問い合わせフォームにスパムが止まらないときの対策は、「見えないボット判定を入れる」「人には見えない罠の欄を置く」「送信の回数と内容を制限する」の3段で、ほとんどが止まります。
画像を選ばせる認証（reCAPTCHA v2）を最初に入れるのは、本物の問い合わせを減らすのでおすすめしません。
この記事では、スパムが来る仕組み、対策の順番と費用、頼むときの言い方、本物の問い合わせを減らさない確認方法を説明します。
フォームの送信率を上げる話は問い合わせフォームの改善（EFO）にあります。
結論｜対策は3段。順に入れる
| 段 | 対策 | 本物の問い合わせへの影響 | 費用の目安（当社の場合） |
|---|---|---|---|
| 1. 見えないボット判定 | reCAPTCHA v3 か Cloudflare Turnstile を入れる。人には画面に何も出ないか、小さな確認だけ | ほぼ無い | 設定は保守の中か、WordPressカスタマイズ 1時間 ¥8,000〜（1時間前後） |
| 2. 罠の欄（ハニーポット） | 人には見えない入力欄を置き、埋めてきた送信を捨てる | 無い | 同上。フォームのプラグインに機能があることが多い |
| 3. 送信の制限 | 同じ相手からの連続送信、日本語を含まない本文、URLだらけの本文、特定の語を止める | 条件がきつすぎると海外の取引先の問い合わせを落とす | 同上 |
| 最後の手段 | 画像を選ばせる認証（reCAPTCHA v2）、確認画面の必須化、電話番号必須 | 離脱が増える | 入れる前に1〜3で止まるかを見る |
1と2を入れて1週間様子を見てから、3を足すのが順番です。
最初から全部入れると、本物の問い合わせが減った原因が分からなくなります。
なぜスパムが来るのか
スパムは人が打っていません。
フォームを探す仕組み（ボット）が、公開されているフォームに自動で送っています。
狙われやすいのは、WordPressの標準的なフォームのプラグインで、ボット判定を入れていないものです。
会社の規模や知名度は関係なく、公開して数日で届き始めます。
フォームから届くメールが増えると、本物の問い合わせを見落とすことがいちばんの損失です。
頼むときの言い方
制作会社や保守会社には、次のように伝えると作業が決まります。
- 「reCAPTCHA v3 か Turnstile を入れて、画像認証は使わないでください」
- 「見えない欄（ハニーポット）を足してください」
- 「送信を1分に1回までにして、本文に日本語が無い送信を止めてください。海外の取引先がいるので、英語だけの本文は止めずに印を付けてください」
- 「止めた送信の件数を、月1回教えてください」
使っているフォームのプラグインを伝えると、設定で済むか、コードが要るかが分かります。
Snow Monkey Forms の場合の reCAPTCHA と Turnstile の設定はSnow Monkey Forms の使い方にあります。
本物の問い合わせを減らしていないかを確かめる
- 対策の前後1か月で、問い合わせの件数（スパムを除く）を比べる
- 自分で1件送って、届くか・自動返信が来るかを見る。月1回続ける（毎週自動でテストする仕組みもある）
- 止めた送信を一覧で見て、本物が混じっていないかを確かめる
- スマートフォンから送って、ボット判定の表示が邪魔になっていないかを見る
「スパムは止まったが問い合わせも減った」は、よくある失敗です。
件数を数えてください。
つまずきやすい所と対処
| つまずき | 起きること | 対処 |
|---|---|---|
| 画像認証を最初に入れた | 問い合わせが減る。スマートフォンで押しにくい | 見えない判定（v3・Turnstile）に替える |
| ボット判定の鍵が切れた | フォームが送れない。エラーの表示 | 鍵の有効期限と、ドメインの登録を確かめる。月1回の送信テストで気づく |
| 日本語必須にして海外の取引先を落とした | 英語の正規の問い合わせが届かない | 止めずに印を付けて別の受信箱へ |
| メール側のフィルタで本物まで迷惑メールに | 問い合わせに気づかない | フォームの送信元と件名を固定し、受信側で例外にする |
| 対策したのに届く | 別のフォーム（採用・資料請求）が無防備 | サイト内の全フォームに同じ対策を入れる |
デメリットとして、見えない判定は外部サービス（Google・Cloudflare）に依存します。
プライバシーポリシーに利用を書き、サービス側の仕様変更に合わせて保守が要ります。
よくある質問：フォームのスパム
reCAPTCHA と Turnstile はどちらがよいですか？
どちらも見えない判定で、本物の問い合わせへの影響は小さいです。
すでに Google のサービスを使っているなら reCAPTCHA v3、Cloudflare を使っているなら Turnstile が設定しやすいです。
費用はいくらかかりますか？
設定だけなら1時間前後の作業です。
当社は WordPressカスタマイズ 1時間 ¥8,000〜、保守契約があれば月額の中で行います。
判定サービス自体は、小規模なサイトなら無料の範囲で使えることが多いです。
メールアドレスを公開するのをやめれば止まりますか？
フォームのスパムとは別の話です。
フォームはボットが探して送るので、アドレスを隠しても止まりません。
確認画面を付ければ止まりますか？
一部は止まりますが、確認画面を通るボットもあります。
見えない判定と罠の欄のほうが効きます。
まとめ
見えない判定、罠の欄、送信の制限の3段を順に入れれば、ほとんどのスパムは止まります。
画像認証は最後の手段です。
対策の前後で本物の問い合わせの件数を数えてください。
頼むときは、使っているフォームのプラグインと、上の言い方をそのまま伝えてください。
