WordPressの問い合わせフォームのスパム対策｜設定の手順

WordPressで作ったサイトの問い合わせフォームに、意味の分からない英語のメッセージや、怪しいリンクだけが書かれた送信が毎日のように届く。本物のお客様からの問い合わせが、その中に埋もれてしまう。そんな悩みを抱えているサイトの運営者は少なくありません。

問い合わせフォームのスパムは、ほとんどがプログラムによる自動の送信です。そのため、人間には簡単で、プログラムには難しい確認を1つ挟むだけで、大きく減らせます。この記事では、WordPressで広く使われているContact Form 7を例に、スパム対策の設定の手順を、手軽なものから順に説明します。あわせて、自動返信のメールが踏み台にされる危険、サーバー側でできる対策、届いた問い合わせを取りこぼさないための運用も整理します。

問い合わせフォームにスパムが届く理由

問い合わせフォームにスパムが届くのは、フォームのページがインターネット上で誰でも見られる場所にあり、プログラムで自動的に見つけて送信できるからです。スパムを送る側は、検索エンジンや専用のプログラムで問い合わせフォームのあるページを集め、入力欄に文章やリンクを自動で入れて送信します。

送られてくるスパムには、主に次のような種類があります。

種類	内容の例	目的
宣伝	SEOの営業、怪しい商品の販売	自社の商品やサービスに誘う
リンク	意味のない文章と外部サイトのリンク	怪しいサイトに誘導する
フィッシング	「アカウントの確認が必要」などの偽の案内	情報やお金をだまし取る
踏み台	他人のメールアドレスを入れて送信	自動返信を使って第三者にスパムを送る
試し打ち	意味のない文字の並び	フォームが動くか、守りが弱いかを確かめる

この中でも特に注意したいのが、踏み台にされるスパムです。問い合わせフォームに自動返信の設定をしていて、その返信に入力された内容がそのまま入る作りになっていると、スパムを送る側は、他人のメールアドレスを入力し、本文欄に宣伝の文章を入れて送信します。すると、サイトから第三者に、宣伝の文章が入った自動返信のメールが送られてしまいます。サイトの運営者が知らないうちに、スパムの送り主になってしまうということです。この対策は、あとの節で詳しく説明します。

スパムを放っておくと、本物の問い合わせを見落とす、確認の手間がかかる、サーバーやメールの送信の評価が下がる、といった問題につながります。週に数件のうちは気にならなくても、ある日を境に1日に数十件届くようになることもあるので、早めに対策をしておくことをおすすめします。

届いたスパムの見分け方

対策を考える前に、届いている送信のうち、どれがスパムでどれが本物の問い合わせかを見分けられるようにしておきます。見分け方が分かると、どの対策が効きそうかも判断しやすくなります。

スパムによく見られる特徴は、次のとおりです。

• 名前の欄に意味のない英字の並びや、会社名ではない宣伝の文句が入っている
• 本文がほとんど英語やほかの外国語で、サイトの内容と関係がない
• 本文にURLがいくつも書かれている
• 同じ文面が、送信者の名前だけを変えて何度も届く
• 深夜や早朝に、短い間隔で続けて届く
• メールアドレスの欄と名前の欄の内容がまったく合っていない

一方で、本物の問い合わせでも、短い文だけのものや、外国の方からの英語の問い合わせもあります。特徴が1つ当てはまるだけでスパムと決めつけず、複数の特徴が重なっているかどうかで判断するのが安全です。

見分けるときに注意したいのが、本文に書かれたURLを開かないことです。スパムに書かれたURLの先には、ウイルスを仕込んだサイトや、情報をだまし取るための偽のサイトがあることがあります。中身を確かめたくなっても、開かずに削除するようにします。

届いたスパムは、すぐに削除する前に、どんな種類が多いかを1週間ほど記録しておくと役立ちます。英語のリンクばかりのスパムが多いのか、日本語の営業の送信が多いのか、同じ文面が繰り返し届くのかによって、効き目のある対策が変わるからです。

入力欄の作り方でスパムを減らす

フォームの入力欄の作り方を見直すことも、スパムを減らすのに役立ちます。外部のサービスに登録しなくてもできる工夫です。

1つ目は、URLの入力欄を作らないことです。問い合わせの内容にとってURLが本当に必要でなければ、ホームページのURLを入力する欄は削除します。URLの欄があると、スパムを送る側にとって、宣伝のリンクを入れる場所を用意していることになります。

2つ目は、必須の項目を適切に決めることです。名前、メールアドレス、問い合わせの内容の3つを必須にしておくと、空欄のまま送られてくる試し打ちの送信を減らせます。一方で、電話番号や住所まで必須にすると、本物のお客様が入力をためらうこともあります。問い合わせに本当に必要な項目だけを必須にします。

3つ目は、問い合わせの種類を選ぶ欄を加えることです。「商品について」「見積もりの依頼」「採用について」「その他」のような選択肢を用意しておくと、選択肢を選ばずに送られてくる送信を見分けやすくなるうえ、本物の問い合わせの振り分けにも役立ちます。

4つ目は、同意の確認を入れることです。プライバシーポリシーへの同意の確認を、送信の前に求めるようにします。Contact Form 7には同意の確認のためのタグが用意されていて、確認しなければ送信できないようにできます。本来はお客様の情報の扱いを伝えるための仕組みですが、プログラムによる送信を止める効き目もあります。

Contact Form 7のスパム対策の全体像

WordPressの問い合わせフォームで多く使われているContact Form 7は、WordPressの公式のプラグインのページによると、有効インストール数が1,000万以上の、広く使われているプラグインです。手軽にフォームを作れる一方で、スパム対策は自分で設定する必要があります。

formrunの無料登録はこちらContact Form 7は、WordPressで手軽にフォームが作成できます。しかし、スパム対策を含めたセキュリティ対策は自身で行う必要があり、ビジネス利用では不安を感じる方も少なくないでしょう。 出典: form.run

Contact Form 7で使える主なスパム対策は、次のとおりです。

対策	仕組み	手間	効き目
Cloudflare Turnstile	人間かどうかを自動で判定する	少ない	高い
Google reCAPTCHA	人間らしさを点数で判定する	少ない	高い
Akismet	送信の内容からスパムを判定する	少ない	中くらいから高い
クイズ	簡単な質問に答えてもらう	少ない	中くらい
禁止語の登録	決まった語を含む送信を止める	中くらい	種類によって変わる
ハニーポット	人間には見えない入力欄を使う	少ない	中くらい

1つの対策だけで完全に防ぐのは難しいので、2つか3つを組み合わせるのが一般的です。おすすめは、まずTurnstileかreCAPTCHAのどちらか1つを入れ、それでも残るスパムをAkismetや禁止語で止める、という組み合わせです。

対策を始める前に、2つの準備をしておきます。1つ目は、WordPressとContact Form 7を最新の版に更新しておくことです。古い版のままだと、新しい対策の機能が使えなかったり、ほかの弱点を突かれたりします。2つ目は、サイトのバックアップを取っておくことです。設定を間違えてフォームが動かなくなったときに、元に戻せるようにしておきます。

Cloudflare Turnstileを設定する手順

Cloudflare Turnstileは、Cloudflareが提供する、人間かどうかを判定する仕組みです。画像の中から信号機を選ばせるような面倒な確認をほとんど求めずに、裏側で判定してくれるのが特徴です。Contact Form 7の公式の説明では、Turnstileは無料で利用でき、reCAPTCHAを使う特別な理由がなければTurnstileを選ぶようすすめられています。

設定の手順は次のとおりです。

1. Cloudflareのアカウントを作り、管理画面のTurnstileの項目を開く
2. ウィジェットを作成し、サイトのドメインを登録する。ウィジェットの形式は、推奨のManagedを選ぶ
3. 表示されたサイトキーとシークレットキーを控えておく
4. WordPressの管理画面で「お問い合わせ」から「インテグレーション」を開く
5. Turnstileの欄で「インテグレーションのセットアップ」を選び、2つのキーを入力して保存する

設定はこれだけです。Contact Form 7が、サイトにあるフォームに自動でTurnstileの確認を組み込みます。確認の表示は、標準ではフォームの先頭に出ます。位置を変えたいときは、フォームの編集画面で、表示したい場所に [turnstile] というタグを書き込みます。

Turnstileの仕組みや料金の詳細は、Cloudflareの公式のドキュメントで確かめられます。CloudflareでDNSを管理していないサイトでも、Turnstileだけを使うことができます。

設定が終わったら、必ず自分で問い合わせフォームから試しに送信してみてください。確認の表示が出て、送信が正常に終わり、メールが届けば設定は完了です。送信できない場合は、キーの入力の誤りか、登録したドメインの誤りがよくある原因です。

Google reCAPTCHAを使う場合

Google reCAPTCHAは、Googleが提供する同じような仕組みです。Contact Form 7は、reCAPTCHAのうち、利用者に確認の操作を求めない版（v3）に対応しています。訪問者の動きから人間らしさを点数で判定し、点数の低い送信をスパムとして扱います。

設定の流れは、Turnstileとほぼ同じです。Googleの管理画面でサイトを登録してサイトキーとシークレットキーを取得し、WordPressの「お問い合わせ」の「インテグレーション」で、reCAPTCHAの欄にキーを入力します。

reCAPTCHAを使うときに注意したいのは、2つの点です。1つ目は、すでにGoogleのほかのサービスと連携していて、Googleの管理画面にまとめたい場合など、特別な理由があるときに選ぶとよい、という点です。新しく始めるなら、前の節のTurnstileで十分です。2つ目は、TurnstileとreCAPTCHAを同時に使わないことです。2つを重ねると、どちらかの判定で本物の送信が止まりやすくなり、原因の切り分けも難しくなります。

reCAPTCHAを使うと、サイトの画面の右下などにreCAPTCHAのマークが表示されます。マークが表示されることや、Googleのサービスを使っていることを、プライバシーポリシーに書いておくと親切です。

Akismetとクイズで残りのスパムを減らす

TurnstileやreCAPTCHAを入れても、人間が手で送ってくる営業の送信や、判定をすり抜けるプログラムの送信は残ります。そうした残りのスパムを減らすのに役立つのが、Akismetとクイズです。

Akismet

Akismetは、送信された内容を、世界中のサイトで集めたスパムの情報と照らし合わせて判定するサービスです。WordPressのコメントのスパム対策として広く使われていて、Contact Form 7とも連携できます。

WordPressの公式のプラグインのページによると、Akismetを使うにはAkismet.comのAPIキーが必要で、このキーは個人のブログでは無料、企業や商用のサイト向けには有料の契約が用意されています。会社のサイトや、商品やサービスを売るサイトで使う場合は、有料の契約が必要になる点に注意してください。

Akismetを有効にしたら、Contact Form 7のフォームの編集画面で、名前やメールアドレス、本文の入力欄に、Akismetで判定するための指定を加えます。指定の書き方は、Contact Form 7の公式の説明に載っています。

クイズ

クイズは、送信の前に簡単な質問に答えてもらう方法です。たとえば「日本の首都はどこですか」「3と5ではどちらが大きいですか」のような、人間なら誰でも答えられる質問を入れておき、答えが合っていなければ送信できないようにします。Contact Form 7には、このためのクイズのタグが用意されています。

クイズは設定が簡単で、外部のサービスに登録する必要もありません。一方で、利用者に一手間をかけてもらうことになるので、問い合わせの数が減ることもあります。質問は、外国の人や、子どもでも答えられるやさしいものにしておくのがこつです。

禁止語の登録とハニーポット

禁止語の登録

スパムの中には、同じ語やリンクを繰り返し含むものがあります。そうした語を登録しておき、その語を含む送信を止める方法です。

WordPressには、コメントで使わせない語を登録しておく設定が、管理画面の「設定」の「ディスカッション」にあります。Contact Form 7は、この一覧に登録した語を含む送信をスパムとして扱います。届いたスパムを見て、毎回のように含まれている語、たとえば特定の怪しいサイトの名前や、決まった宣伝の言い回しを登録していきます。

禁止語を登録するときは、本物の問い合わせにも出てきそうな語を入れないように注意します。たとえば「SEO」を登録すると、SEOの相談をしたいお客様の問い合わせまで止まってしまいます。登録した語の一覧は、半年に1回ほど見直し、本物の問い合わせを止めていないかを確かめます。

ハニーポット

ハニーポットは、人間には見えない入力欄をフォームに隠しておく方法です。人間は見えない欄に何も入力しませんが、プログラムは見つけた入力欄を全部埋めようとします。その欄に何か入力されていれば、スパムと判定して止めます。

Contact Form 7そのものにはハニーポットの機能はありませんが、Contact Form 7に対応したハニーポットのプラグインを追加すると使えます。プラグインを入れるときは、更新が続いているか、利用者の数や評価はどうかを、WordPressの公式のプラグインのページで確かめてから選びます。

自動返信のメールを踏み台にさせない設定

前の節で触れたとおり、問い合わせフォームの自動返信は、設定によってはスパムの踏み台に使われます。サイトの運営者が気付かないうちに第三者へ迷惑なメールを送ってしまうと、サイトのドメインからのメールが迷惑メールとして扱われやすくなり、お客様への大事な連絡まで届かなくなることがあります。

踏み台にされないための設定のポイントは、次のとおりです。

• 自動返信の本文に、入力された本文やURLをそのまま入れない
• 自動返信の本文は、受け付けたことと、返信までの目安だけを伝える短い文にする
• 自動返信の件名に、入力された名前や件名をそのまま入れない
• TurnstileやreCAPTCHAなど、プログラムの送信を止める対策を必ず先に入れる

Contact Form 7では、自動返信は「メール(2)」という欄で設定します。この欄の本文に、入力欄の内容を差し込むタグを入れていると、入力された内容がそのまま送られます。お客様の確認のために入力内容を返したい場合でも、本文やURLの欄だけは差し込まないようにすると、踏み台にされる危険を大きく減らせます。

自動返信の本文の例を示します。

件名：お問い合わせを受け付けました

このたびはお問い合わせいただき、ありがとうございます。 内容を確認のうえ、担当者より2営業日以内にご連絡いたします。 なお、このメールは送信専用のため、ご返信いただいてもお答えできません。

株式会社〇〇　お客様窓口

この例のように、入力された内容を一切含めない文にしておけば、他人のメールアドレスが入力されても、宣伝の文章が第三者に届くことはありません。

そもそも自動返信が要るかどうかも、見直してみる価値があります。問い合わせの数が少なく、営業時間内にすぐ返信できるなら、自動返信を使わず、担当者からの最初の返信で受付をお知らせする形でも十分です。

サーバーやサイト全体でできる対策

フォームの設定に加えて、サーバーやサイト全体でできる対策もあります。

1つ目は、レンタルサーバーの機能を使うことです。多くのレンタルサーバーには、WAF（ウェブアプリケーションファイアウォール）と呼ばれる、怪しい通信を止める機能があります。管理画面で有効にするだけで、問い合わせフォームへの攻撃を含む、さまざまな不正な通信を減らせます。WAFを有効にしたあとは、フォームが正常に送信できるかを必ず確かめます。設定によっては、本物の送信まで止まることがあるからです。

2つ目は、海外からのアクセスを制限することです。日本国内のお客様だけを相手にしているサイトなら、レンタルサーバーやCloudflareの機能で、海外からの問い合わせフォームへのアクセスを制限する方法があります。スパムの多くは海外から送られてくるので、大きく減ることがあります。ただし、海外に住む日本人のお客様や、海外の取引先からの問い合わせも止まるので、自社のお客様の状況を考えて判断してください。

3つ目は、WordPress本体とプラグインを常に最新の状態に保つことです。スパムを送る側は、古い版の弱点を狙ってきます。使っていないプラグインは削除し、使っているものは更新を怠らないようにします。ウェブサイトの安全な作り方については、情報処理推進機構（IPA）が安全なウェブサイトの作り方という資料を公開していて、ウェブサイトの運営者が気を付けるべき点が整理されています。

4つ目は、管理画面のログインを守ることです。問い合わせフォームのスパムとは別の話ですが、スパムが多く届くサイトは、管理画面へのログインの試みも多く受けていることがよくあります。推測されにくいパスワードを使う、ログインの回数を制限するプラグインを入れる、二段階認証を有効にする、といった対策も一緒に行っておくと安心です。

本物の問い合わせを取りこぼさない運用

スパム対策を強めるほど、気を付けたいのが、本物の問い合わせまで止めてしまうことです。スパムを止めることが目的になってしまうと、お客様からの大事な問い合わせを失うことになりかねません。

取りこぼしを防ぐために、次のような運用をおすすめします。

1. 対策を入れたら、自分で問い合わせフォームから送信して、届くことを確かめる
2. スマートフォンとパソコンの両方から、試しに送信してみる
3. 月に1回ほど、フォームから試しに送信して、今も届くかを確かめる
4. 迷惑メールのフォルダも、週に1回は目を通す
5. お客様から「問い合わせたのに返事がない」と言われたら、すぐに設定を見直す

問い合わせが届いたあとの対応も大切です。スパムに埋もれていた本物の問い合わせに気付くのが遅れると、返信が数日遅れることになります。問い合わせの数が少ないうちは、届いたメールに返信済みの印を付けるだけで十分です。メールソフトのラベルやフラグの機能を使い、「未対応」「返信済み」を分けておくと、返信の漏れを防げます。

問い合わせの数が多くなってくると、メールの受信箱だけで管理するのは大変になります。そんなときは、表計算のソフトで問い合わせの一覧を作り、受け付けた日、担当者、状況、返信した日の列を付けて管理する方法があります。担当者が1人か2人なら、この形でも十分に回ります。

社外から届く問い合わせや応募が多く、複数の担当者で、一件ごとの担当と状況を付けて返信まで回したい場合は、受け付けから返信までを1つの画面で扱える道具を使う方法もあります。選択肢の1つが、国産の受付管理のHalictです。公式の案内によると、届いた一件ごとに担当と状況が残り、返信も同じ画面から送れて、返信が開封されたかどうかまで記録されます。1人で使う無料のプランがあり、登録にクレジットカードは要りません。メンバー3人までのスターターのプランは月額2,980円（税抜）です。Halictは、@SOHOを運営する株式会社ライフスケープが開発・提供しています。

問い合わせを受けたあとの流れを決めておくことは、スパム対策と同じくらい、お客様の信頼につながります。問い合わせから返信までの目安の日数を決め、その日数を守れているかを月に1回振り返ると、対応の質が安定します。

スパムが急に増えたときの対処

それまで週に数件だったスパムが、ある日から1日に数十件、数百件と急に増えることがあります。フォームのページがスパムを送る側の一覧に載ったときによく起こります。慌てずに、次の順で対処します。

まず、自動返信の設定を確かめます。スパムが急に増えたときに一番困るのは、自動返信が大量に第三者へ送られることです。入力内容を差し込む設定になっていれば、すぐに外します。判断に迷う場合は、いったん自動返信を止めてしまってもかまいません。

次に、レンタルサーバーのメールの送信の記録を確かめます。サイトから大量のメールが送られていないか、送信の数に上限がかかっていないかを見ておきます。送信の数が多すぎると、サーバーの会社からメールの送信を止められることもあります。

そのうえで、TurnstileやreCAPTCHAが正しく動いているかを確かめます。フォームのページを開いて確認の表示が出ているか、キーの有効期限が切れていないかを見ます。プラグインの更新のあとに設定が外れていることもあります。

それでも止まらない場合は、一時的にフォームのページを非公開にし、問い合わせの方法として、メールアドレスや電話番号をページに載せる形に切り替えます。メールアドレスをそのまま載せると今度はメールのスパムが増えることがあるので、あくまで対策を整えるまでの一時的な方法と考えてください。対策を入れて落ち着いたら、フォームを元に戻します。

対策を入れる順番の目安

ここまで紹介した対策を、どの順番で入れればよいか迷う人のために、目安を整理します。

まず最初に行うのは、WordPressとContact Form 7の更新と、サイトのバックアップです。そのうえで、Cloudflare Turnstileを設定します。多くのサイトでは、これだけでスパムの大半が止まります。

次に、自動返信の本文を見直します。入力された本文やURLを差し込んでいる場合は、すぐに外します。これは、スパムの量に関係なく、踏み台にされないために必ず行っておきたい対策です。

それでもスパムが残る場合は、残ったスパムの種類を見て対策を選びます。同じ語やリンクを含むスパムが多いなら禁止語の登録、プログラムによる送信がすり抜けているならハニーポットやAkismet、人間が手で送っている営業の送信が多いならクイズ、という具合です。

最後に、レンタルサーバーのWAFや、海外からのアクセスの制限を検討します。これらは効き目が大きい一方で、本物の送信を止めてしまう可能性もあるので、設定のあとに必ず試しの送信で確かめてください。

対策を入れるたびに、どれくらいスパムが減ったかを記録しておくと、次に何をすればよいかが分かりやすくなります。1週間ごとに届いたスパムの数を数えておくだけで十分です。

WordPressのサイトを守る力は仕事になる

問い合わせフォームのスパム対策は、WordPressのサイトを運営する多くの会社や個人が困っていることです。自分のサイトで対策を身に付けると、その知識は、ほかの人のサイトを手伝う仕事にもつながります。

在宅の仕事やフリーランスの仲介を20年ほど続けてきた運営者として見てきた限りでは、WordPressのサイトの保守の依頼は、新しくサイトを作る依頼と同じくらい多く寄せられています。プラグインの更新、バックアップの設定、スパム対策、表示の不具合の修正など、作ったあとの手入れを継続して任せたいという依頼です。仲介の手数料が乗らない直接のやりとりなら、依頼する側は同じ予算で長く頼め、受ける側は手取りが厚くなるので、継続の仕事として関係を続けやすくなります。

WordPressのサイトづくりや保守の仕事に興味があれば、WordPressのお仕事で、仕事の内容や求められる技能を紹介しています。サイトの安全を守る仕事の幅を広げたい人には、AI・マーケティング・セキュリティのお仕事のガイドもあります。サイトの見た目づくりまで手がけたい人は、デザイナーの年収・単価相場で、仕事の単価の目安を確かめられます。

スパム対策は、一度設定すれば終わりではなく、届くスパムの変化に合わせて少しずつ見直していくものです。まずはTurnstileの設定と自動返信の見直しから始めてみてください。

よくある質問

Q. WordPressの問い合わせフォームのスパム対策で最初にやるべきことは何ですか？

WordPressとContact Form 7を最新の版に更新し、バックアップを取ったうえで、Cloudflare Turnstileを設定するのがおすすめです。無料で使え、設定はキーを2つ入力するだけで終わります。あわせて、自動返信の本文に入力内容をそのまま差し込んでいないかを確かめ、差し込んでいる場合は外してください。

Q. Cloudflare TurnstileとGoogle reCAPTCHAはどちらを使えばよいですか？

特別な理由がなければCloudflare Turnstileがおすすめです。Contact Form 7の公式の説明でも、reCAPTCHAを使う理由が特にないならTurnstileを選ぶようにすすめられています。どちらを使う場合も、2つを同時に入れると本物の送信が止まりやすくなるので、1つだけにしてください。

Q. スパム対策を入れたら本物の問い合わせが届かなくなることはありますか？

設定によっては起こります。特に、禁止語の登録やWAF、海外からのアクセスの制限は、本物の送信まで止めてしまうことがあります。対策を入れたら、スマートフォンとパソコンの両方から試しに送信して届くことを確かめ、その後も月に1回ほど試しの送信を続けると安心です。

Q. 問い合わせフォームの自動返信はなぜ危険なのですか？

自動返信の本文に入力内容がそのまま入る設定だと、他人のメールアドレスと宣伝の文章を入力され、サイトから第三者に迷惑なメールが送られてしまうからです。踏み台にされるとサイトのドメインの評価が下がり、大事なメールまで届きにくくなります。自動返信は受付のお知らせだけの短い文にしてください。