お問い合わせフォームにスパムが届く理由と、単なる迷惑では済まない理由

お問い合わせフォームがあるサイトのほとんどで、同じことが起きます。公開から数日後には、誰も実際には書いていない最初のメッセージが届きます。SEO サービスの売り込み、怪しい店へのリンク、そのサイトが一度も使ったことのない言語の文章などです。多くの人は削除するだけですが、それでは問題を過小評価しています。フォームスパムは、受信トレイの雑音にとどまりません。自分のサイトを、自分に害を与える道具に変えることがあります。

フォームスパムを送るのは誰か

• 巡回ボット。自動プログラムは、入力欄、テキストエリア、送信ボタンなど、フォームに見えるものをウェブ上で探して入力します。フォームが存在する、それだけで見つかります。
• 安価なスクリプトと市販ツール。フォームへの大量送信ソフトは簡単に入手できます。コードを一行も書かずに、一人で一日数千件のメッセージを送れます。
• SEO のリンクスパム。多くのメッセージの目的は、受信トレイ、コメント欄、投稿を公開するページなど、どこかにリンクを置くことだけです。どこかで検索エンジンに登録されるか、誰かがクリックすることを狙っています。
• フィッシングとマルウェア。請求書、苦情、著作権の通知、「サイトに問題があります」という警告などを装い、偽のログインページやファイルへのリンクを載せるメッセージもあります。自分のフォームを経由して届くため、普通のメールより信頼できるように見えがちです。

フォームがスパムを送ってしまうとき

多くのフォームは、訪問者が入力したアドレスに自動確認メールを送ります。「お問い合わせありがとうございます。送信内容のコピーです」といったものです。本物の訪問者には親切ですが、スパム送信者には好機です。ボットはメール欄に他人のアドレスを入れ、本文に広告やフィッシングのリンクを載せます。するとサーバーは、そのサイトを一度も訪れていない他人へ、ご自身のドメイン名で、その文章を律義に送ってしまいます。

メール提供者は、送信元ドメインとサーバーの評判も材料にして受信メールを判断します。スパムの苦情、スパムトラップへの送信、送信量の急増は、いずれも不利に働きます。厄介なのは、ここでは SPF、DKIM、DMARC が役に立たないことです。これらの仕組みは、メールが本当にそのドメインから来たことを確認します。そしてこの場合、実際にそうなのです。認証が証明するのは送信元であり、受信者がその内容を望んでいることではありません。評判が下がると、通常の業務メールにも影響します。見積書、請求書、顧客への返信が迷惑メールフォルダーに入り始め、回復には長い時間がかかることがあります。

関連する設定ミスは、スパムがなくても被害を生みます。通知メールの送信元（「From」）に訪問者のアドレスを使うフォームがあります。自分のサーバーは、その訪問者のドメインのためにメールを送る権限がないため、SPF と DKIM が From アドレスと整合しません。そのドメインが厳格な DMARC ポリシーを公開していると、本物の問い合わせも含め、メールが拒否されるか迷惑メールに分類されます。適切なのは、自分のドメインのアドレスから送り、訪問者のアドレスは Reply-To に入れる方法です。

日常的に生じる被害もあります

• 時間の浪費。誰かが読んで、仕分け、削除しなければなりません。一日数分でも、一年では何日分もの勤務時間になります。
• 本物の問い合わせの見落とし。受信トレイの大半がごみだと、人は流し読みをしたり、強力なフィルターを設定したりします。たった一件の本物の見積もり依頼が他と一緒に削除されたり、返信が一週間遅れたりします。
• フィッシングがチームに届く。自分のお問い合わせフォームを通じて届いたリンクは、無関係なメールのリンクよりクリックされやすくなります。偽のログインページに一度パスワードを入力しただけで、すべてのスパムを合わせた以上の損失が生じることもあります。
• データの汚染。送信内容が CRM、ニュースレターのリスト、チケットシステムに流れ込む場合、偽の登録がデータを歪め、さらに自動メールを発生させることがあります。

実際に「保護済み」とはどういうことか

一つのスイッチですべては解決しません。複数の層がそれぞれ問題の一部を捉え、一層が機能しなくても全面的に侵入を許さない状態が、十分に保護されたフォームです。

フォームに手を加えず、自分のフォームの現状を確認できます。formexposed.com の無料チェックは、公開ページを受動的に訪問し、何も送信しません。各フォームについて、CAPTCHA、ハニーポット、CSRF トークン、時間トラップが存在し、有効な設定に見えるかを示します。スキャナーは GDPR とアクセシビリティのチェックも行い、詳細を完全なレポートに含めます。結果は、保護済み、一部保護、無防備の三段階です。どの層が欠けているかを判断する出発点になります。