問い合わせフォームに、英語の宣伝や見覚えのない URL を並べたメッセージが毎日届く。本物の問い合わせがその中に埋もれて、返信が遅れてしまった。サーバー会社から「フォームが迷惑メールの送信に使われている」と連絡が来た。フォームを公開している会社であれば、規模にかかわらず起こりうることです。

結論から言うと、問い合わせフォームのスパム対策は、閲覧者に負担をかけない対策（ハニーポット・送信時間や内容のチェック）を土台にし、スパムが続く場合に Cloudflare Turnstile や reCAPTCHA を重ね、あわせて自動返信メールに入力内容を載せない設定で、フォームを迷惑メールの「踏み台」にさせないことが基本です。

この記事では、フォームに届くスパムの種類、自動返信の悪用を防ぐ設定、10の対策の比較表、状況別の組み合わせ方、WordPress での実装の考え方、やりすぎて本物の問い合わせを逃さないための注意点を、2026年10月時点の公式情報にもとづいて解説します。

問い合わせフォームに届くスパムの種類

フォームのスパムは「機械による自動送信」「自動返信を悪用した第三者への送信（踏み台）」「フォームの脆弱性を突く送信」「人の手による営業」の4つに分けると、効く対策を選びやすくなります。

種類	例	主な被害	効く対策
機械による自動送信	英語や意味のない文字列の宣伝、URL を並べたメッセージ	通知が埋もれ、本物の問い合わせを見落とす	ハニーポット、送信時間・内容のチェック、Turnstile・reCAPTCHA
自動返信の悪用（踏み台）	無関係な第三者のメールアドレスと、宣伝文やフィッシングサイトの URL を入力し、自動返信で第三者に届けさせる	第三者に迷惑メールが届く。送信元のサーバーの評判が下がり、通常のメールまで届きにくくなる	自動返信の内容の固定・停止、自動送信への対策
脆弱性を突く送信	入力欄に改行やメールのヘッダーを紛れ込ませ、任意の宛先にメールを送らせる（メールヘッダ・インジェクション）	第三者へのメールの中継、迷惑メールの送信	宛先・件名をプログラム側で固定する、フォームのプログラムを更新する
人の手による営業	売り込みや提携の提案	確認と仕分けの手間	機械的な対策では止めにくい。用件の選択肢と方針の明記で分けて受け付ける

エックスサーバーのメールフォームの悪用に関するマニュアルでは、2つ目の手口によって送信元のサーバーの IP アドレスの評判が下がり、ブラックリストに登録されると、正当なメールまで送れなくなるおそれがあると説明されています。IPA（情報処理推進機構）の安全なウェブサイトの作り方では、3つ目のメールヘッダ・インジェクションについて、問い合わせフォームなど入力内容を管理者にメールで送る機能が影響を受け、第三者へのメールの中継や迷惑メールの送信に悪用されるとしています。

自動返信の悪用（踏み台）を防ぐ設定

自動返信メールは、入力された内容を本文に載せず、件名と本文を固定した短い文面にし、それでも悪用が続く場合は一時的に止めます。

フォームが踏み台に使われるのは、自動返信の宛先を入力者が自由に決められ、そこに入力内容がそのまま載るからです。自動返信に宣伝文や URL が載らなければ、悪用する側が得るものは小さくなります。次の点を確かめます。

自動返信の本文に、問い合わせの内容を差し込まない。氏名の欄に宣伝文や URL を入れる手口もあるため、氏名の差し込みも控えるか、氏名の欄に入力できる文字数を制限する
件名・送信元・宛先は、プログラムや設定で固定する。IPA は、メールのヘッダーに外部からの入力を使わず、入力内容はすべて本文に出力するよう勧めています
送信先のメールアドレスを、画面の隠し項目などに書かない。書き換えられると、任意の宛先にメールを送られるおそれがあります（IPA）
自動返信を止める場合は、完了ページに受付の旨と返信の目安を表示する。エックスサーバーのマニュアルでも、止めると受付完了のメールが届かなくなり、問い合わせた人が不安に感じる点が挙げられています
サーバーの送信ログや送信数に急な増加がないかを、月に1回は確かめる

悪用によってサーバーの送信数の上限に達したり、送信元の評判が下がったりすると、フォームの通知メールも届かなくなります。届かないときの原因の切り分けは問い合わせフォームのメールが届かない原因と確認手順で解説しています。

Service

運用保守・集客改善のご相談はフェニックスデザインへ

ナレッジベースを運営するフェニックスデザインが、今のサイトの数字を見るところから対応します。URLを入れるだけの無料簡易診断から。

無料で簡易診断運用保守・集客改善のサービスを見る

スパム対策の比較表

スパム対策は1つに頼らず、閲覧者の負担が小さい対策から順に重ねるのが基本です。

W3C（ウェブ技術の標準化団体）のCAPTCHA のアクセシビリティに関する文書（2021年12月版）は、ゆがんだ文字を読ませるような CAPTCHA が、視覚に障害のある人などを締め出してしまうと指摘しています。そのうえで、リスクに見合った負担の小さい方法を選ぶこと、人に操作を求めるチェックは回数を減らすこと、操作を求めない方法を優先することを勧め、人には見えない欄に入力した送信を機械とみなすハニーポットも、実装が簡単で検討すべき方法として紹介しています。

対策	仕組み	防げるもの	閲覧者の負担	費用の目安	注意点
ハニーポット	人には入力しないよう案内した欄（または見えない欄）を置き、入力があれば機械とみなす	単純な自動送信	なし	無料（実装の手間のみ）	高度な自動送信は見抜けない。画面の読み上げを使う人が誤って入力しないよう、「入力しないでください」とラベルに書く
送信時間のチェック	ページを開いてから送信までが極端に短いものを弾く	自動送信	なし	無料	ブラウザの自動入力で速く送る人を弾かない秒数にする
内容のチェック	URL の数、禁止語、日本語を含まない送信などを弾く、または保留にする	宣伝・URL のスパム	なし	無料	英語の問い合わせや、自社サイトの URL を書く正当な問い合わせを弾かない条件にする
送信回数の制限	同じ接続元から短時間に続く送信を止める	大量の自動送信、踏み台	なし	無料（実装の手間のみ）	社内の共有回線など、同じ接続元から複数の人が送る場合に配慮する
Cloudflare Turnstile	閲覧者の環境を自動で確かめ、必要なときだけチェックボックスを表示する	自動送信	小	無料プランあり（1アカウント20ウィジェットまで）	外部のサービスを使うため、プライバシーポリシーに記載する
reCAPTCHA	Google のサービスで、閲覧者の操作などから機械かどうかを判定する（スコア型・チェックボックス型など）	自動送信	小〜中	月1万回の判定まで無料	バッジを表示するか、隠す場合は reCAPTCHA で保護されている旨を表示する。判定の基準が厳しいと正当な送信も弾く
Akismet	送信内容を外部のサービスに送り、迷惑な投稿かを判定する	宣伝・スパムの内容	なし	商用サイトは有料プラン	入力内容を外部に送るため、プライバシーポリシーに記載する
自動返信の制限	自動返信に入力内容を載せない、または止める	踏み台	なし	無料	止めると、お客様が受付を確かめられない
海外からのアクセスの制限	サーバーの機能で、国外の IP アドレスからのアクセスを制限する	海外からの自動送信	なし（国内の閲覧者）	サーバーの機能による	海外の取引先や、海外出張中の社員などが送れなくなる
確認画面	入力内容を確かめてから送信する	人の入力ミス	中	実装の手間のみ	自動送信のプログラムは確認画面を通らずに送れることが多く、スパム対策としての効果は限られる

費用と条件は2026年10月時点の公式情報によるものです。Turnstile は Cloudflare の配信網を使っていないサイトにも組み込め（Cloudflare Turnstile の公式ドキュメント）、無料プランは1アカウントあたり20ウィジェットまでです（プランの説明）。reCAPTCHA は現在 Google Cloud のサービスとして提供されており、料金の説明では、無料の区分で組織あたり月1万回まで判定でき、超えると翌月まで判定が止まるとされています。バッジを隠す場合の条件はreCAPTCHA のよくある質問に書かれています。Akismet は、公式の説明で、無料の個人向けプランは商用の利用に対応しないとされています。

状況別の組み合わせ方

まず無料で閲覧者の負担がない対策と自動返信の見直しを行い、それでもスパムが続くときに Turnstile か reCAPTCHA を加えます。

状況	組み合わせの例	補足
月に数件、宣伝が届く程度	ハニーポット＋送信時間のチェック＋自動返信の文面の固定	閲覧者の負担がなく、まずここから始める
毎日のように英語の宣伝や URL だらけの送信が届く	上記＋Turnstile または reCAPTCHA＋URL の数の制限	弾いた送信を保存して、誤判定がないかを確かめる
サーバー会社から悪用の連絡が来た、送信数が急に増えた	自動返信を一時的に止める → 送信ログで状況を確かめる → 自動送信への対策を入れる → 固定の文面で自動返信を再開する	送信元の評判が下がっている場合の対応は、サーバー会社に相談する
人の手による営業が多い	用件の選択肢に「営業・ご提案」を設け、方針をフォームの近くに書く	機械的な対策では止めにくい
資料ダウンロードや採用応募など、フォームが複数ある	すべてのフォームに同じ対策を入れる	問い合わせのフォームだけ対策すると、ほかのフォームが狙われることがある

reCAPTCHA と Turnstile は、どちらか一方で足ります。Contact Form 7 の公式サイトのTurnstile との連携の説明では、reCAPTCHA を使う理由がなければ Turnstile を勧めるとしています。営業のご連絡の受け付け方や、用件の選択肢の作り方は問い合わせフォームの項目の決め方で解説しています。

WordPressでの実装の考え方

WordPress では、プラグインを選ぶ前に「どこで判定するか」「弾いた送信をどう残すか」「誰が見直すか」を決めると、対策が増えすぎず管理しやすくなります。

Contact Form 7 の公式サイトのスパム対策のよくある質問では、Akismet による判定、reCAPTCHA、特定の語句や IP アドレスからの送信を止める拒否リストが案内されています。Turnstile は、管理画面の「お問い合わせ」→「インテグレーション」でサイトキーとシークレットキーを登録すると、すべてのフォームに組み込まれます。ハニーポットは、追加のプラグインやフォームのプログラムで設けます。設計では、次の点を確かめます。

判定はサーバー側で行う：画面の JavaScript だけで判定すると、フォームの送信先に直接データを送るプログラムには効きません。Turnstile や reCAPTCHA も、サーバー側での確認とセットで使われているかを確かめます
弾いた送信を捨てずに残す：送信内容を保存する仕組み（Contact Form 7 では Flamingo など）が、迷惑と判定した送信も残せるかを確かめ、定期的に見直します
鍵と登録したドメインを管理する：Turnstile や reCAPTCHA は登録したドメインで動くため、ドメインの変更やテスト環境からの移行のあとに確かめます。鍵を発行するアカウントは、担当者個人ではなく会社で管理します
機能の重なりを避ける：同じ役割のプラグインを複数入れると、競合して送信できなくなることがあります
フォームのプラグインも更新する：フォームの機能にも脆弱性が見つかることがあるため、ほかのプラグインと同じく更新します。更新を含む全体の対策はWordPressのセキュリティ対策チェックリストで整理しています

当社の無料簡易診断のフォームにも、「担当者名（入力しないでください）」という、人には入力しないよう案内した欄を設けています。入力する項目が少ないフォームでも、こうした閲覧者の負担がない対策は組み込めます。

やりすぎて問い合わせを逃さないための注意

スパム対策の誤判定はゼロにならないため、弾いた送信の見直し、送れなかった人への案内、定期的なテスト送信をセットで続けます。

誤判定が起きやすい送信を知っておく：英語の問い合わせ、サイトや資料の URL を書いた問い合わせ、自動入力で短時間に送られた送信、古いブラウザや JavaScript を止めた環境からの送信
エラーの文言で次の行動を案内する：「送信できませんでした」だけでなく、時間を置いて再度送る方法や、ほかの連絡方法を示す
対策を入れたあとの送信完了の件数を見る：対策を入れた月に正当な送信まで減っていないかを、GA4 の送信完了のキーイベントや、届いた問い合わせの件数で確かめる。計測の設定はGA4で問い合わせをキーイベントとして計測する方法で解説しています
操作を求めるチェックは最小限にする：チェックボックスや画像の選択は、一部の人には大きな負担になります
月に1回、テスト送信をする：対策を入れたあとも、社内への通知と自動返信が届くかを確かめる

スパム対策の目的は、迷惑な送信を完全になくすことではなく、本物の問い合わせを確実に受け取ることです。対策の強さは、届いているスパムの量と、誤判定で失うおそれのある問い合わせとを比べて決めます。

よくあるご質問

reCAPTCHA を入れたのに、スパムが止まらないのはなぜですか？

人の手で送られている営業や宣伝は、機械かどうかを判定する仕組みでは止められません。また、判定の基準がゆるい、判定がサーバー側で行われていない、資料請求や採用応募など別のフォームに対策が入っていない、ということもあります。届いている内容とフォームを確かめ、ハニーポットや内容のチェックを組み合わせます。

reCAPTCHA と Turnstile は、どちらを選べばよいですか？

どちらも自動送信を防ぐ目的は同じなので、一方で十分です。Turnstile は無料プランで使え、Contact Form 7 の公式サイトでも、reCAPTCHA を使う理由がなければ Turnstile を勧めています。すでに Google Cloud で reCAPTCHA を管理している場合は、そのまま使う選択もあります。どちらも外部のサービスなので、プライバシーポリシーへの記載を忘れないようにします。

届いたスパムに返信したり、本文の URL を開いたりしてもよいですか？

返信も、URL を開くこともしないでください。フィッシングサイトや不正なプログラムに誘導される場合があります。迷惑な送信は返信せずに削除するか、迷惑メールとして処理します。

スパムが届くだけなら、放っておいてもよいですか？

おすすめしません。本物の問い合わせを見落とす原因になるうえ、自動返信が悪用されていれば第三者に迷惑メールを送り続けることになり、送信元のサーバーの評判が下がって通常のメールまで届きにくくなるおそれがあります。

まとめ

問い合わせフォームのスパムは、機械による自動送信、自動返信の悪用（踏み台）、脆弱性を突く送信、人の手による営業に分けて対策します。ハニーポット・送信時間や内容のチェックなど閲覧者の負担がない対策を土台にし、続く場合は Turnstile か reCAPTCHA を加え、自動返信には入力内容を載せず件名と宛先を固定します。誤判定はゼロにならないため、弾いた送信を残して見直し、テスト送信と送信完了の件数の確認を続けることが、本物の問い合わせを逃さないためのポイントです。

当社のWEBサイト運用保守では、保守スタンダード（月3万円〜・税別）で、ログイン保護・改ざん検知・WAF の設定と、フォームの月次動作確認を行っています。他社で制作したサイトのフォームも、現状を確かめたうえでご相談いただけます。

フェニックスデザイン株式会社WEB制作会社が運営するナレッジベース編集部

コーポレートサイト・採用サイト・サービスサイトの制作と、公開後の運用保守・集客改善の現場で得た知見をもとに、発注する側の視点で記事を制作・更新しています。運営会社の所在地・事業内容は会社案内、制作の考え方はブランディング×マーケティング論をご覧ください。

この記事は 2026年10月26日に公開し、2026年10月26日に内容を確認・更新しました。

問い合わせフォームのスパム対策：reCAPTCHAだけに頼らない組み合わせ方