は、ボットを判定する仕組みでは止められないので、内容や送信元で止める対策が中心になります。

調べた結果は、簡単な記録に残しておくと役立ちます。いつ、どのような送信が、どれくらいの数届いたか、どの対策を入れたら減ったかを残しておけば、次に迷惑な送信が増えたときに、何から試せばよいかがすぐに分かります。サイトの管理を他の人に引き継ぐときにも、この記録がそのまま手引きになります。

5. プラグインとWordPressを最新にする

Contact Form 7は、継続して更新されています。公式サイトには、2026年10月11日に6.2.2が公開されたことが載っています。古い版のまま使っていると、対策の機能が十分に働かないことや、安全上の問題が残っていることがあります。WordPress本体とプラグインを最新の状態に保つことは、迷惑な送信への対策の土台です。

正常な問い合わせを取りこぼさないための注意点

迷惑な送信への対策を強めるほど、正常な問い合わせを誤って止めてしまうおそれも高まります。公式ドキュメントにも、100%正確なスパムのフィルターは存在せず、正常な送信をスパムと誤って判定することも、その逆も起きると書かれています。止めすぎに気づくための仕組みも、あわせて整えておく必要があります。

送信内容を保存しておく

Contact Form 7には、もともと送信の内容をデータベースに保存する機能がありません。公式ドキュメントでも、そのことが明記されています。メールの送信に失敗したり、スパムと判定されたりした送信は、どこにも残らないことになります。

無料のプラグインのFlamingoを入れると、送信された内容をWordPressの中に保存できます。Flamingoでは、正常な送信は受信トレイに、スパムと判定された送信はスパムのリストに入ります。Akismetを使っている場合は、Flamingoの画面で状態を「スパム」や「非スパム」に変えると、誤った判定がAkismetに報告され、以後の判定の精度が上がる仕組みです。

スパムのリストを定期的に確かめる

週に1回など時期を決めて、スパムと判定された送信の一覧を確かめます。正常な問い合わせが紛れていたら、送った人に連絡を取り、判定を直します。採用の応募や取引の問い合わせが止められていた場合、気づかないままだと大きな機会を失います。

送れなかったときの別の連絡先を示す

フォームの近くに、送信がうまくいかなかったときの連絡先として、メールアドレスや電話番号を書いておくと安心です。誤ってスパムと判定された人も、別の方法で連絡できます。メールアドレスを書く場合は、ボットに読み取られにくいように画像にする、などの工夫をする会社もありますが、読み上げの機能を使う人には読めなくなるため、使いやすさとのつり合いを考えて決めてください。

自動返信の宛先に気をつける

自動返信を設定している場合、ボットが入力した他人のメールアドレスに自動返信が送られることがあります。迷惑な送信が多い間は、自動返信の内容を最小限にするか、迷惑な送信を十分に止められるようになってから自動返信を使うと、自分のサーバーの評判を守れます。

採用や取引のフォームで特に気をつけたいこと

フォームの用途によって、対策の強さの決め方は変わります。採用の応募フォームや、取引の問い合わせフォームのように、1件の取りこぼしが大きな損失になるフォームでは、止めすぎないことを優先します。

採用のフォームでは、応募者は何社にも応募していることが多く、送信でつまずくと、そのまま別の会社に流れてしまいます。入力の手間を増やすクイズより、裏側で判定するTurnstileやreCAPTCHA v3の方が向いています。また、応募の内容には履歴や連絡先などの個人情報が含まれるため、送信内容を外部のサービスに送るAkismetを使うかどうかは、慎重に判断します。使う場合は、プライバシーポリシーで扱いを明らかにしておきます。

取引の問い合わせフォームでは、海外からの正規の問い合わせもあり得ます。英語の送信をまとめて止めるような強い設定は、思わぬ取引の機会を逃す原因になります。英語というだけで止めるのではなく、迷惑な送信に特有の言葉や送信元で止めるようにしてください。

どちらのフォームでも、スパムのリストを定期的に確かめる運用が、止めすぎの保険になります。

Contact Form 7のまま使い続けるか、道具を見直すか

Contact Form 7は無料で、サイトの見た目に合わせて自由にフォームを作れる、優れたプラグインです。WordPressのサイトに問い合わせの窓口を設けたいだけで、届いたメールにメールソフトで返して完結しているなら、ここまでの対策を整えて使い続けるのが合理的です。

一方で、次のような状態になっているなら、道具そのものを見直す時期かもしれません。

・迷惑な送信の対策やプラグインの更新に、毎月まとまった時間を取られている
・メールの送信に失敗した問い合わせが、どこにも残らないことが不安
・複数の人で問い合わせに対応していて、誰が返信したか分からなくなる
・問い合わせの数が増えて、メールの受信箱では追いきれない

届いたあとの管理まで任せたいときの候補：Halict

問い合わせのフォームを、受け取ったあとの管理まで含めて見直したいときの候補の1つが、Halictです。

公式サイトによると、Halictは、フォームを作り、届いた回答を担当・ステージ・タグつきで管理し、同じ画面から返信まで送れるフォームの道具です。届いた回答は、メールで流れて終わるのではなく、Halictの回答一覧に保存されます。1件ごとに、担当者の割り当て、対応の段階（ステージ）、メモ、メールの送信が時系列で残るので、誰が返信したかが分からなくなる問題を防げます。回答者への返信は回答の画面から送れて、送ったメールの開封とクリックも記録されます。WordPress本体やプラグインの更新の作業も要りません。

HalictのContact Form 7との比較のページでも、WordPressのサイトに問い合わせの窓口を設けたいだけの場合や、届いたメールにそのまま返信して完結する場合は、乗り換える理由はないと書かれています。反対に、メールが届かない、誰が返信したか分からない、問い合わせが増えて追いきれない、といった相談が出てきたら、検討の合図だとしています。料金は使う人数で決まり、1人ならフリープランで使え、有料は月額2,980円（税抜）からです。

Halictは、@SOHOを運営する株式会社ライフスケープが開発・提供しています。

フォームの安全を守る仕事は、どの会社にも必要とされている

最後に、在宅ワークの市場を長く見てきた運営者の視点から、フォームの対策の仕事について書いておきます。

運営者として見てきた限りでは、小さな会社ほど、Webサイトを作った後の保守を誰も担当しておらず、迷惑な送信やプラグインの更新が放置されている例が少なくありません。フォームの対策を整え、届いた問い合わせを取りこぼさない運用を作る仕事は、在宅で受けられる仕事として確かな需要があります。

Webサイトの集客や改善に関わる仕事は、SEO対策・MEO・LPOのお仕事で紹介しています。セキュリティの対策まで含めて企業のデジタル活用を支える仕事は、AI・マーケティング・セキュリティのお仕事が近い分野です。サイトの見た目やフォームの使いやすさを整えるデザインの仕事の収入の目安は、デザイナーの年収・単価相場で確かめられます。会社のセキュリティの対策に補助金を使いたい場合は、IT導入補助金2026「セキュリティ対策推進枠」の活用法｜UTM・EDRを実質半額で導入で、使える枠と申請の流れを説明しています。

仕事を受ける場を選ぶときは、中間の手数料がどれだけかかるかも、手元に残る額を左右します。仲介の取り分が小さいほど、依頼する側は同じ予算で頼みやすく、受ける側は手取りが厚くなります。手数料0%で直接やり取りできる場では、保守のような継続の仕事でも、内容や頻度を相談しながら決められます。

よくある質問

Q. Contact Form 7のスパム対策は何から始めればよいですか？

公式ドキュメントは、特にreCAPTCHAを使う理由がなければCloudflare Turnstileを選ぶよう勧めています。Turnstileは無料で、サイトキーとシークレットキーを取得して、管理画面のお問い合わせのインテグレーションに入力するだけで、フォームに組み込まれます。止めきれない送信には、Akismetや禁止用語リストを組み合わせます。

Q. reCAPTCHA v3を入れたのにスパムが止まらないのはなぜですか？

v2のキーを使い回していないかを確かめてください。公式ドキュメントによると、v2とv3のキーは別物で、v2のキーはv3では働きません。キャッシュのプラグインで古いページが表示されている可能性もあります。人が手で送る迷惑な送信は判定で止められないため、禁止用語リストなどを組み合わせます。

Q. reCAPTCHAは無料で使えますか？

Google Cloudの比較のページによると、無料の区分では1暦月あたり10,000件の評価まで無料です。無料枠は組織ごとに、すべてのサイトの使用を合計して数えます。無料の区分でも支払い方法の登録が必要です。Contact Form 7の公式ドキュメントは、無料で使えるTurnstileを勧めています。

Q. スパム対策で正常な問い合わせまで止まっていないか確かめるには？

Contact Form 7には送信内容を保存する機能がないため、無料のFlamingoを入れて送信を保存します。スパムと判定された送信の一覧を週に1回など定期的に確かめ、正常なものがあれば連絡を取り、判定を直します。フォームの近くに別の連絡先を書いておくと、送れなかった人も連絡できます。