スパム問い合わせ・CAPTCHA

お問い合わせフォームのスパムを防ぐ方法には何がある？

スパム対策は、1つの仕組みに頼るより、複数の方法を重ねて使うほうが効果的です。まずお客様に見えない方法を使い、それでもスパムが多ければCAPTCHAを加える、という順番にするとお客様の負担を減らせます。

どの方法でも、判定はサーバー側で改めて確認する必要があります。画面にCAPTCHAを付けていても、サーバーで結果を確認していなければ、自動プログラムは画面を飛ばしてサーバーに直接書き込みを送ってきます。

スパムの入り口はお問い合わせフォームだけではありません。ホームページにそのまま書いてあるメールアドレスは、自動プログラムに収集されてスパムメールのリストに載りやすくなります。どうしてもメールアドレスを表示するなら、お問い合わせフォームも一緒に置き、メールサービスのスパムフィルターをオンにしておいてください。

ハニーポットはどうやってスパムを防ぐの？

ハニーポットとは、人の目には見えない入力欄をひとつ隠しておき、その欄が埋まっているお問い合わせを捨てる方法です。人には見えないので空欄のままになり、すべての欄を自動で埋めるプログラムは引っかかります。

お客様は何もしなくてよいので、負担がまったくないのが長所です。ただし、スクリーンリーダーを使うお客様がその欄を読み上げて入力してしまわないよう、支援技術からも隠れるように処理する必要があります。

ハニーポットは単純な自動プログラムにはよく効きますが、画面を実際のブラウザのように読み取るプログラムはすり抜けることがあります。そのため、送信回数の制限やCAPTCHAと一緒に使うケースが多いです。

届くスパムのほとんどが単純な自動広告なら、ハニーポットと送信回数の制限だけでもかなり減らせることがあります。お客様に負担がまったくないので、CAPTCHAを付ける前にまず試す価値があります。

reCAPTCHAとTurnstileの違いは？

どちらも、人間と自動プログラムを見分けるCAPTCHAサービスです。reCAPTCHAはGoogleが、TurnstileはCloudflareが提供しており、どちらもほとんどのお客様が問題を解かずに通過できるよう、裏側で判定する方式に対応しています。

reCAPTCHAは案内がGoogle Cloudのサービス側に移りつつあるため、使える機能や料金の条件が変わる可能性があります。Turnstileは、Cloudflareを経由していないホームページにも導入できると案内されています。どちらにしても、導入前に公式ドキュメントで現在の条件を確認してください。

どちらのサービスも、確認の過程で訪問者の情報を処理します。そのため導入するときは、個人情報処理方針に外部サービスを利用している旨を書く必要があるかもあわせて検討します。

お問い合わせフォームにスパム対策を付ける手順は？

スパム対策は、「今どんなスパムがどれくらい来ているか」を見たうえで、必要な分だけ付けるのがおすすめです。最初からいちばん強い仕組みを付けると、本物のお客様まで締め出してしまうことがあります。

付けた後も、本物のお問い合わせがブロックされていないか、ときどき確認する必要があります。「問い合わせを送ったのに返事がない」と言われたら、CAPTCHAの設定や内容チェックのルールに引っかかっていないか、まず確認してください。

1. 01最近のお問い合わせを見て、スパムが1日に何件あり、どんな内容かを整理します。
2. 02ハニーポットや送信回数の制限のように、お客様に見えない方法を先に付けます。
3. 03それでもスパムが多ければ、TurnstileやreCAPTCHAのようなCAPTCHAを加えます。
4. 04CAPTCHAの結果をサーバー側で改めて確認するよう設定します。
5. 05スマホとパソコンから実際にお問い合わせを送ってみて、きちんと届くか確認します。
6. 06お問い合わせの通知メールが迷惑メールフォルダに入らないかも確認します。
7. 07数週間スパムの件数を見守り、設定を調整します。

スパムのお問い合わせに紛れた詐欺はどう見分ける？

詐欺目的のお問い合わせは、たいてい脅したり急がせたりします。「著作権侵害で訴える、添付ファイルを確認せよ」「検索1位を保証する」「ホームページの弱点を見つけたので料金を払え」といったお問い合わせがよくある例です。

添付ファイルを開かせたり、リンクを押させたりすることが目的の場合が多いです。内容がもっともらしくても、お問い合わせ内のリンクからは入らず、すでに知っている公式サイトや電話番号で直接確認してください。

詐欺のお問い合わせは、ほとんどが似た文章を多くのお店に同じように送っています。受け取った文章の一部を検索してみると、同じ内容を受け取ったという他の人の投稿が見つかることがよくあります。

怪しいSMS・メールを受け取った、またはすでにリンクを押してしまった場合は、韓国ではKISA インターネット保護ナラの相談電話118に問い合わせることができます。管理会社があるなら一緒に知らせて、ホームページ側に問題がないか確認してもらいましょう。

スパム対策を付けるときによくある失敗は？

いちばん危険な失敗は、お問い合わせフォームの「自動返信メール」をそのままにしておくことです。自動プログラムが他人のメールアドレスを入れてフォームを送信すると、自分のホームページがその人にメールを送ることになり、自分のメールアドレスがスパムの送信元として記録されるおそれがあります。

制作会社に任せるときは、お問い合わせフォームだけでなく、予約フォーム・会員登録・コメントのように書き込みを受け付ける場所がすべて守られているか聞いてみてください。Googleも、ユーザーが書き込みを残す場所にはCAPTCHAや確認のような仕組みを設けるよう案内しています。

お問い合わせの通知を代表メール1つだけで受け取っていると、スパムの中に本物のお問い合わせが埋もれがちです。お問い合わせが管理画面にも一覧として残るようにしたり、通知の受け取り先をもう1つ増やしたりすれば、見逃すお問い合わせが減ります。

• 画面にだけCAPTCHAを付け、サーバー側では確認していない
• 設定を強くしすぎて、本物のお客様がお問い合わせを送れない
• お問い合わせフォームだけ守り、予約フォーム・会員登録・コメントはそのまま
• 自動返信メールに、お客様が書いた内容をそのまま入れて送っている
• 設定後に、自分でお問い合わせを送って確認していない