問い合わせフォームのスパム対策を選ぶ考え方と、正規の問い合わせを落とさない設定

2026年7月7日

＠SOHO編集部

この記事のポイント

✓問い合わせフォームのスパム対策を
✓届いたあとに仕分ける運用
✓仕組みを安全に保つ対策の3つに分けて整理します

問い合わせフォームのスパム対策を探している人の多くは、宣伝や意味のない文章の送信が毎日のように届き、本物の問い合わせを探すのに時間を取られている状況にあります。結論から書くと、スパム対策は1つの道具で完結させるより、入口で止める対策、届いたあとに仕分ける運用、フォームの仕組みそのものを安全に保つ対策の3つを組み合わせるほうが、正規の問い合わせを落とさずに済みます。対策を強くしすぎると、本物のお客様まで送信できなくなるからです。

この記事では、問い合わせフォームに届くスパムの種類を整理したうえで、それぞれに効く対策と、無料で使える範囲を公式の記載で確かめます。正規の問い合わせを落とさないための設定と、届いた問い合わせを担当と状況つきで管理する方法として、フォームの受付から対応までを扱うHalictにも触れます。

問い合わせフォームに届くスパムの種類

ひと口にスパムといっても、中身はいくつかの種類に分かれます。種類によって効く対策が違うので、まず自分のフォームに何が届いているかを見分けます。

1つ目は、プログラムによる自動の送信です。ボットと呼ばれるプログラムが、インターネット上のフォームを自動で探し出し、宣伝の文章や怪しいリンクを大量に送ってきます。同じ内容が短い時間に何件も届く、名前の欄に意味のない英数字が並ぶ、本文が外国語のリンクだけ、といった特徴があります。

2つ目は、人の手による営業の送信です。問い合わせフォームを営業の窓口として使い、自社のサービスを売り込む文章を送ってくるものです。人が1件ずつ入力しているため、自動の送信を止める対策では防げません。

3つ目は、フォームの仕組みを悪用する送信です。フォームに入力した内容がメールで送られる仕組みを使い、第三者に迷惑メールを送りつけようとするものです。情報処理推進機構（IPA）の「安全なウェブサイトの作り方」は、この問題について次のように説明しています。

利用者が入力した内容を管理者宛にメールで送信する機能を実装しているウェブサイトが、「メールの第三者中継」による影響を受けます。該当する機能には、「問い合わせページ」や「アンケート」等があります。出典: ipa.go.jp

ここでいう「メールの第三者中継」とは、フォームのメールを送る仕組みが乗っ取られ、運営者の知らないところで、無関係の人あてに迷惑メールが送られてしまうことです。自分のサイトが迷惑メールの送り元になると、メールの配信の評価が下がり、正規のメールまで相手に届きにくくなります。

4つ目は、嫌がらせを目的とした送信です。特定の人や会社に向けて、同じ文章を何度も送ったり、不快な内容を送ったりするものです。内容によっては、警察や弁護士への相談が必要になることもあります。

記録といっても、難しいことをする必要はありません。届いた送信を、「自動の送信」「営業」「悪用の疑い」「嫌がらせ」「本物の問い合わせ」の5つに分けて、表計算ソフトに日付と件数だけを書いていけば十分です。1週間分がたまると、どの種類が多いのか、どの曜日や時間帯に集中しているのかが見えてきます。

自分のフォームに届いているのがどの種類かを、1週間ほど記録してみると、どの対策から手を付けるべきかが見えてきます。自動の送信が大半なら入口の対策から、人の手による営業が多いなら届いたあとの仕分けから、という順番です。

対策を選ぶ前に決めておくこと

スパム対策の道具を選ぶ前に、何を守りたいのかを決めておきます。守りたいものによって、選ぶべき対策が変わるからです。

1つ目は、担当者の時間です。スパムの1件1件を開いて読み、削除する時間は、1件あたりは短くても積み重なります。担当者の時間を守るのが目的なら、入口で止める対策と、届いたあとの仕分けの自動化が効きます。

2つ目は、サイトとメールの信頼です。前の節で触れた第三者中継のように、フォームの仕組みが悪用されると、会社の信頼に関わります。これを防ぐのが目的なら、フォームの仕組みそのものの安全を確かめることが最優先です。

3つ目は、正規の問い合わせです。スパム対策の目的は、本物の問い合わせに早く気づき、きちんと返事をすることにあります。対策を強くした結果、本物のお客様が送信できなくなったり、本物の問い合わせが迷惑の箱に入って見落とされたりしては、本末転倒です。

この3つは、どれか1つだけを選ぶものではありません。ただ、限られた予算と時間で始めるなら、「いま一番困っていること」から手を付けます。中小企業のフォームでよくあるのは、担当者の時間が奪われていることへの不満から対策を探し始め、強い対策を入れた結果、問い合わせそのものが減ってしまう、という流れです。最初から3つ目の正規の問い合わせを守る視点を持っておくと、この失敗を避けられます。

対策の全体像は3つの層に分けて考える

問い合わせフォームのスパム対策は、次の3つの層に分けて考えると整理しやすくなります。

・入口で止める送信そのものを受け付けない。人かどうかの確認、見えない罠の欄、送信の回数の制限など
・届いたあとに仕分ける送信は受け付けたうえで、スパムらしいものを分け、本物の問い合わせを先に見られるようにする
・仕組みを安全に保つフォームのプログラムやプラグインを最新に保ち、メールの送り方を安全な形にする

入口で止める対策は、効果が大きい一方で、強くしすぎると本物のお客様も止めてしまいます。届いたあとに仕分ける運用は、本物を落とす心配が小さい一方で、人の手間が残ります。仕組みを安全に保つ対策は、スパムの量を減らすというより、悪用を防ぐためのものです。

おすすめの組み合わせ方は、入口では「人にはほとんど見えない、軽い対策」だけを入れ、それでも届いたものは届いたあとに仕分け、仕組みの安全はふだんの更新で保つ、という形です。入口の対策を重ねていくのは、それでも量が多すぎる場合に限ります。

入口の対策1 人かどうかを確かめる仕組み

入口で止める対策の代表が、送信しているのが人かプログラムかを確かめる仕組みです。CAPTCHAと呼ばれ、画像の中の文字を読ませたり、チェックボックスを押させたりする形が知られています。最近は、利用者に何もさせず、裏側で人らしい動きかどうかを判定する形が主流になっています。

広く使われている仕組みを2つ、公式の記載で確かめます。

1つ目は、GoogleのreCAPTCHAです。Google CloudのreCAPTCHAの階層の比較のページには、Essentials、Premium、Enterpriseの3つの階層が並んでいて、Essentialsは1か月あたり1万件の判定まで無料と書かれています。無料の枠は組織の単位で、すべてのサイトの利用を合わせて数えられます。無料で使う場合も、Google Cloudに有効な支払いの手段を登録しておく必要があります。

2つ目は、CloudflareのTurnstileです。Turnstileのプランの説明には無料のプランがあり、無料の利用者は1つのアカウントで20個までのウィジェットを作れること、判定の回数には上限がないこと、Cloudflareのほかのサービスを使っていなくても単独で使えることが書かれています。ウィジェットとは、フォームに組み込む判定の部品のことです。

どちらも、フォームに少しのプログラムを書き足して組み込みます。WordPressなどのサイトを作る道具を使っている場合は、対応するプラグインが用意されていることが多く、設定の画面から組み込めます。フォームの作成サービスを使っている場合は、そのサービスの設定に判定の項目があるかを確かめます。

人かどうかを確かめる仕組みには、気をつけたい点もあります。判定が厳しすぎると、本物のお客様に何度も画像を選ばせることになり、途中で送信をあきらめる人が出ます。また、外部のサービスを読み込むため、そのサービスに入力の画面の情報が送られます。プライバシーポリシーに外部サービスの利用を書いておくことも忘れないようにします。

入口の対策2 見えない罠の欄と、送信の回数の制限

人かどうかを確かめる仕組みと組み合わせやすいのが、利用者に負担をかけない軽い対策です。

見えない罠の欄

1つ目は、人には見えない入力欄をフォームに用意しておく方法です。ハニーポットと呼ばれます。人には見えないので、本物のお客様はその欄に何も入力しません。一方、フォームのすべての欄を自動で埋めるプログラムは、その欄にも何かを入力します。見えない欄に何かが入っている送信は、プログラムによるものと判断して受け付けない、という仕組みです。

利用者には何の負担もかからないのが大きな利点です。ただし、目の見えにくい人が使う読み上げのソフトが、見えない欄を読み上げてしまうことがあります。読み上げの対象から外す設定もあわせて行うのが前提です。

送信までの時間の確認

2つ目は、フォームを開いてから送信するまでの時間を確かめる方法です。人が名前や本文を入力するには、少なくとも数十秒はかかります。開いてから数秒で送信されたものは、プログラムによる送信の可能性が高いと判断できます。

送信の回数の制限

3つ目は、同じ送り元から短い時間に何度も送信されるのを止める方法です。同じIPアドレス（インターネット上の住所にあたる番号）から、1時間に何十件も送信されるのは、人の行動としては不自然です。回数に上限を設けておくと、大量の自動の送信や、嫌がらせの連続の送信を抑えられます。

この3つは、どれもフォームのプログラムの側で行う対策です。フォームの作成サービスを使っている場合は、サービスの側で対策されているかを、そのサービスの説明やサポートで確かめます。

入口の対策3 入力内容の確かめ方

入力された内容そのものを見て、スパムらしい送信を止める方法もあります。ただし、この方法は本物の問い合わせを落とす危険がいちばん大きいので、慎重に使います。

よく使われるのは、次のような条件です。

・本文にリンクが3つ以上含まれていたら止める
・名前の欄にリンクが含まれていたら止める
・日本語が1文字も含まれていない送信を止める
・特定の言葉が含まれていたら止める

1つ目と2つ目は、本物の問い合わせではほとんど起きないので、比較的安全に使えます。

3つ目は、日本国内のお客様だけを相手にしている会社なら効果があります。一方で、海外の取引先や、日本語が得意でない利用者からの問い合わせを落とします。英語の問い合わせも受けたい会社には向きません。

4つ目は、注意が必要です。スパムに多い言葉を止める設定をしても、同じ言葉を本物のお客様が使うことがあります。たとえば「無料」「お得」といった言葉は、自社のサービスについての質問にも普通に出てきます。

入力内容で判断する場合は、送信を拒否するのではなく、「スパムの疑い」として別の場所に仕分ける形にするのが安全です。本物が紛れ込んでも、あとで確かめて拾い上げられます。

人の手による営業の送信への向き合い方

入口の対策では止められないのが、人が1件ずつ入力して送ってくる営業の送信です。プログラムではないので、人かどうかを確かめる仕組みも通り抜けます。営業の送信には、入口で止めるより、仕分けやすくする工夫が効きます。

1つ目は、問い合わせの種別を選ばせることです。フォームの最初に「サービスについてのご相談」「お見積りの依頼」「取材・提携のご提案」「その他」のような選択肢を用意しておくと、営業の送信は「取材・提携のご提案」や「その他」に集まりやすくなります。本物のお客様の問い合わせと、営業の送信を、届いた時点で分けて見られます。

2つ目は、フォームの近くに、営業目的の送信への方針を書いておくことです。「営業目的のご連絡には返信いたしかねます」と書いておけば、送る側の一部は送信をやめますし、届いても返事をしなくてよい根拠になります。書き方は、丁寧で短い文にとどめます。

3つ目は、営業の送信にも目を通す担当と頻度を決めておくことです。営業の送信の中には、自社にとって役に立つ提案や、取引の申し込みが紛れていることもあります。すべてを捨てるのではなく、週に1回まとめて目を通す、という形にしておけば、日々の対応の邪魔にならずに済みます。

営業の送信が多すぎる場合は、提携や取材の受付を別のフォームに分ける方法もあります。お客様向けのフォームには、お客様が必要とする項目だけを残し、提案の受付は別のページから受け付けます。窓口を分けると、担当も分けやすくなります。

自動返信の悪用を防ぐ

問い合わせフォームの多くは、送信した人に「受け付けました」という自動返信のメールを送ります。この自動返信が、迷惑メールの送り元として悪用されることがあります。

仕組みはこうです。悪意のある人が、メールアドレスの欄に第三者のアドレスを入れ、本文に宣伝の文章やリンクを書いて送信します。フォームが自動返信に入力内容をそのまま載せる設定になっていると、宣伝の文章が、運営者の会社の名前で第三者に届いてしまいます。受け取った人から見れば、運営者の会社が迷惑メールを送ってきたように見えます。

これを防ぐには、次のような設定を見直します。

・自動返信に、本文の欄の内容をそのまま載せるかどうかを見直す。載せる場合は、入口の対策で自動の送信を止めておくことを前提にする
・自動返信の件名は、入力内容を使わず、決まった文言にする
・入口の対策で、プログラムによる送信を受け付けないようにしておく
・自動返信の送信の回数に上限を設ける

前の節で引用したIPAの資料では、メールの第三者中継の根本的な解決として、メールのヘッダ（送り先や件名などを書く部分）を決まった値にし、外部から入力された内容はすべて本文に出力することが挙げられています。自前でフォームのプログラムを作っている場合は、この資料を開発の担当者と一緒に確かめておきます。

自動返信は、送信した人に安心してもらうための大切な機能です。悪用を恐れて自動返信をやめるより、入口の対策と組み合わせて安全に使うほうが、お客様にとっても運営者にとっても得です。

嫌がらせの送信が続くときの対応

特定の人から、同じ内容や不快な内容の送信が続く場合は、通常のスパムとは別の対応が必要です。

まず、記録を残します。送信された日時、内容、入力されたメールアドレスや名前を、消さずに保存しておきます。フォームのサービスやサーバに送信の記録が残っている場合は、その記録も保存します。記録は、あとで警察や弁護士に相談するときの材料になります。

次に、返事をしないことを基本にします。嫌がらせの送信に返事をすると、相手に「届いている」と知らせることになり、送信が増えることがあります。対応は社内で決めた担当者に限り、個人で判断して返事をしないようにします。

3つ目に、入口の対策を見直します。送信の回数の制限を厳しくする、同じ送り元からの送信を止める設定を追加する、といった対策で、送信の量を抑えられることがあります。ただし、送り元を変えて送ってくる場合もあるので、入口の対策だけで止めきれるとは限りません。

内容に脅しや、具体的な危害を予告する文言が含まれている場合は、ためらわずに警察に相談します。業務の妨げが続く場合や、名誉を傷つける内容が含まれている場合は、弁護士に相談することも考えます。どこまでが法的な対応の対象になるかは、内容や事情によって変わるので、自己判断で決めつけず、専門家に確かめます。

担当者の心の負担にも気を配ります。不快な内容を毎日読む担当者は、それだけで疲れていきます。嫌がらせの送信を見る担当を交代制にする、内容を確かめたら上司に報告する流れを作る、といった工夫で、1人に負担が集中しないようにします。

正規の問い合わせを落とさないための設定

スパム対策でいちばん避けたいのは、本物の問い合わせを落とすことです。落とさないための設定と運用を整理します。

1つ目は、「拒否」より「仕分け」を基本にすることです。入口の対策で確実にプログラムと分かるものだけを拒否し、迷うものは「スパムの疑い」として別の場所に入れます。

2つ目は、スパムの疑いの箱を定期的に確かめることです。週に1回でかまいません。本物の問い合わせが紛れていたら、その送信がなぜ疑われたのかを確かめ、条件を見直します。

3つ目は、通知のメールが迷惑メールの箱に入っていないかを確かめることです。フォームから担当者への通知のメールが、受け取る側のメールソフトで迷惑メールに分けられていると、問い合わせが届いていても気づけません。フォームを公開したら、自分で一度送信して、通知が受信箱に届くことを確かめます。

4つ目は、フォーム以外の連絡の手段も示しておくことです。フォームの送信がうまくいかなかったお客様のために、電話番号や代表のメールアドレスをサイトに載せておくと、取りこぼしを防げます。

5つ目は、送信の完了の画面と自動返信で、受け付けたことをはっきり伝えることです。お客様が「送れたのかどうか分からない」と感じると、何度も送信したり、あきらめたりします。

外注で問い合わせの対応を頼まれた現場でよく見かけるのが、入口の対策を強くした結果、問い合わせが半分に減り、「スパムが減った」と喜んでいたら、実は本物の問い合わせも減っていた、という失敗です。対策を入れたら、その前後で本物の問い合わせの件数を比べる習慣をつけておくと、この失敗に早く気づけます。

届いた問い合わせを担当と状況つきで管理する

入口の対策で減らしても、スパムや営業の送信をゼロにすることはできません。届いたあとに、本物の問い合わせを先に見つけ、確実に返事をする仕組みが必要です。

問い合わせがメールで担当者に届くだけの形だと、誰が返事をするのか、もう返事をしたのか、スパムとして片付けたのかが、受信箱の中では分かりにくくなります。担当者が2人以上いると、同じ問い合わせに2人が返事をしたり、どちらも返事をしなかったりします。

届いた1件ごとに、担当者と状況を記録する形にすると、この問題を解決できます。たとえば、「未対応」「対応中」「返信済み」「スパム」の4つの状況を用意し、届いたものを最初に仕分けます。スパムと判断したものは「スパム」に移し、本物の問い合わせは担当者を決めて「対応中」に進めます。

こうした受付と対応の管理に向けた道具の1つがHalictです。公式サイトの記載では、フォームで集めた回答を、担当者、ステージ（状況）、タグつきで管理し、同じ画面から返信まで送れます。ステージには「問い合わせ対応」などのひな形があり、自由に増減できます。一覧とステージごとのボードを切り替えられ、担当者、タグ、期間、全文検索で絞り込めます。ステージの変更や担当の割り当て、メモ、メールの送信は、すべて時系列で残ります。自動返信、Teams・Slack・Chatwork・Discordへの新着の通知、Googleスプレッドシートへの追記にも対応しています。料金は人数で決まり、フリーのプランは1人までで、フォームの数と回答の数は無制限です。詳しくはHalictの紹介ページで確かめられます。

Halictは、@SOHOを運営する株式会社ライフスケープが開発・提供しています。

入口の対策で量を減らし、届いたものを状況つきで仕分ける、という2段構えにしておくと、スパム対策を強くしすぎずに済みます。本物の問い合わせを落とす心配が小さくなるので、入口の対策は軽いものにとどめられます。

WordPressなど自前のフォームで気をつけること

WordPressのプラグインや、自前のプログラムで問い合わせフォームを作っている場合は、フォームの仕組みそのものの安全を保つことが、スパム対策の土台になります。

1つ目は、プラグインやプログラムを最新に保つことです。古いプラグインの弱点を突かれて、フォームが迷惑メールの送り元にされる事例は、IPAの資料でも届出があったものとして紹介されています。使っていないプラグインは削除し、使っているものは更新の通知を見逃さないようにします。

2つ目は、メールの送り方を確かめることです。前の節で触れたとおり、メールのヘッダに入力内容を使っていないかを確かめます。

3つ目は、送信の記録を残すことです。いつ、どこから、どんな送信があったかの記録があれば、急にスパムが増えたときに原因を調べられます。記録には個人の情報が含まれるので、保存の期間と、見られる人を決めておきます。

4つ目は、担当を決めることです。サイトを作った制作会社との契約が終わり、誰もフォームの更新を見ていない、という状態は珍しくありません。誰が更新と点検をするのかを、社内か外部のどちらかで決めておきます。

自前のフォームの保守に手間がかかっている場合は、フォームの作成サービスに移すことも選択肢になります。仕組みの安全を保つ作業をサービスの側に任せられるので、運営者は届いた問い合わせへの対応に時間を使えます。

フォームの作成サービスと自前のフォームの選び方

問い合わせフォームを、フォームの作成サービスで作るか、WordPressのプラグインや自前のプログラムで作るかによって、スパム対策の進め方が変わります。

フォームの作成サービスを使う場合は、スパム対策の多くをサービスの側に任せられます。人かどうかを確かめる仕組みや、送信の回数の制限、仕組みの安全の更新は、サービスの運営会社が担います。運営者がすることは、サービスの設定でどの対策が使えるかを確かめ、必要なものを有効にすることです。その代わり、対策の細かい調整は、サービスが用意した範囲でしかできません。

自前のフォームの場合は、対策を自由に組み合わせられる一方で、仕組みの安全を保つ責任も自分たちが負います。前の節で書いたとおり、プラグインやプログラムの更新、メールの送り方の確認、送信の記録の管理を、誰かが続ける必要があります。

選ぶときの目安は、フォームの保守に人と時間を割けるかどうかです。社内にサイトの保守の担当がいて、更新を続けられるなら、自前のフォームでも問題ありません。担当がいない、制作会社との契約が終わっている、という場合は、フォームの作成サービスに移したほうが、長い目で見て安全です。

フォームの作成サービスを選ぶときは、スパム対策の機能だけでなく、届いた問い合わせの管理の機能も見ておきます。担当者や状況の記録、チャットへの通知、表計算への書き出しなど、届いたあとの対応を支える機能があると、スパム対策を軽くしても困りません。

スパム対策の費用対効果を数字で考える

スパム対策にどれだけの手間と費用をかけるべきかは、数字で考えると判断しやすくなります。

たとえば、1日に20件のスパムが届き、担当者が1件あたり1分かけて中身を確かめて削除しているとします。1か月に20日働くとすると、20件×1分×20日で、1か月あたり400分、およそ6.7時間です。担当者の時給を2,000円とすれば、1か月あたり約13,000円分の時間がスパムに使われていることになります。

一方で、本物の問い合わせを1件落としたときの損失も考えます。問い合わせから受注につながる割合や、1件の取引の金額は会社によって違いますが、1件の受注で数十万円の売上になる会社なら、本物の問い合わせを月に1件落とすだけで、スパムに使っている時間の何倍もの損失になります。

この2つを比べると、入口の対策を強くして担当者の時間を節約するより、本物を落とさない仕組みに手間をかけるほうが、多くの会社にとって得だということが分かります。まず軽い入口の対策と、届いたあとの仕分けから始め、効果を見ながら必要な分だけ対策を足していく、という順番が、費用の面でも確実です。

問い合わせの窓口を守る仕事と、在宅の働き方

最後に、問い合わせフォームのスパム対策が、在宅の仕事の市場でどう扱われているかを整理します。

問い合わせフォームの設定や見直しは、外部の人に頼まれることの多い仕事です。サイトの集客や検索の対策と一緒に、フォームの改善を頼まれる場面もあります。どのような仕事が募集されているかは、SEO対策・MEO・LPOのお仕事で確かめられます。フォームの安全や、会社の情報の守り方を整える仕事は、AI・マーケティング・セキュリティのお仕事で紹介しています。

セキュリティの対策には、国の補助を使える場合があります。IT導入補助金のセキュリティ対策推進枠の使い方はIT導入補助金2026「セキュリティ対策推進枠」の活用法｜UTM・EDRを実質半額で導入で、申請が通らなかったときの見直し方はIT導入補助金2026の不採択理由トップ10と対策｜二次申請で採択される改善法で説明しています。業務の仕組みを全体から見直したい会社には、経営の診断と助言の専門家である中小企業診断士に相談する方法もあります。

在宅ワークの市場を長く運営してきた立場から見ると、問い合わせの窓口がきちんと管理されている会社ほど、外部の人にも仕事を頼みやすくなっています。誰が何に返事をしたかが記録されていれば、仕事の一部を在宅の人に任せても、引き継ぎで混乱しません。発注する側と受ける側が直接やり取りでき、仲介の手数料0%で取引できる関係なら、浮いた予算を窓口の仕組みづくりに回せます。

よくある質問

Q. 問い合わせフォームのスパム対策は何から始めればよいですか？

まず1週間ほど、届いているスパムが自動の送信か、人の手による営業か、仕組みを悪用するものかを記録します。自動の送信が多いなら、人かどうかを確かめる仕組みや見えない罠の欄のような、利用者に負担をかけない入口の対策から始めます。届いたあとに本物を先に見つけられる仕分けの仕組みも、あわせて用意します。

Q. reCAPTCHAやTurnstileは無料で使えますか？

Google Cloudの比較のページでは、reCAPTCHAのEssentialsは1か月あたり1万件の判定まで無料で、無料で使う場合も有効な支払いの手段の登録が必要と書かれています。CloudflareのTurnstileは無料のプランがあり、1つのアカウントで20個までのウィジェットを作れ、判定の回数に上限はないと案内されています。