お問い合わせフォームにスパムが届いたので、Contact Form 7にreCAPTCHAを設定した記録

同じ文面のメールが2通届いた
対策：reCAPTCHAを設定する
テスト送信で確認した
まだ分からないこと
まとめ

同じ文面のメールが2通届いた

ブログのお問い合わせフォーム経由で、2通のメールが届きました。

差出人の名前とメールアドレスは別々でしたが、本文は一字一句同じでした。

詳しい情報を希望します。メールでご連絡ください — お問い合わせ.

件名は「ニュースレター登録」「メール最新情報」で、サイトの内容とは関係がありません。

ボットによる自動送信の可能性が高いと判断しました。不要なメールに返信すると、メールアドレスが有効だと判断される可能性もあるため、返信はしませんでした。

対策：reCAPTCHAを設定する

フォームにボット対策を入れることにしました。使っているのは、お問い合わせフォームのプラグイン「Contact Form 7」です。

Contact Form 7 の公式は、現在 Cloudflare Turnstile を推奨しています。ただ、今回は先にGoogleでreCAPTCHAのキーを作っていたことと、まずは今使っているContact Form 7の機能で試してみたかったことから、reCAPTCHA（v3）を設定しました。

1. Googleでキーを作る

Googleの reCAPTCHA の管理画面で、新しいサイトを登録します。
タイプは「スコアベース（v3）」を選びます。
ドメインに、このブログのドメインを入力します。
「サイトキー」と「シークレットキー」の2つが発行されます。

プロジェクト名は、別の用途で使っているものと混ざらないよう、ブログ用のものを選びました。

2. まず、別のプラグインで試した

すでに「reCaptcha by BestWebSoft」というプラグインが入っていたので、先にそちらを設定しました。

バージョンが「2」のままだったので、「3」に切り替えました。
2つのキーを貼り付けて保存しました。

ただ、「外部プラグイン」の欄を見ると、Contact Form 7 に使える項目が見当たりませんでした。有料版（Pro）の機能のようにも見えたため、この方法は断念しました。

3. Contact Form 7 自身の機能で設定する

次に、Contact Form 7 の「お問い合わせ → インテグレーション」を開きました。

この画面には、サービスごとの欄が縦に並んでいます。一番上にあるのはメール配信サービス（Brevo）です。私は最初、これをreCAPTCHAの欄だと勘違いして、Brevo の「インテグレーションのセットアップ」をクリックしてしまいました。

Brevo の設定画面には「API キー」の入力欄しかなく、reCAPTCHAのキーを入れる場所が見当たりません。そこで画面に戻り、少し下にスクロールしたところ、reCAPTCHA の欄がありました。そちらの「インテグレーションのセットアップ」を開いて設定しました。

サイトキーとシークレットキーを貼り付けます。
「変更を保存」を押します。
「reCAPTCHA はこのサイト上で有効化されています」と表示されれば完了です。

設定画面には、reCAPTCHAの今後の移行や料金に関する注意書きも表示されていました。今回は個人ブログで、利用量が大きくなるとは考えにくいため、まずはreCAPTCHA v3で運用してみることにしました。今後、料金や仕様変更が気になるようになれば、Contact Form 7が推奨しているCloudflare Turnstileへの切り替えを検討します。