無料で始める

コラム

MW WP Formのスパム・営業メール対策｜Akismet設定と限界

  • #MW WP Form
  • #WordPress
  • #スパム対策
  • #営業メール対策
  • #reCAPTCHA
  • #Akismet

確認画面付きのフォームが作りやすいのでMW WP Formを使ってきたものの、英文のスパムと日本語の営業メールが毎日のように届き、本物の問い合わせを探すのに時間を取られている——。制作会社から引き継いだサイトで、そんな状況になっている方は少なくないはずです。

本記事では、MW WP Formで使える標準のスパム対策（Akismet設定）、reCAPTCHAやハニーポットを追加するときの考え方と注意点、プラグインの保守状況の確認方法を整理します。そのうえで、**どの対策を入れても残る「人間が送る営業メール」**にどう向き合うかまで解説します。

この記事の結論（先に要点）

対策導入方法ボットスパム人間の営業メール注意点
Akismet設定MW WP Formの標準機能（Akismetプラグインが必要）○✕ ほぼ素通り項目の対応付けが必要
reCAPTCHA v3第三者製アドオン、またはテーマ側のコードで追加◎✕ 素通り標準機能ではないため保守を自分で担う
ハニーポットフォーム側に隠し項目を追加し、送信時に検査○✕ 素通り実装はコード作業になる
日本語必須チェックフィルターフックで独自のバリデーションを追加◎（英文スパム）✕ 素通り海外からの正規の問い合わせも弾く
「営業お断り」の文言フォームの上に掲載—△ 一部抑止読まない送信者には効かない
AI営業メール判定（Defform）Defformのフォームに置き換えて設置○◎ 内容・文脈で判定既存フォームの機能要件を移行前に確認

→ MW WP Formで取れるスパム対策は、Akismetを除くとコードやアドオンでの追加が前提です。そしてどれを足しても、判定軸が「人間かボットか」である限り、人間が送る営業メールは止まりません。ボット対策は手堅く入れつつ、営業メールは別の層で考えるのが現実的です。

1. MW WP Formにスパム・営業メールが多いのはなぜか

「MW WP Formにしてからスパムが多い」という相談を受けることがありますが、原因はプラグインの欠陥ではなく、主に次の3つです。

理由1：標準で入っているスパム対策がAkismet連携だけ

MW WP Formは、確認画面・豊富なバリデーション（入力チェック）・問い合わせデータの保存など、フォームとしての機能が充実したプラグインです。一方でスパム対策として標準で用意されているのはAkismet連携のみで、reCAPTCHAなどのCAPTCHA系の仕組みは含まれていません。

Contact Form 7のように管理画面からreCAPTCHAのキーを登録するだけ、という導線がないため、何も追加しないまま運用されているサイトが多いのが実情です。Contact Form 7側の設定手順はContact Form 7のスパム・営業メール対策 完全ガイドにまとめていますが、MW WP Formでは同じことをするにもひと手間かかります。

理由2：確認画面はボット対策にならない

「確認画面を挟んでいるのでボットは送れないはず」と考えられがちですが、確認画面は入力内容をユーザーに見せ直すための画面であり、送信者が人間かどうかを判定する仕組みではありません。確認画面を経由する手順ごと自動化することは難しくないため、スパム対策としては期待できません。

理由3：営業メールは「人間の送信」として届く

問い合わせフォームに届く迷惑な送信のうち、日本語の売り込み文は、営業代行会社やフォーム営業ツールが人間、または人間相当の操作で送っているものが中心です。これはボット対策をいくら強化しても止まりません。増えている背景は問い合わせフォームに営業メールが急に増えた理由と対策で解説しています。

つまり、MW WP Formで困っている状況は「ボットスパム対策が手薄」という問題と、「人間の営業メールを止める層がない」という問題が重なっていることが多いのです。前者はMW WP Formの範囲で手当てでき、後者は別の手段が必要になります。

2. まず確認したい：MW WP Formの保守状況

対策の前に、使っているMW WP Formのバージョンと保守状況を確認しておきましょう。スパム対策とは別の話に見えますが、フォームの安全性に直結します。

開発者の交代と「最小限の保守」

MW WP Formは、当初の開発者が開発の終了を告知したあと、保守の担当が別の開発者（Webの相談所）に引き継がれています。WordPress.orgの公式プラグインページには、現在は必要最小限の保守リリースのみが行われている旨が記載されています。

また、公式ディレクトリでは「WordPressの最新3回のメジャーリリースでテストされていない」という注意表示も出ています。これは「動かない」という意味ではありませんが、WordPress本体の更新時に不具合が出ないかを自分で確認する必要があるということです。

セキュリティ修正は継続して出ている

変更履歴を見ると、ファイルアップロードの処理や出力のエスケープ、アクセス制御などに関するセキュリティ修正が複数回リリースされています。古いバージョンのまま運用しているサイトは、スパム対策より先にプラグインを最新版に更新することを優先してください。

フォーム関連のプラグインやアドオンで脆弱性が見つかる例は珍しくありません（参考：Redirection for Contact Form 7の脆弱性）。更新は、ステージング環境などで動作を確認してから本番に反映するのが安全です。

保守状況を踏まえた「使い続けるか、移行するか」の判断は第6章で扱います。プラグイン全体の比較はWordPress問い合わせフォームプラグインの選び方｜スパム・営業メール対策で比較も参考にしてください。

3. MW WP FormのAkismet設定｜標準でできるスパム対策

MW WP Formで追加のコードなしに使えるスパム対策が、Akismet連携です。Akismetは、WordPressのコメントスパム対策で知られるサービスで、既知のスパムのデータベースと照合して送信を判定します。

設定の流れ

  1. WordPressにAkismetプラグイン（Akismet Anti-spam）をインストール・有効化し、APIキーを設定する
  2. MW WP Formのフォーム編集画面を開き、「Akismet設定」の欄を表示する
  3. 送信者の名前・メールアドレス・URLにあたる項目として、**フォーム側の項目名（name属性）**をそれぞれ対応付ける
  4. 保存し、テスト送信で正常な問い合わせが通ることを確認する

ポイントは3の対応付けです。Akismetは送信者の名前やメールアドレスなどを手がかりに判定するため、フォームの項目名と正しく結び付いていないと十分に機能しません。フォームを改修して項目名を変えた場合は、Akismet設定も合わせて見直してください。

なお、Akismetの利用条件（商用サイトでのプランなど）はAkismet側の規約に従います。導入前に確認しておきましょう。

Akismetで止まるもの・止まらないもの

Akismetが得意なのは、大量に配信される定型のスパムです。英文の宣伝や、URLを並べただけの投稿などは、既知のパターンと照合して検出しやすい部類に入ります。

一方、日本語で個別に書かれた営業メールは、既知スパムのパターンと一致しにくく、ほぼそのまま通過します。Akismetは「スパムかどうか」を見る仕組みで、「営業目的かどうか」は判定対象ではないためです。

4. MW WP FormでreCAPTCHAを使う方法と注意点

「MW WP Form reCAPTCHA」で検索すると、いくつかの導入方法が見つかります。大きく分けると次の2通りです。

方法1：第三者製のアドオンを使う

MW WP FormにreCAPTCHAを追加するアドオンプラグインが、第三者によって公開されていることがあります。手軽ですが、本体とは別の開発者が保守している点に注意が必要です。導入前に、WordPress.orgのプラグインページで最終更新日・対応バージョン・サポートフォーラムの状況を確認し、更新が止まっているものは避けてください。本体の保守が最小限になっている状況で、さらに保守状況の不明なアドオンを重ねると、将来の不具合の切り分けが難しくなります。

方法2：テーマ側のコードで実装する

制作会社や社内に開発者がいる場合は、テーマ（子テーマ）側で次のように実装する方法もあります。

  1. Google reCAPTCHAの管理コンソールでサイトキーとシークレットキーを取得する
  2. フォームを表示するページで reCAPTCHA v3 のスクリプトを読み込み、送信時にトークンを取得してフォームに含める
  3. 送信を受け取った側でトークンをGoogleの検証API（siteverify）に送り、スコアを確認する
  4. スコアが低い場合は送信を受け付けないようにする

MW WP Formには、フォームごとにバリデーションを追加できるフィルターフック（mwform_validation_mw-wp-form-xxx）や、独自のバリデーションルールを登録するフック（mwform_validation_rules）が用意されており、3〜4の処理はこうした仕組みに組み込むのが一般的です。具体的な仕様はreCAPTCHA v3の公式ドキュメントとMW WP Formのドキュメントを確認しながら進めてください。

しきい値を上げても営業メールは止まらない

reCAPTCHA v3が返すスコアは「その送信が人間による操作である可能性」を表すもので、内容が営業目的かどうかは含まれていません。人間が送る営業メールは高いスコアで通過するため、しきい値を厳しくしても止まらず、先に弾かれるのはプライバシー保護設定の強いブラウザを使う正規のお客様、という結果になりがちです。この構造はreCAPTCHAが効かない理由｜営業メールが減らない仕組みと対策で詳しく解説しています。

5. ハニーポット・日本語必須チェックを追加する

reCAPTCHA以外にも、MW WP Formに追加できるボット対策があります。いずれもコード作業が前提ですが、外部サービスに依存しない点が利点です。

ハニーポット：隠し項目でボットを見分ける

人間には見えない入力欄をフォームに置き、そこに値が入っていればボットとみなす手法です。MW WP Formでは、フォーム本文に隠し項目を追加し、前述のバリデーション用フックで「この項目が空でなければエラーにする」という処理を組む形になります。ユーザーの操作を増やさずに済むのが利点ですが、高度なボットには見抜かれることもあります。実装の考え方と限界は問い合わせフォームのハニーポット実装｜効く範囲と3つの限界を参照してください。

日本語必須チェック：英文スパムを入口で止める

お問い合わせ本文に日本語（ひらがな）が1文字も含まれていない送信をエラーにする方法です。海外から届く英文スパムには非常に効果的で、MW WP Formでも独自のバリデーションとして追加できます。

ただし、海外の取引先や日本語を書かない方からの正規の問い合わせも弾いてしまいます。海外からの問い合わせがあり得る事業では、英語用の窓口を別に用意するなどの配慮が必要です。また、日本語で書かれた営業メールには当然ながら効果がありません。

対策を入れたら「何が通っているか」を見る

MW WP Formには、問い合わせデータをデータベースに保存する機能があります。対策を追加したあとは、保存されたデータを数週間分見返し、届いている迷惑な送信がボットスパムなのか、日本語の営業メールなのかを確認しておくと、次に打つ手を判断しやすくなります。英文スパムが消えて営業メールだけが残っているなら、ボット対策はもう十分に効いています。

6. 対策しても残る「人間の営業メール」とMW WP Formの今後

Akismet、reCAPTCHA、ハニーポット、日本語必須チェックを組み合わせれば、ボットスパムはかなり抑えられます。それでも残るのが、日本語で丁寧に書かれた人間の営業メールです。

営業メールが止まらない理由

ここまでの対策はすべて「人間かボットか」「既知のスパムか」を判定しています。営業メールは人間が（または人間と同じ操作で）送り、文面も個別に作られているため、どの判定にも引っかかりません。最近はAIで文面を一件ずつ生成するツールもあり、NGワードによる対策も効きにくくなっています（→AI時代に営業メールが巧妙化｜NGワード対策が効かない理由）。

フォームの上に「営業目的のご連絡はお控えください」と掲載するのは、コストがかからず一定の抑止効果がある手段です。書き方と置き場所は問い合わせフォームの「営業お断り」文言で解説していますが、文言を読まずに送る送信者には効きません。対策の全体像は問い合わせフォームの営業メール・スパム対策 完全ガイドで整理しています。

使い続けるか、移行するかの判断基準

保守状況を踏まえると、MW WP Formのサイトは次のように考えるのが現実的です。

状況判断の目安
最新版で問題なく動いており、改修予定もない当面は継続。ボット対策を整え、WordPress更新時の動作確認を習慣にする
サイトのリニューアルや大きな改修を予定しているこのタイミングで後継のフォームへの移行を計画する
WordPress本体やPHPの更新後に不具合が出た修正を待つより、移行を前倒しで検討する
営業メールの仕分けに毎日時間を取られている移行先を選ぶ際に「営業メールをどう仕分けるか」を要件に含める

移行先を選ぶときは、確認画面、入力チェック、自動返信メール、問い合わせデータの保存など、現在のフォームで使っている機能を書き出してから候補と照らし合わせてください。フォームの設計を一から見直す場合は問い合わせフォームの作り方｜項目設計から営業メール対策までの7手順が参考になります。

7. 営業メールの仕分けをAIに任せる（Defform）

人間が送る営業メールを止めるには、送信者の挙動ではなくメールの内容を読んで判定する層が必要です。この役割を担うのがDefformです。

Defformは、問い合わせの本文・件名・送信者情報・文章パターンをAIが読み、営業メール／スパム／本物の問い合わせに自動で仕分けます。定型的な提案文か、自社に固有の用件か、といった文脈から判断するため、reCAPTCHAやAkismetが通してしまう日本語の営業メールも仕分けの対象になります。

MW WP Formからの置き換えとして使う

DefformのWordPressプラグイン「Defform Contact Form」は、Defformで作成したフォームをショートコードで固定ページなどに設置する形式です。MW WP Formのフォームに後から組み込むものではないため、MW WP Formで運用中のサイトでは、問い合わせフォームをDefformのフォームに置き換える形で導入します。

保守状況を理由に移行を検討しているなら、移行と営業メール対策を同時に進められるのが利点です。ボット対策と役割が重なるものではないため、サイト全体で使っているreCAPTCHAなどの対策は併用を前提に考えてください。

AIが営業メールやスパムと判定した送信も削除はされず、ダッシュボードやWordPress管理画面から内容を確認できます。AIによる判定である以上、誤判定の可能性はゼロではありませんが、仕分けられた送信を見返せるため、本物の問い合わせを確認できないまま失う形にはなりません。

導入手順

  1. Defformに無料サインアップし、ダッシュボードでフォームを作成する
  2. WordPress管理画面 →「プラグイン」→「新規プラグインを追加」→「Defform」を検索してインストール・有効化する（WordPress公式プラグイン）
  3. 設定画面にAPIキーを入力して連携する
  4. 発行されたショートコードを問い合わせページに貼り付け、テスト送信で動作を確認してから、MW WP Formのフォームと差し替える

料金は、AI判定30通/月までのFREEプランが永年無料、PROは月額3,000円でAI判定300通/月、BUSINESSは月額15,000円です。FREEはテンプレートからのフォーム作成で、項目の追加・編集や自動返信メールはPRO以上の機能になります。現在のフォームの項目数や自動返信の有無と照らし合わせて、料金プランで確認してください。プラグインの詳細はWordPressプラグインのページにまとめています。

まずはFREEで別ページにフォームを用意し、実際に届く問い合わせがどう仕分けられるかを確かめてから本番のフォームを差し替える、という順番が無理のない進め方です。

よくある質問（FAQ）

Q. MW WP FormにreCAPTCHAの設定項目はありますか？ A. 標準の設定項目はありません。MW WP Formが標準で備えているスパム対策はAkismet連携で、reCAPTCHAを使う場合は第三者製のアドオンを導入するか、テーマ側のコードで実装する必要があります。アドオンを使う場合は、最終更新日や対応バージョンを確認してから導入してください。

Q. MW WP FormのAkismet設定を有効にすれば営業メールは減りますか？ A. 英文の宣伝などの定型スパムには効果が期待できますが、日本語で個別に書かれた営業メールはほとんど通過します。Akismetは既知スパムとの照合で判定する仕組みで、内容が営業目的かどうかは判定対象ではないためです。

Q. MW WP Formは開発終了したのですか？使い続けても大丈夫ですか？ A. 当初の開発者は開発終了を告知しましたが、その後、保守は別の開発者に引き継がれ、セキュリティ修正を含む保守リリースが出ています。ただし公式ページでは必要最小限の保守のみと案内されています。最新版に更新したうえで、リニューアルや改修のタイミングで移行を計画しておくのが安全です。

Q. MW WP Formのフォームを残したままDefformを使えますか？ A. DefformのWordPressプラグインは、Defformで作成したフォームをショートコードで設置する形式のため、MW WP Formのフォームに組み込むことはできません。問い合わせフォームをDefformのフォームに置き換える形で導入してください。判定結果はダッシュボードやWordPress管理画面で確認できます。

まとめ

  • MW WP Formが標準で備えるスパム対策はAkismet連携のみ。reCAPTCHAやハニーポットはアドオンやコードでの追加が前提
  • 確認画面はボット対策にならない。Akismet設定ではフォームの項目名の対応付けを忘れずに行う
  • MW WP Formは保守が引き継がれているが、必要最小限の保守と案内されている。まず最新版への更新を優先し、改修時には移行を計画する
  • どのボット対策を足しても、人間が送る日本語の営業メールは止まらない。判定軸が「人間かボットか」だから
  • 営業メールの仕分けには内容を読む層が必要。Defformはフォームの置き換えで導入でき、判定結果はダッシュボードで確認できる

→ Defformを無料で試す

→ 関連：WordPress問い合わせフォームプラグインの選び方｜スパム・営業メール対策で比較

→ 関連：Contact Form 7のスパム・営業メール対策 完全ガイド