Snow Monkey FormsにreCAPTCHA v3を設定する方法｜SWELLのスパム対策
WordPressでお問い合わせフォームを公開すると、「迷惑メールが大量に届かないか」「スパム対策は必要なのか」と不安になる方も多いのではないでしょうか。
SWELLでSnow Monkey Formsを利用している場合は、Googleの「reCAPTCHA v3」を設定することで、フォームから送信されるスパムへの対策を強化できます。
設定自体はそれほど難しくありませんが、Google側で発行する「サイトキー」と「シークレットキー」、サブドメインで制作している場合のドメイン設定など、初めてだと迷いやすいポイントがあります。
ここでは、Snow Monkey FormsにreCAPTCHA v3を設定する手順から、本番サイトへの移行時に確認しておきたいポイントまで順番に解説します。
Snow Monkey Formsにはスパム対策が必要？
お問い合わせフォームは、企業サイトや店舗サイトにとって重要な窓口です。
一方で、フォームをそのまま公開すると、自動プログラムである「bot（ボット）」によって営業メールや不正なメッセージが送信されることがあります。
スパムが増えると、次のような問題につながります。
- 必要な問い合わせが迷惑メールに埋もれる
- メール確認の手間が増える
- 大量送信によってサーバーへ負荷がかかる
- 不正なプログラムからフォームを繰り返し利用される
そこで利用される代表的な対策のひとつがGoogle reCAPTCHAです。
GoogleはreCAPTCHAを、スパムや不正利用からWebサイトを保護するためのサービスとして提供しています。
reCAPTCHA v3とは？
reCAPTCHAには複数の方式がありますが、Snow Monkey Formsは「reCAPTCHA v3」に対応しています。Snow Monkey Forms公式でも、WordPress管理画面からSite KeyとSecret Keyを設定することでフォームを保護できると案内されています。
「私はロボットではありません」のチェックは不要
以前よく見かけたreCAPTCHAでは、
「私はロボットではありません」
というチェックボックスをクリックする必要がありました。
reCAPTCHA v3では基本的にこの操作はありません。
Webサイト上でのアクセスをもとにリクエストをスコアで評価する仕組みのため、通常のユーザーはフォーム入力を邪魔されにくいのが特徴です。Google公式でも、v3はユーザー操作を要求せずにスコアを返す仕組みとして説明されています。
そのため、企業サイトのお問い合わせフォームにも導入しやすいスパム対策です。
SWELL＋Snow Monkey FormsにreCAPTCHAを設定する方法
ここから実際の設定手順を紹介します。
SWELL側に特別な設定を追加する必要はなく、基本的にはGoogle reCAPTCHAとSnow Monkey Formsの設定だけで進められます。
1.Google reCAPTCHAでサイトを登録する
まずGoogle reCAPTCHAの管理画面へアクセスし、Googleアカウントでログインします。
サイト登録画面では、管理しやすい名前を入力します。
たとえば、
「会社名 Webサイト」
「〇〇コーポレートサイト」
など、自分で分かれば問題ありません。
続いてreCAPTCHAの種類を選びます。
Snow Monkey Formsで利用する場合は、
「reCAPTCHA v3」
を選択します。
2.使用するドメインを登録する
次にreCAPTCHAを使用するWebサイトのドメインを登録します。
例えばサイトURLが、
の場合、登録するのは、
example.com
です。
「https://」や「/contact/」などのURLパスは入力しません。
Googleの仕様では、登録可能なのはドメインまたはサブドメインで、パス・ポート・クエリなどは含めません。
登録内容を確認してサイトを作成します。
3.サイトキーとシークレットキーを取得する
登録が完了すると、
- サイトキー（Site Key）
- シークレットキー（Secret Key）
が発行されます。
サイトキーはWebサイト側でreCAPTCHAを呼び出すために使用します。
シークレットキーは、WebサイトとGoogle reCAPTCHAのサーバー間で認証するために使用する重要な情報です。Googleもシークレットキーは安全に管理する必要があると説明しています。
そのため、シークレットキーをブログ記事・チャット・スクリーンショットなどで公開しないよう注意してください。
万が一第三者に見える場所へ公開してしまった場合は、そのまま使用せず、新しいキーへ変更しておくと安心です。
4.Snow Monkey Formsにキーを設定する
次にWordPress管理画面へ戻ります。
管理画面から、
「Snow Monkey Forms」→「reCAPTCHA」
へ進みます。
Snow Monkey Forms公式でも、この設定画面からreCAPTCHA v3のSite KeyとSecret Keyを登録する方法が案内されています。
それぞれ以下のように入力します。
サイトキー
→ Google reCAPTCHAで発行されたSite Key
シークレットキー
→ Google reCAPTCHAで発行されたSecret Key
入力できたら設定を保存します。
これで基本的なreCAPTCHAの設定は完了です。
設定後は必ずフォームの送信テストを行う
reCAPTCHAのキーを保存しただけで作業を終わらせず、実際のお問い合わせフォームからテスト送信しましょう。
確認するポイントは次のとおりです。
- フォームを正常に入力できる
- 確認画面へ進める
- 正常に送信できる
- 管理者宛メールが届く
- 自動返信メールを設定している場合は受信できる
- エラーメッセージが表示されない
特に、
「スパムの可能性があります」
などのエラーが表示された場合は、reCAPTCHAのドメイン設定やSite Key・Secret Keyに間違いがないか確認します。
また、キャッシュ系プラグインやJavaScriptの最適化を利用している場合は、キャッシュを削除してから再確認すると改善するケースもあります。
サブドメインで制作している場合はどうする？
Web制作では、本番サイトへ直接WordPressを構築せず、サブドメインを利用したテスト環境で制作するケースがあります。
例えば、
test.example.com
で制作し、完成後に、
example.com
へ移行するケースです。
この場合でも、制作中からreCAPTCHAを設定して問題ありません。
親ドメインを登録していればサブドメインも利用できる
Google reCAPTCHAでは、許可したドメインのサブドメインも自動的に許可されます。
例えば、
example.com
を許可ドメインとして登録していれば、
test.example.com
contact.example.com
なども対象になります。
そのため、
「テスト環境だからreCAPTCHAは本番公開後に設定しよう」
と考える必要はありません。
制作段階から設定して、フォームの動作まで確認しておく方が安全です。
制作環境と本番環境のドメインが異なる場合
注意したいのは、制作環境と本番環境がまったく別のドメインの場合です。
例えば、
test-web.example.net
から、
client-company.jp
へ移行するケースです。
この場合はGoogle reCAPTCHA側で、利用する両方のドメインを許可する必要があります。
Google reCAPTCHAでは複数のドメイン・サブドメインをキーに設定できます。
本番公開後は、Google側に本番ドメインが正しく登録されていることを確認してください。
本番ドメインへ移行した後に確認すること
WordPressサイトをサブドメインから本番ドメインへ移行した場合、フォームについても再テストが必要です。
公開後は最低限、次の項目を確認しましょう。
- reCAPTCHAの許可ドメイン
- Site Key・Secret Key
- お問い合わせフォームの表示
- フォーム送信
- 管理者宛メール
- 自動返信メール
- 迷惑メールフォルダ
- WordPressやプラグインのエラー
サイト移行ではURLやサーバー環境が変わるため、「制作環境で正常だったから大丈夫」と判断せず、本番環境でも実際に送信することが重要です。
reCAPTCHAのロゴが右下に表示されるのは正常？
Snow Monkey FormsでreCAPTCHAを設定すると、Webサイト右下にreCAPTCHAのバッジが表示される場合があります。
これは不具合とは限りません。
Snow Monkey Formsの公式フォーラムでも、reCAPTCHA設定後にバッジが表示される動作について議論されています。
デザイン上どうしても非表示にしたい場合、Googleは一定の条件を満たしたうえでバッジを非表示にする方法を案内しています。具体的には、reCAPTCHAによってサイトが保護されていることと、Googleのプライバシーポリシー・利用規約への案内をユーザーから確認できる形で表示する必要があります。
単純にCSSで消すだけではなく、Googleの最新ルールを確認したうえで対応することをおすすめします。
reCAPTCHA設定時の注意点
シークレットキーを公開しない
最も重要なのがシークレットキーの管理です。
サイトキーはWebサイト側で使用されますが、Secret Keyはサーバー側の認証に使われます。
スクリーンショットを共有するときも、Secret Keyが写っていないか必ず確認しましょう。
Snow Monkey Formsを最新状態に保つ
WordPress本体・テーマ・プラグインは継続的にアップデートされています。
Snow Monkey Formsについても、reCAPTCHA関連の機能追加や不具合修正が行われてきました。
古いバージョンを使い続けず、バックアップを取ったうえで適切に更新しましょう。
reCAPTCHAだけですべてのスパムを防げるとは限らない
reCAPTCHAは有効なスパム対策ですが、100％すべての迷惑送信を防止できるとは限りません。
必要に応じて、
- WordPress・プラグインの更新
- フォーム項目の見直し
- メールサーバーの迷惑メール対策
- IP制限などのセキュリティ対策
を組み合わせることも重要です。
Webサイトのセキュリティは、ひとつの機能だけに頼らず複数の対策を組み合わせることで、より安定した運用につながります。
よくある質問
SWELL側にもreCAPTCHAの設定は必要ですか？
Snow Monkey Formsをお問い合わせフォームとして使用している場合、基本的にはSnow Monkey Forms側で設定します。
SWELLの設定画面へSite KeyやSecret Keyを追加する必要はありません。
reCAPTCHA v2とv3のどちらを選べばよいですか？
Snow Monkey FormsにはreCAPTCHA v3の設定機能があります。Snow Monkey Formsの標準機能を利用する場合はv3を選択します。
制作中のサブドメインでも設定して大丈夫ですか？
問題ありません。
むしろ制作段階で設定し、フォーム送信まで確認しておくことをおすすめします。
親ドメインを許可している場合、そのサブドメインもGoogle reCAPTCHAの対象になります。
本番サイトへ移行したらキーを作り直す必要がありますか？
同じ親ドメイン内のサブドメインから本番ドメインへ移行するのであれば、必ずしも作り直す必要はありません。
別ドメインへ移行する場合は、本番ドメインをGoogle reCAPTCHA側の許可対象へ追加します。
いずれの場合も、移行後にフォーム送信テストを行いましょう。
reCAPTCHAを設定すれば問い合わせフォームは安全ですか？
スパム対策として有効ですが、それだけですべてのセキュリティ問題を解決できるわけではありません。
WordPressやプラグインの更新、バックアップ、メール設定なども含めて総合的に管理することが大切です。
まとめ｜Snow Monkey Formsには公開前にreCAPTCHAを設定しよう
SWELLでSnow Monkey Formsのお問い合わせフォームを利用している場合、Google reCAPTCHA v3を設定することでスパム対策を強化できます。
基本的な流れは、
- Google reCAPTCHAでサイトを登録する
- reCAPTCHA v3を選択する
- ドメインを登録する
- Site KeyとSecret Keyを取得する
- Snow Monkey Formsへ2つのキーを入力する
- 実際にフォームを送信して確認する
という手順です。
サブドメインで制作している場合も、公開後まで待つ必要はありません。制作段階からreCAPTCHAを導入し、フォーム送信まで確認しておけば、本番公開時のトラブルも減らせます。
お問い合わせフォームは、Webサイトから見込み客とつながる重要な入口です。
サイトを作って終わりではなく、スパム対策・メール受信・バックアップ・WordPressの更新まで含めて定期的に確認することで、安心して運用できるWebサイトにつながります。
