WordPressの問い合わせフォームへ、広告、意味のない文字列、不正なリンク、大量送信が届くことがあります。件数が増えると、本来の問い合わせを見落とすだけでなく、サーバー負荷やメール到達、個人情報管理にも影響します。
対策を強くしすぎると、正規の顧客が送信できなくなります。フォーム、サーバー、メール、運用を組み合わせ、迷惑送信を減らしながら問い合わせ機会を守る方法を解説します。
迷惑メールの主な種類
- 広告や営業の一斉送信
- ボットによる自動投稿
- 不正リンクやマルウェア誘導
- ログイン情報を狙う内容
- フォーム機能の探索
- 大量送信による負荷
- 自動返信を第三者へ送らせる悪用
すべてを同じ条件で遮断せず、ログを見て種類と発生源を確認します。
最初に送信経路を確認する
本当にホームページのフォームから届いたのか、公開メールアドレスへ直接届いたのかを分けます。メールヘッダー、フォーム保存ログ、送信時刻、内容を確認します。
経路が違えば、フォーム対策だけでは解決しません。
対策1：フォームとプラグインを更新する
WordPress本体、テーマ、フォームプラグイン、迷惑送信対策を最新の安全な状態に保ちます。脆弱性がある古いフォームを使い続けると、不正送信や情報漏えいのリスクが高まります。
更新前にバックアップと検証を行い、送信テストまで確認します。
対策2：ハニーポット
人には見えず、ボットだけが入力しやすい項目を用意し、入力された送信を拒否する方法です。利用者へ追加操作を求めないため、使いやすさを保ちやすい利点があります。
高度なボットには回避されるため、ほかの対策と組み合わせます。
対策3：CAPTCHA・ボット判定
画像選択、チェック、行動分析などで自動送信を判定します。導入前に、プライバシー、外部通信、表示速度、アクセシビリティ、誤判定を確認します。
正規利用者が送信できない場合に備え、電話やメールなど代替連絡手段を用意します。
対策4：送信回数を制限する
同じ送信元から短時間に大量送信された場合、一時的に制限します。サーバー、WAF、CDN、フォーム側で実施できます。
企業や共有回線から複数人が利用する場合もあるため、単純なIP遮断の閾値には注意します。
対策5：入力内容を検証する
メール、電話、URL、文字数、必須項目を適切に検証し、想定外のデータや危険なコードを処理しないようにします。ファイル添付がある場合は、形式、容量、保存先、ウイルス検査を厳しくします。
利用者へ過剰な個人情報を求めないことも安全性につながります。
対策6：不要なフォームを閉じる
テストページ、過去キャンペーン、古い採用、使っていないコメント欄が公開されたままでは、入口が増えます。不要なフォームを削除または非公開にします。
削除時は、リンク、検索結果、保存データを確認します。
対策7：WAFやセキュリティ機能
Web Application Firewallは、不審なリクエストをサーバーへ届く前に遮断する助けになります。サーバーやCDNが提供する機能を確認します。
有効化後は、正規フォーム、管理画面、外部連携が遮断されないかテストします。
対策8：IP・国・パターン遮断は慎重に
明確な攻撃元や不要地域を制限する方法がありますが、VPN、携帯回線、海外出張者、検索サービスにも影響する場合があります。
広範囲を恒久的に遮断する前に、期間、対象、業務影響を確認します。
自動返信の悪用を防ぐ
入力されたメールアドレスへ自動返信する仕組みは、第三者のアドレスを入力して大量送信する悪用を受ける場合があります。送信回数制限、ボット判定、返信内容、リンクを見直します。
自動返信へ機密情報や長大な添付を含めません。
メール認証を整える
フォーム通知を確実に届けるには、送信ドメインとサーバーの整合、SPF、DKIM、DMARCなどの設定が関係します。フォーム対策とは別に、メール到達性を確認します。
WordPressからサーバーの簡易送信だけを使うより、正しく認証されたメール送信サービスを利用する方法もあります。
FromとReply-Toを分ける
通知メールの送信元に、フォーム入力者のアドレスをそのまま設定すると、ドメイン認証と一致せず迷惑判定されることがあります。
Fromは自社ドメインの認証済みアドレスにし、返信先をReply-Toへ設定する構成を検討します。
通知先を複数化する
一人のメールだけへ通知すると、休暇、退職、迷惑判定で見落とします。部署の共有メール、CRM、管理画面保存など複数の確認手段を設計します。
ただし、個人情報の不要な複製を増やさないよう権限と保持期間を決めます。
管理画面への保存を確認する
フォームプラグインが送信内容をWordPressのデータベースへ保存する場合があります。メール障害時の確認には役立ちますが、個人情報がサーバーとバックアップへ残ります。
保存目的、閲覧者、保持期間、削除方法、暗号化、バックアップを確認します。
迷惑メールと正規問い合わせを分ける
対策導入後も、拒否件数、判定理由、正規問い合わせ数を定期確認します。厳しすぎるキーワード判定で、海外企業、URLを含む相談、特定業種の問い合わせを落とすことがあります。
重要顧客から「送れない」と連絡があった場合の調査手順を作ります。
テスト項目
- パソコンとスマートフォンから送信できる
- 必須・形式エラーが分かりやすい
- 日本語・英数字・記号が送れる
- 管理者通知が届く
- 自動返信が届く
- 迷惑メールフォルダーも確認する
- 管理画面へ必要な範囲で保存される
- GA4の送信イベントが一回だけ記録される
- ボット判定エラー時に代替連絡先がある
- 個人情報がURLやログへ露出しない
対策変更後は、必ず実際の送受信まで確認します。
迷惑送信が急増したときの初動
- 件数、開始時刻、対象フォームを記録する
- 正規問い合わせを別に保全する
- メールヘッダーとフォームログを確認する
- サーバー負荷とセキュリティ通知を見る
- 一時的な回数制限やルールを適用する
- 正規送信テストを行う
- 影響と対応を記録する
フォームを閉じる場合は、電話など代替手段を案内します。
制作会社へ確認すること
- 現在のフォームと迷惑送信対策は何か
- 外部サービスへどのデータを送るか
- WAFと送信回数制限があるか
- メール送信は認証されているか
- 送信内容をどこへ保存するか
- 保持期間と削除方法は何か
- 誤判定を確認できるか
- 障害時の通知と代替手段は何か
- 月次保守で送信テストを行うか
運用ルール
迷惑メール件数、正規問い合わせ数、拒否数、メール到達状況を月次で確認します。担当者は不審な添付やリンクを開かず、営業メールへの対応方針も決めます。
フォーム設定を変えた日と理由を記録し、問題時に戻せるようにします。
まとめ
WordPressの迷惑メール対策は、ハニーポット、ボット判定、送信制限、WAF、入力検証、メール認証を組み合わせる多層対策が有効です。
遮断率だけでなく、正規顧客が送信でき、通知を受け取れ、個人情報を適切に管理できることが重要です。対策変更後の実送信テストと月次監視を続けましょう。