お問い合わせフォームの迷惑メール・スパム対策、うちのフォームで実際にやっている6つ

お問い合わせフォームに迷惑メールやスパムが届くなら、対策は1つより重ねがけが効きます。うちのフォーム（PHPで自作）で実際にやっている6つの対策と、それでも止まらないものを書きます。

お問い合わせフォームから、英語の広告や、意味の通らない文章が届いたことはありませんか？

フォームを置くと、こういうものはどうしても来ます。困るのは、迷惑メールにまぎれて、本物のお問い合わせを見落とすことです。

うちのフォームには、いまは迷惑メールはほとんど来ていません。届くのは、人の手で送ってくる営業のメールが月に1〜2通です。

フォームにスパムが来るのはなぜ？

ネットには、フォームを見つけては自動で文字を書き込んで送る「ロボット」が動いています。人が1件ずつ送っているわけではありません。

郵便受けのチラシにたとえると、ポスティングの機械が町じゅうの郵便受けに投げ込んでいるようなものです。こちらが目立つから来るのではなく、郵便受けがあるから来ます。

もうひとつは、人の手で送ってくる営業のメールです。こちらは中身はふつうの文章なので、機械では見分けにくい。ここは後で書きます。

フォームの中に、画面には出ない入力欄を1つ置いています。人には見えないので、ふつうは空のまま送られてきます。

ロボットは、見つけた欄を全部埋めてしまいがちです。この欄に何か入っていたら、送信を断ります。「ハニーポット」と呼ばれる、ねずみ取りのような仕掛けです。

送信が、うちのお問い合わせのページから来たかどうかを見ています。別の場所から直接データだけを送りつけてくるものは、ここで止まります。

Googleの「reCAPTCHA（リキャプチャ）」を使っています。信号機の写真を選ばせるパズルを見たことがあると思いますが、うちが使っているv3は、パズルを出さないタイプです。

ページでの動きから、人らしさを0〜1の点数にしてくれます。うちでは、点数が低いものは送信を断るようにしています。

ただ、reCAPTCHAの読み込みは少し重いです。なので、ページを開いた時点では読み込まず、入力欄に触れたときに読み込むようにしています。お問い合わせのページは、表示の速さを測るLighthouse（スマホ）で98点です。

同じ接続元からは、決まった時間のあいだに送れる数に上限をつけています。

数えるのは、送信がうまくいった分だけです。入力の間違いで何度かやり直した方まで締め出さないためです。

お名前は100字まで、ご相談内容は5,000字まで、のように上限を決めています。とんでもなく長い文章を送りつけて、受信箱やサーバーを重くするのを防ぎます。

フォームの入力欄に細工をして、よその人あてにメールを送らせる手口があります。メールの宛先や件名を決める部分に、改行を入れてくるやり方です。

うちでは件名などに入る文字から改行を取りのぞいています。迷惑メールを「受け取る側」ではなく、知らないうちに「送る側」にされないための対策です。

reCAPTCHAの点数は、ときどき人を機械と間違えます。なので断ったときは、エラーで終わらせずに、時間をおいてもう一度試してもらうよう画面に出しています。

本物のお問い合わせを断ってしまうのが、いちばんもったいないからです。

ここまでの6つは、ロボットには効きます。でも、人が手で入力して送ってくる営業のメールは、通ってしまいます。中身はふつうの文章で、送り方も人と同じだからです。

正直に言うと、これを機械で完全に止める方法は、うちでは持っていません。

うちに届く営業のメールは月に1〜2通なので、基本的には読まずに置いています。それくらいの数なら、困ることはありません。

WordPressでよく使われるContact Form 7には、reCAPTCHAとつなぐ設定が最初から入っています。Googleでサイト用の鍵を2つ発行して、設定画面に貼る形です。

スパム対策のプラグイン（追加の部品）もあります。どれを入れるにしても、入れたら自分で1回送ってみて、ちゃんと届くかを確かめてください。対策を強くしすぎて、本物まで止まっていたら意味がありません。

対策は、重ねるほど「通らないもの」が増えます。だからこそ、月に1回くらいは自分のフォームから送ってみるのがおすすめです。

迷惑メールを減らすのは、本物のお問い合わせを1通も落とさないためです。そこだけは忘れずにいたいと思っています。

最後までお読みいただきありがとうございます。