2026.11.05
お問い合わせフォームに迷惑メールが大量に届いたら？無料で使えるCloudflare Turnstileの導入方法と対策【2026年】
「朝、メールを開いたら、お問い合わせフォームから数千件の迷惑メールが届いていた」
ここ数年、このような被害が増えています。中小企業のホームページも例外ではありません。
大量の迷惑メールは、本物のお問い合わせを見落とす原因になるだけではありません。フォームの使い方によっては、自社のメールアドレスが「迷惑メールの送信元」と見なされ、取引先にメールが届かなくなるおそれもあります。
本記事では、お問い合わせフォームに迷惑メールが届く原因、大量に届いたときにすぐやること、そして根本的な対策として、無料で使えるCloudflare（クラウドフレア）の「Turnstile（ターンスタイル）」を紹介します。
なお、株式会社LEAPHでは、ホームページへのCloudflare Turnstileの導入支援を行っています。「自分で設定するのは不安」という方は、記事の後半でご案内している導入支援もご覧ください。
まず自動返信を止め、Turnstileでボットを入口で止める
- 迷惑メールの多くは、プログラム（ボット）による自動送信
- 大量に届いたら、まず自動返信メールを止める（自社が加害者側になるのを防ぐ）
- 根本対策は、フォームにボットを見分ける仕組みを入れること
- Cloudflare Turnstileは、無料で回数無制限。訪問者にパズルを解かせない
- Cloudflareを使っていないサイトにも導入でき、WordPressのContact Form 7なら設定画面にキーを貼るだけ
- 自社での設定が難しい場合は、LEAPHの導入支援もご利用いただけます
なぜ急に迷惑メールが大量に届くのか
犯人は「ボット」による自動送信
お問い合わせフォームに届く迷惑メールの多くは、人が手で送っているのではなく、ボットと呼ばれるプログラムが自動で送っています。ボットはインターネット上のフォームを探し回り、見つけたフォームに次々と内容を書き込んで送信します。
ボットは休まず動くため、一度目をつけられると、一晩で数百件、数千件という単位で送られてくることがあります。
生成AIでボットが「人間らしく」なっている
生成AIの悪用によって高度なボットが広がり、従来の対策がすり抜けられやすくなっていると指摘しています。画像を選ぶタイプの確認（いわゆるCAPTCHA）をAIが解いてしまったり、マウスの動きや入力の速さを人間のようにまねたりするボットもあるとされています。
「昔から対策しているから大丈夫」と思っていても、古い対策では防ぎきれなくなっている可能性があります。
怖いのは「自動返信メール」の悪用
特に注意したいのが、フォームの自動返信機能の悪用です。
レンタルサーバー大手のエックスサーバーは、2025年3月に、問い合わせフォームの自動返信機能を悪用した大量のスパムメール送信が確認されているとして、注意を呼びかけました。手口は次のとおりです。
- ボットが、メールアドレス欄に第三者のアドレスを入れてフォームを送信する
- フォームの自動返信機能が、その第三者に「お問い合わせありがとうございます」というメールを送る
- 本文に宣伝や詐欺のURLを入れておけば、あなたの会社の名前で迷惑メールがばらまかれる
この結果、エックスサーバーは次のような影響を挙げています。
- 自社のメールアドレスが、迷惑メールの送信元として扱われる
- 自社から送ったメールが、相手先で受け取りを拒否される
- 送信数の上限に達して、メールが送れなくなる
つまり、迷惑メールが「届く」だけでなく、自社が迷惑メールを「送る側」にされてしまうのです。
大量に届いたとき、今すぐやること
1. 自動返信メールを一時的に止める
最優先は、自動返信の停止です。自社が迷惑メールの送信元になるのを止められます。
WordPressのContact Form 7であれば、フォームの編集画面の「メール（2）」を使っている場合、そのチェックを外すと自動返信が止まります。
2. メールソフト側で振り分ける
すでに届いた大量のメールは、件名や本文の共通点で振り分けると整理しやすくなります。本物のお問い合わせが埋もれていないかは、必ず確認してください。
3. サーバー会社のお知らせを確認する
レンタルサーバー会社によっては、フォームの悪用が疑われるサイトに対して、海外からのアクセス制限などを行う場合があります。管理画面のお知らせや、サーバー会社からのメールを確認しましょう。
4. 根本対策を入れる
ここまでは応急処置です。ボットからの送信そのものを止めるには、フォームに「人間かボットか」を見分ける仕組みを入れる必要があります。その有力な選択肢が、次に紹介するCloudflare Turnstileです。
Cloudflare Turnstileとは
パズルを解かせずに、人間かどうかを判定する
Cloudflare Turnstileは、Webサービスの安全対策を手がけるCloudflareが提供する、ボット対策の仕組みです。フォームに組み込むと、送信してきたのが人間かボットかを判定してくれます。
よくある「信号機の画像をすべて選んでください」のようなパズルは出ません。多くの場合、訪問者は何も操作せずに確認が終わります。
表示のしかたは、次の3種類から選べます。
| 表示モード | 内容 |
|---|---|
| Managed（推奨） | 危険度に応じて、必要なときだけチェックボックスを表示 |
| 非インタラクティブ | 訪問者は操作不要。確認中の表示だけ出る |
| 非表示 | 画面に何も表示しない（プライバシーポリシーへの追記が必要） |
無料で、回数無制限
Turnstileの無料プランでは、確認の回数に上限がありません（2026年11月時点）。
| 項目 | 無料プラン |
|---|---|
| 料金 | 無料 |
| 確認の回数 | 無制限 |
| ウィジェット（設置単位）の数 | 1アカウントあたり20個まで |
| 1ウィジェットで使えるドメイン数 | 10個まで |
中小企業のホームページであれば、無料プランで十分に使えます。
Cloudflareに乗り換えなくても使える
Cloudflareというと、「ドメインやサーバーをCloudflareに移さないといけないのでは」と思うかもしれません。Turnstileは、Cloudflareの他のサービスを使っていないサイトにも組み込めると、公式に説明されています。今のレンタルサーバーのまま導入できます。
Cloudflareが手がける他のサービスや最新の動きについては、「Cloudflare OSとは？」でも紹介しています。
入力内容は読み取らない
Cloudflareは、Turnstileは確認に必要なデータだけを扱い、フォームの入力内容などにはアクセスしないと説明しています。
reCAPTCHAとの違い
フォームのボット対策としては、Googleの「reCAPTCHA（リキャプチャ）」もよく使われています。違いを比べてみます。
| 項目 | Cloudflare Turnstile | Google reCAPTCHA |
|---|---|---|
| 料金 | 無料（回数無制限） | 月10,000件まで無料 |
| 無料枠を超えたら | 上限なし | 無料版は翌月まで停止。課金を有効にすると月8ドル〜 |
| パズル | 基本的に出ない | 種類によっては画像選択などが出る |
| Contact Form 7 | 公式に対応 | 公式に対応 |
ポイントは料金です。Googleの公式ドキュメントによると、reCAPTCHAの無料プラン（Essentials）は、組織全体で月10,000件の確認までです。上限を超えると、翌月1日になるまでエラーが返されます。課金を有効にした場合は、10,001〜100,000件が月8ドル、それ以上は1,000件あたり1ドルです。
ボットに狙われて確認の回数が急に増えると、月10,000件の上限に達する可能性があります。そうなると、無料版のままではフォームの守りが止まってしまいかねません。回数無制限のTurnstileであれば、この心配がありません。
なお、Contact Form 7の公式サイトも「reCAPTCHAを使う特別な理由がなければ、Turnstileをおすすめします」としています。
Cloudflare Turnstileの導入方法
手順1：Cloudflareでウィジェットを作成し、キーを発行する
- Cloudflareのアカウントを作成する（無料）
- 管理画面の「Turnstile」から、ウィジェットを追加する
- フォームを設置しているサイトのドメインを登録する
- 表示モードを選ぶ（迷ったら「Managed」）
- 「サイトキー」と「シークレットキー」の2つが発行されるので、控えておく
手順2-A：WordPress + Contact Form 7の場合
Contact Form 7は、Turnstileに公式対応しています。
- WordPressの管理画面で「お問い合わせ」→「インテグレーション」を開く
- Turnstileの項目で「インテグレーションのセットアップ」を選ぶ
- 手順1のサイトキーとシークレットキーを貼り付けて保存する
これだけで、フォームにTurnstileが組み込まれます。フォームのコードを書き換える必要はありません。
設定後は、実際にフォームから送信テストを行い、正しく届くことを確認してください。また、reCAPTCHAなど別のボット対策を設定している場合は、二重にならないよう整理しておきましょう。
手順2-B：WordPress以外のサイトの場合
WordPress以外で作ったサイト（静的サイトや独自のフォームなど）でも導入できます。ただし、次の2つの作業が必要です。
- フォームの画面にTurnstileを表示する（Cloudflareが用意しているコードを埋め込む）
- サーバー側で、判定結果が本物か確認する（「Siteverify」と呼ばれる確認）
特に重要なのが2つ目です。画面に表示するだけでは、ボットは確認を飛ばして直接送信できてしまいます。Cloudflareも、サーバー側での確認は「必須」としています。確認用のデータの有効期限は5分で、1回しか使えない仕組みです。
この部分はプログラムの知識が必要になるため、ホームページを作った制作会社に相談するのが確実です。LEAPHでも、WordPress以外のサイトへのTurnstileの組み込みとサーバー側の確認の実装に対応しています（詳しくは後述の「LEAPHのCloudflare Turnstile導入支援」をご覧ください）。
静的サイトやヘッドレスCMSで作ったサイトの仕組みについては、こちらの記事で解説しています。
Turnstileだけでは防げないもの
Turnstileは強力な対策ですが、万能ではありません。
人が手で送ってくる営業メール
Turnstileが見分けるのは「人間かボットか」です。人が手作業で送ってくる営業メールや売り込みは、防げません。
組み合わせるとよい対策
被害を減らすには、複数の対策を組み合わせる「多層防御」が効果的です。
- 自動返信の内容を見直す：本文に入力内容をそのまま載せない
- ハニーポット：人間には見えない入力欄を置き、そこに入力があればボットと判断する
- 入力ルール：日本語（ひらがな）を含まない送信を受け付けない、URLの数を制限する
- ソフトウェアの更新：WordPressやプラグイン、PHPを最新に保つ
ソフトウェアの更新の大切さは、2026年10月に見つかったPHPの重大な脆弱性の例でもよく分かります。詳しくは「PHP2Shell（php2shell）とは？PHPの重大な脆弱性の影響範囲・確認方法・対処法」で解説しています。
LEAPHのCloudflare Turnstile導入支援
「Turnstileが良さそうなのは分かったが、自社で設定するのは不安」という方に向けて、株式会社LEAPHではTurnstileの導入支援を行っています。
こんなお悩みに対応します
- お問い合わせフォームに迷惑メールが大量に届いて困っている
- 自動返信が悪用されていないか心配
- reCAPTCHAの無料枠の上限が気になる、Turnstileに乗り換えたい
- WordPress以外で作ったサイトなので、サーバー側の設定方法が分からない
- 他社が作ったホームページなので、どこを触ればよいか分からない
支援の内容
| 内容 | 対応 |
|---|---|
| 現状の確認 | フォームの仕組み、自動返信の設定、既存のボット対策を確認 |
| Turnstileの設定 | Cloudflareでのウィジェット作成、キーの発行 |
| フォームへの組み込み | WordPress（Contact Form 7など）、静的サイト・独自フォームへの組み込み、サーバー側の確認（Siteverify）の実装 |
| 多層防御の設定 | 自動返信の見直し、ハニーポット、入力ルールの設定 |
| 動作確認 | 送信テストと、導入後の迷惑メールの状況の確認 |
LEAPHは、静岡を拠点にホームページ制作と保守を行っています。WordPressだけでなく、Astroなどで作る高速・安全なサイトの制作にも対応しています。フォーム対策をきっかけに、サイト全体の保守や作り替えをご相談いただくことも可能です。
Turnstileの導入支援のご相談は、LEAPHのホームページ制作・保守サービスからお気軽にお問い合わせください。
よくある質問
Q. 本当に無料ですか？ A. はい。無料プランでも確認の回数に上限はありません（2026年11月時点）。ウィジェットは20個まで作れるので、中小企業のホームページなら十分です。
Q. ドメインやサーバーをCloudflareに移す必要はありますか？ A. 必要ありません。今のレンタルサーバーのまま導入できます。
Q. お問い合わせする人の手間は増えますか？ A. 多くの場合、増えません。パズルは基本的に出ず、必要なときだけチェックボックスが表示されます。
Q. reCAPTCHAから乗り換えられますか？ A. 乗り換えられます。Contact Form 7であれば、インテグレーション画面でTurnstileを設定し、reCAPTCHAの設定を外します。独自のフォームの場合は、サーバー側の確認方法も変える必要があります。
Q. 導入すれば迷惑メールは0になりますか？ A. ボットによる自動送信は大きく減らせますが、人が手で送る営業メールなどは防げません。他の対策と組み合わせることをおすすめします。
Q. 他社が作ったホームページでも導入を頼めますか？ A. はい。LEAPHでは、他社が制作したサイトへのTurnstileの導入にも対応しています。まずは現状を確認したうえで、必要な作業をご案内します。
まとめ
- お問い合わせフォームへの迷惑メールは、ボットによる自動送信が中心。生成AIでボットも高度になっている
- 自動返信の悪用で、自社が迷惑メールの送信元にされるおそれがある
- 大量に届いたら、まず自動返信を止める
- 根本対策には、無料で回数無制限のCloudflare Turnstileが有力
- WordPress + Contact Form 7ならキーを貼るだけ。それ以外のサイトはサーバー側の確認が必須
- 人が送る営業メールには、他の対策を組み合わせる
迷惑メールの被害は、放っておくと本物のお問い合わせの見落としや、自社のメールの信用低下につながります。早めの対策がおすすめです。
株式会社LEAPHでは、Cloudflare Turnstileの導入支援を行っています。 WordPressのサイトはもちろん、他社が制作したサイトや、WordPress以外で作ったサイトにも対応します。フォームの迷惑メールでお困りの方は、LEAPHのホームページ制作・保守サービスからお気軽にご相談ください。
ホームページの安全対策や制作については、こちらの記事もあわせてご覧ください。
出典
- Cloudflare Turnstile Plans（Cloudflare公式）
- Cloudflare Turnstile ドキュメント（Cloudflare公式）
- Turnstile integration（Contact Form 7公式）
- reCAPTCHAの課金について（Google Cloud公式）
- 【注意喚起】問い合わせフォームの自動返信機能を悪用したスパムメール送信と対策について（エックスサーバー）
- 【2026年最新】フォームのスパム対策5選（Tayori Blog）
（2026年11月5日時点の情報です。料金やサービス内容は変更される可能性があります。）
