問い合わせフォームにスパムが大量に届く

2026.09.25 2026.09.28

ホームページの課題

代表取締役／ディレクター／デザイナー

「朝メールを開くと、フォームからの通知が十数件。全部英語の宣伝か、意味のない文字列」「本物の問い合わせがスパムに埋もれて、返信が遅れた」「通知メールを見るのが億劫になって、フォームそのものを気にしなくなった」。問い合わせフォームのスパムは、放置しても直接の損失が見えにくいぶん、じわじわと効いてくる課題です。

先にお伝えします。フォームのスパムには、プログラム（ボット）による自動送信と、人が入力する営業・迷惑送信があります。自動送信にはボット判定や送信回数の制限が役立ちますが、減らせる量は送信の種類やフォームの設定によって異なります。本物の問い合わせまで弾かないよう、届いている内容を確認したうえで対策を選び、導入後も調整することが大切です。

このページでは、スパムがなぜ届くのか、制作会社に何を頼めばいいのか、対策後に本物を弾いていないかをどう確認するかまでを整理しました。ENVY DESIGNの自社フォームで起きたことも、そのまま書いています。

このページでわかること

フォームにスパムが届く仕組みと、放置したときに本当に困ること
対策の種類と、それぞれが何を止めて、何を止めないか
制作会社に依頼するときに指定する項目と、その文言
対策後に、本物の問い合わせを弾いていないかを確かめる方法

公開されたフォームは、自動送信の対象になることがあります

問い合わせフォームは、訪問者が連絡を送れるよう公開された窓口です。その送信機能を使い、同じ文面を大量に送るプログラムがあります。広くフォームを探して送るものもあれば、業種や会社を絞った営業・迷惑送信もあります。

スパムが届いたことだけで、サイトへの侵入や改ざんがあったとは判断できません。また、届き始める時期や件数はサイトによって異なり、増えたという事実だけで検索順位や集客の変化を判断することもできません。

問題は、スパムそのものより、スパムに慣れてしまうことです。問い合わせが来ないと感じているとき、実は届いた本物をスパムと一緒に見送っている、ということも起こります。通知メールを開かなくなる、フォルダに振り分けて見なくなる、その中に本物の問い合わせが混ざる。通知自体は届いているため、本物の問い合わせを見落としていても気づきにくいことがあります。これは、フォームからの連絡そのものが届いていない場合とは別の症状です。

まず確認したい原因

私たちが実務で確認することの多いものを挙げます。

ボットによる自動送信を判定する仕組みが入っていない

まず確認したいのは、フォームにボット判定などの対策が入っているかです。制作時に「入力して送れる」ことは確認していても、迷惑送信への対策まで設定されているとは限りません。

古い方式の対策が、すでに効かなくなっている

「画像の文字を読んで入力する」タイプの認証や、「1+1は？」のような簡単な計算問題は、現在のボットには読み取られることがあります。数年前に対策した記憶があっても、いま効いているかは別です。

フォームが複数あり、対策が一部にしか入っていない

トップページのフォームには対策があるが、採用ページや資料請求フォームには入っていない、というケースです。対策のないフォームから送られるため、対策済みの1本だけ見て「うちは対策している」と判断すると漏れます。

メールアドレスがページ上にそのまま書かれている

フォームとは別に、会社概要などにメールアドレスが文字として書かれていると、そのアドレスに直接迷惑メールが届くことがあります。フォームの対策をしても止まらない場合、原因はこの経路のことがあります。

送信回数や内容の制限がない

同じ送信元から短時間に何十件も送れる状態です。判定の仕組みがなくても、この制限だけで量を減らせることがあります。

ENVY DESIGNの自社フォームでも、対策を入れる前は毎日届いていました

正直にお伝えすると、ENVY DESIGNの自社サイトのフォームにも、以前は英語の宣伝や、意味のない文字列の送信が日常的に届いていました。制作会社であっても、公開しているフォームである以上、同じように送られます。

【実務上の観察】以下は、自社サイトとご相談を受けたサイトでの観察です。

スパムの本文は、英語または文字列のみが大半で、日本語の文章として成立しているものはごく一部
入力されたメールアドレスは、ランダムな文字列を含むものが多い
自社では、利用者に操作を求めない方式のボット判定を導入したあと、届く件数が目に見えて減った。ただしゼロにはならず、月に数件は残っている
残った数件を止めようと判定を厳しくすると、本物の問い合わせが弾かれるおそれがある。私たちはこの分岐で「月数件は目視で捨てる」側を選んでいる

【私たちの考え】スパム対策の目的は「ゼロにする」ことではなく、「本物の問い合わせを見落とさない状態を保つ」ことだと考えています。ゼロを目指して厳しくした結果、お客様からの1件を弾いてしまう方が、損失は大きいからです。

なお、対策後の効果は、届いた件数だけでなく、正常送信のテスト結果と誤判定の有無をあわせて見ています。「本物の問い合わせに気づくまでの時間」も補助的な指標として試していますが、測り方としては確立していません。

解決アプローチ：止める仕組みを入れ、通したいものが通るかを確認します

手順1：全フォームの設定を確認し、必要な自動判定を入れる

まず、問い合わせ・採用・資料請求など、公開中のフォームと現在の対策を一覧にします。そのうえで、利用中のフォームに対応したボット判定を検討します。候補には、利用者に画像選択などを求めずスコアを返すreCAPTCHA v3や、Cloudflare Turnstileなどがあります。対応状況や利用条件を確認し、利用者の負担と管理のしやすさから選びます。

reCAPTCHA v3を使う場合は、スコアを基に送信の扱いを決めます。判定基準は推奨設定を出発点に、実際の送信状況と誤判定を確認して調整します。フォーム画面への設置だけでなく、送信を受け付けるサーバー側で判定結果を検証しているかも確認します。

手順2：必要に応じてハニーポットを併用する

通常の利用者が入力しない欄をフォームに用意し、その欄への入力を自動送信の判定材料にする方法が、ハニーポットです。追加の操作を求めずに使える対策ですが、すべてのボットを止められるわけではありません。また、ブラウザの自動入力や読み上げソフトの利用で誤って入力されないよう、実装と動作確認が必要です。利用中のフォームが対応している場合に、ほかの対策との併用を検討します。

手順3：送信の制限を、本物の問い合わせに合わせて決める

同じ送信元からの短時間の連続送信や、同じ宣伝文の繰り返しなど、実際に届いているスパムの特徴に合わせて制限を検討します。ただし、本文にURLがあることや、日本語を含まないことだけで一律に拒否すると、本物の問い合わせまで止めるおそれがあります。ホームページ制作の相談では、現在のサイトや参考サイトのURLが書かれていることもあります。

IPアドレスで回数を制限する場合も、同じ会社や回線を使う複数の利用者をまとめて制限しないよう配慮が必要です。問い合わせに必要な入力項目は維持し、スパム対策だけを目的に必須項目を増やすことは避けます。

手順4：正常送信をテストし、記録できる範囲で誤判定を確認する

対策の導入前に、スパムと判定した送信を保存できるか、何が記録されるかを確認します。利用中のフォームによっては、追加機能や別の確認方法が必要です。保存する場合は、確認する担当者と保存期間も決めておきます。

導入時には、パソコンとスマートフォン、異なるブラウザや回線で、本物の問い合わせを想定した送信テストを行います。URLを含む相談文や、時間をかけて入力した場合も確認します。

導入直後は記録をこまめに確認し、安定後も定期的に見直します。例えば、最初の数営業日は毎日、その後1か月は週1回確認する運用が考えられます。本物が混ざっていた場合は、判定基準・入力条件・設定不備のどこに原因があるかを調べて調整します。

なお、記録に残らない段階で送信が止まる場合もあるため、ログだけで取りこぼしがないとは判断できません。送信できなかった利用者が再試行や別の連絡方法を選べる案内も確認します。

手順5：メールアドレスへの直接送信も確認する

フォームを通さず、メールアドレスに直接届く迷惑メールには、フォームのボット判定は働きません。この場合は、利用中のメールサービスの迷惑メール判定や振り分け設定を見直します。サイト上でのメールアドレスの掲載方法も検討できますが、画像化によって利用者が連絡しにくくならないよう配慮が必要です。

制作会社への依頼文言

次の形なら、ここまでの内容をまとめて伝えられます。

「公開中の全フォームと現在の対策を確認し、利用者の負担が少ないスパム対策を提案してください。導入時の正常送信テスト、誤判定を確認できる記録の範囲、送信できない場合の案内、導入後1か月の確認・調整まで含めてお願いします。追加費用がある場合は事前に教えてください」

よくある質問

スパムが届くのは、サイトのセキュリティに問題があるからですか?

スパムが届くことだけで、サイトへの侵入や改ざんがあったとは判断できません。公開された送信機能が迷惑送信に使われている場合もあります。ただし、大量送信による負荷や、不正な内容を送る試みが含まれることもあるため、スパム対策と併せてフォームや関連ソフトウェアの更新状態を確認します。

reCAPTCHAを入れれば、スパムはゼロになりますか?

導入しても、すべての迷惑送信を防げるわけではありません。すり抜ける送信や誤判定があるため、届く内容と件数、確認にかかる手間、本物の問い合わせへの影響を見ながら調整します。

「私はロボットではありません」のチェックを付けると、問い合わせは減りますか?

チェックや画像選択が、利用者の負担や送信を諦めるきっかけになる可能性はあります。ただし、問い合わせ件数への影響はフォームや利用者によって異なります。追加操作の少ない方式も含めて検討し、実際に送信できるか、操作につまずかないかを確認します。

対策を入れたのに、まだスパムが届くのはなぜですか?

対策をすり抜ける自動送信や、人が入力する営業・迷惑送信が残るためです。また、一部のフォームに対策が入っていない場合や、フォームを通さずメールアドレスに直接送られている場合もあります。

まず、フォームの送信記録と届いたメールの日時・内容を照合します。件名や本文の形式だけでは、送信経路を断定できません。記録がない場合は、メールのヘッダー情報やサーバーの送信ログなどを制作会社・管理担当者に確認してもらいます。フォーム経由であれば、対策の適用範囲や判定設定、実装に問題がないかを調べます。

本物の問い合わせが弾かれていないか、どう確認できますか?

スパムと判定した送信を記録できる設定にしておけば、管理画面などで確認できます。加えて、パソコンとスマートフォン、異なるブラウザや回線から、本物を想定した送信テストを行います。メールアドレスを変えるだけのテストでは、端末や回線による違いを確認できません。記録に残らない段階で止まる送信もあるため、送信できなかった場合の案内があるかも確認します。

自分で対策できますか?

利用中のフォームプラグインが対応している方式なら、管理画面から設定できる場合があります。ただし、外部サービスの登録や追加機能が必要になることもあります。設定後は、正常に送信できるか、誤判定が起きていないかまで確認してください。自社で確認・調整まで行うのが難しい場合は、制作会社に導入後の確認期間も含めて依頼すると、対応範囲を明確にできます。

スパムが多くて、本物の問い合わせを見落としていないか不安、という段階でもご相談いただけます

「対策を入れたいが、何を頼めばいいか分からない」「入れたあと、本物が弾かれていないか確認できていない」。どちらの段階でも、今のフォームの設定を確認したうえで、必要な対策の範囲をお伝えします。

現在の状況のまま相談する