CAPTCHA を使わずに WordPress のお問い合わせフォームのスパムを防ぐには？

なぜ重要なのか

フォームスパムはたいてい単なる迷惑ですが、それだけでは済まなくなることもあります。本物の問い合わせが埋もれ、受信トレイを流し読みする癖がつき、フォームが自動返信を送る設定ならメールサーバーの送信レピュテーションを下げることもあります。アクセスの多いサイトでは、送信のたびにフォームプラグインのすべての処理が走るため、サーバーの処理時間も奪われます。

よくある解決策の CAPTCHA は、そのコストを訪問者に押し付けます。訪問者はパズルを解かされ、一部は諦め、プライバシー保護ツールを使う人は先に進めなくなります。CAPTCHA サービスの多くは外部のコードを読み込み、訪問者のデータをサーバーの外に送ります。

もっと静かな方法があります。ボットには、人とは違う振る舞いがあり、それを気づかれずにチェックできるのです:

• 隠し欄を埋める。 ハニーポットとは、人には見えないものの HTML には存在する欄です。人は空のままにし、ボットは入力します。
• 速い。 人がフォームを埋めるには数秒かかります。ボットはミリ秒で済みます。
• 繰り返す。 1 つの IP や 1 つのメールアドレスから 1 時間に 10 通も届くなら、それは顧客ではありません。
• リンクを貼り付ける。 リンクだらけのメッセージが本物の問い合わせであることはまずありません。

よくある間違い

• 隔離せずにブロックする。 チェックで判断がつかないときは、メッセージを確認用に残しましょう。本物の顧客の質問を消してしまうことは、スパムを 1 通読むことよりもずっと悪い結果です。
• いきなり「ブロック」にする。 数日間は記録のみのモードで始めてください。ブロックさせる前に、何がブロックされていたかを確認しましょう。
• キャッシュで壊れるトークン。 スパム対策のトークンがキャッシュされたページの一部になっていると、訪問者全員が期限切れの同じトークンを共有することになります。ページの読み込み時にトークンを取得する保護を使ってください。
• チェックが 1 つだけ。 ハニーポットだけでは単純なボットしか止められません。入力時間のチェックと上限を加えましょう。

プラグインを使わない方法

ほとんどのフォームプラグインには、この基本的な仕組みが組み込まれています:

• Elementor Pro のフォーム: フィールドの一覧から「Honeypot」フィールドを追加します。
• Contact Form 7: アドオンでハニーポットを追加します。そのサービスへのデータ送信を受け入れるなら、CF7 は Akismet にも対応しています。
• WPForms: スパム対策トークンが組み込まれており、各フォームの設定で任意のハニーポットも使えます。

自分で管理しているフォームなら、簡単なハニーポットを手作業で追加することもできます:

<div style="position:absolute;left:-9999px" aria-hidden="true">
  <label>Leave this empty <input type="text" name="website" tabindex="-1" autocomplete="off"></label>
</div>

<?php
if ( ! empty( $_POST['website'] ) ) {
    wp_die( 'Spam detected.', 403 );
}

限界もあります。やり方はフォームプラグインごとに異なり、フォームをまたいだ共通の送信上限はたいていなく、誤判定を拾う隔離もなく、コメントやレビューには何の対策もありません。結局、同じ考え方を 5 回設定することになります。

うまくいかないときは

• 本物のメッセージが届かなくなった。 スパムシールドを監視モードに切り替えてテスト送信し、ログを見てどのチェックに引っかかったかを確認してください。
• 一部の訪問者だけフォームが失敗する。 保護を有効にした後、一度ページキャッシュを削除してください。
• それでもスパムが届く。 リンクの上限を下げる、ブロックリストに単語やドメインを追加する、あるいは既知のメールプロバイダーからのみ受け付けるべきフォームで厳格モードをオンにしてください。

Hushfort なら

Hushfort Security は無料の WordPress セキュリティプラグインで、Hushfort Pro はその上に追加する有料アドオンです。

Hushfort のスパムシールドは、無料版でコメントと WooCommerce のレビューを守ります。フォームプラグインには Hushfort Pro が必要で、人気の 6 つ（Elementor Pro、Contact Form 7、WPForms、Gravity Forms、Fluent Forms、Forminator）が同じ画面に加わります。

• 目に見えないハニーポット、最小入力時間、ページキャッシュがあっても機能する署名付きトークン。トークンは、Cookie を使わない約 2 KB の小さなスクリプトが取得します。
• Pro: デフォルトの上限は IP ごとに 1 時間あたり 5 件、メールアドレスごとに 1 時間あたり 3 件。リンクが 2 つを超えるメッセージは隔離されます。
• Pro: 約 9,900 の使い捨てメールアドレスのドメインリスト、独自のブロックリスト、ワードフィルター。
• Pro: 「スパムではない」から学習する隔離機能。
• 監視モードがあるので、実際にブロックする前に何がブロックされるかを確認できます。

CAPTCHA も外部 API も不要で、フォームのデータがサーバーの外に出ることは一切ありません。