ホームページにお問い合わせフォームを設置している方は多いと思いますが、そのセキュリティ対策はしっかりできていますか？実は、お問い合わせフォームはスパムボットや悪意あるユーザーの格好のターゲットになっています。1日に何百件ものスパムメールが届いたり、フォームを悪用してフィッシング詐欺の踏み台にされるケースも少なくありません。
この記事では、お問い合わせフォームを狙った攻撃の種類と、それぞれに対する具体的なセキュリティ対策をわかりやすく解説します。
お問い合わせフォームが狙われる理由とは？
お問い合わせフォームは、外部から情報を送信できる「入り口」です。そのため、次のような攻撃の対象になりやすいという特徴があります。
まず最も多いのがスパム送信です。ボットが自動的にフォームを検出し、広告やフィッシングサイトのURLを大量に送信してきます。毎朝メールボックスを開くと英語のスパムが何十件も…という経験をされた方もいるのではないでしょうか。
次に注意が必要なのがメールヘッダインジェクションです。これはフォームの入力欄に特殊な文字列を挿入することで、フォームを経由して第三者にメールを送信させる攻撃手法です。あなたのサーバーが迷惑メールの発信元として利用されてしまう可能性があります。
さらにクロスサイトスクリプティング（XSS）やSQLインジェクションといった、より高度な攻撃にさらされることもあります。これらは入力欄に悪意のあるコードを仕込み、サイトの改ざんやデータベースへの不正アクセスを試みるものです。
すぐにできるスパム対策5つ
1. reCAPTCHAを導入する
Googleが無料で提供しているreCAPTCHAは、最も手軽で効果的なスパム対策です。現在主流のreCAPTCHA v3はユーザーに操作を要求せず、バックグラウンドで人間かボットかを判定してくれます。
WordPressをお使いなら「Contact Form 7」や「WPForms」といったプラグインで簡単に設定できます。reCAPTCHAを導入するだけで、スパムの約90%をブロックできるといわれています。
2. ハニーポットフィールドを設置する
ハニーポットとは、人間には見えない隠しフィールドをフォームに追加する方法です。人間のユーザーはこのフィールドに入力しませんが、ボットはすべてのフィールドに自動入力するため、ここに値が入った送信をスパムとして判定できます。
CSSでdisplay: noneにしたフィールドを追加するだけなので、技術的なハードルも低く、ユーザー体験を損なうこともありません。
3. 送信回数を制限する（レートリミット）
同じIPアドレスからの送信回数に制限を設けましょう。たとえば「同じIPアドレスから1時間に5回まで」といったルールを設定すれば、ボットによる大量送信を防げます。
サーバーの設定やプラグインで対応できますし、Cloudflareなどのサービスを利用すれば、より高度なレートリミットを手軽に導入できます。
4. フォームにトークンを付与する
フォーム送信時に一意のCSRFトークン（ワンタイムトークン）を付与することで、正規のフォームからの送信かどうかを検証できます。外部からの不正な送信リクエストをブロックする基本的なセキュリティ対策です。
多くのWebフレームワークやCMSにはCSRF対策の機能が組み込まれていますので、有効になっているか確認しましょう。
5. 確認画面を追加する
送信前に確認画面を挟むことも、ボット対策として有効です。多くのスパムボットは単純にフォームにデータを送信するだけなので、確認画面のステップを踏めず、送信を完了できません。ユーザーにとっても入力内容を確認できるメリットがあります。
フォームの入力値を正しく検証する方法
スパム対策と並んで重要なのが、**入力値のバリデーション（検証）**です。悪意ある入力からサイトを守るための基本的な考え方をご紹介します。
サーバーサイドで必ず検証することが大前提です。JavaScriptによるフロントエンド側の検証は、ブラウザの開発者ツールで簡単に無効化できてしまうため、あくまで補助的な役割です。サーバー側で入力値の形式・長さ・文字種を必ずチェックしましょう。
具体的には、メールアドレス欄にはメールアドレスの形式のみ許可する、電話番号欄には数字とハイフンのみ許可する、テキスト欄には文字数の上限を設けるといった制限が基本です。
また、HTMLタグやスクリプトを含む入力は**サニタイズ（無害化）**して処理することも重要です。<script>タグのような危険な文字列を無効化することで、XSS攻撃を防止できます。
自動返信メールの悪用を防ぐには？
お問い合わせフォームに自動返信機能を設定しているサイトは多いですが、これが悪用されるケースが増えています。攻撃者がフォームのメールアドレス欄に第三者のアドレスを入力し、自動返信メールを使って大量のメールを送りつける手口です。
この対策としては、自動返信メールの本文にお問い合わせ内容を含めないことが有効です。「お問い合わせを受け付けました」という最低限の内容にとどめれば、悪用されても被害を最小限に抑えられます。
また、自動返信メールの送信にもレートリミットを設けることで、大量送信を防止できます。
まとめ：フォームのセキュリティは「設置して終わり」ではない
お問い合わせフォームのセキュリティ対策は、一度設定すれば安心というものではありません。攻撃手法は日々進化しているため、定期的にスパムの状況を確認し、必要に応じて対策を強化していくことが大切です。
まずはreCAPTCHAの導入と入力値の検証から始めてみてください。この2つだけでも、大半のスパムや攻撃を防ぐことができます。
フォームのセキュリティ対策に不安がある方は、WordPressのセキュリティ対策全般についてまとめた「WordPressのセキュリティ対策」もあわせてご覧ください。また、サイト全体のセキュリティを強化したい方は「SSLの種類と選び方」も参考になります。
フォームの設置やセキュリティ対策でお困りの方は、Sane Designにお気軽にご相談ください。お客様のサイトに最適なセキュリティ対策をご提案いたします。
