無料で始める

コラム

Snow Monkey Formsのスパム・営業メール対策｜reCAPTCHA設定と限界

  • #Snow Monkey Forms
  • #WordPress
  • #スパム対策
  • #営業メール対策
  • #reCAPTCHA
  • #Cloudflare Turnstile

ブロックエディタでサイトを組んだ流れでSnow Monkey Formsを入れたものの、公開してしばらくすると英文のスパムと日本語の営業メールが混ざって届くようになった——。新しく作ったサイトや、MW WP Formから乗り換えたばかりのサイトで、こうした相談は珍しくありません。

本記事では、Snow Monkey Formsの設定画面から導入できるreCAPTCHA v3とCloudflare Turnstileの手順、うまく動かないときの確認点、コードで追加できるボット対策を整理します。そのうえで、**どの対策を入れても残る「人間が送る営業メール」**にどう向き合うかまで解説します。

この記事の結論（先に要点）

対策導入方法ボットスパム人間の営業メール注意点
reCAPTCHA v3Snow Monkey Formsの設定画面でキーを登録◎✕ 素通りキーの種類（v3）とドメイン登録を確認
Cloudflare Turnstile対応バージョンの設定画面でキーを登録◎✕ 素通り使っているバージョンに項目があるか確認
ハニーポット隠し項目と送信時の検査をコードで追加○✕ 素通り実装はテーマ側のコード作業
日本語必須チェック独自の検証処理をコードで追加◎（英文スパム）✕ 素通り海外からの正規の問い合わせも弾く
確認画面フォームの設定でオン・オフ✕✕入力内容の見直し用で、スパム対策ではない
「営業お断り」の文言フォームの上に掲載—△ 一部抑止読まない送信者には効かない
AI営業メール判定（Defform）Defformのフォームに置き換えて設置○◎ 内容・文脈で判定既存フォームの機能要件を移行前に確認

→ Snow Monkey Formsは、設定画面からreCAPTCHA v3（対応バージョンではTurnstileも）を有効にできるため、ボット対策は手早く整えられます。ただし、どれも判定軸は「人間かボットか」です。人間が送る営業メールは止まらないため、ボット対策は手堅く入れつつ、営業メールは別の層で考えるのが現実的です。

1. Snow Monkey Formsにスパム・営業メールが届く理由

「Snow Monkey Formsにしてからスパムが増えた」という声を聞くことがありますが、多くの場合、原因はプラグインそのものではありません。主に次の3つが重なっています。

理由1：インストールしただけではボット対策が有効になっていない

Snow Monkey Formsは、ブロックエディタでフォームを組み立てられる国産のフォームプラグインです。WordPress.orgの公式ディレクトリでは、作者としてMW WP Formの当初の開発者でもあるTakashi Kitajima氏の名前が掲載されています。確認画面のオン・オフや各種入力項目のブロックなど、フォームとしての機能は一通りそろっています。

一方、reCAPTCHAなどのボット対策は、サイト側でキーを取得して設定画面に登録してはじめて有効になります。フォームを公開することを優先して、キーを登録しないまま運用しているサイトは少なくありません。まずは設定画面を開き、キーが入っているかを確認してください。

理由2：確認画面はボット対策にならない

MW WP Formから移行したサイトでは、確認画面を挟む構成をそのまま引き継いでいることがよくあります。確認画面は入力内容をユーザーに見せ直すための画面であり、送信者が人間かどうかを判定する仕組みではありません。確認画面を経由する手順ごと自動化することは難しくないため、スパム対策としては期待できません。

理由3：営業メールは「人間の送信」として届く

問い合わせフォームに届く迷惑な送信のうち、日本語の売り込み文は、営業代行会社やフォーム営業ツールが人間、または人間相当の操作で送っているものが中心です。こうした送信はボット対策をどれだけ強化しても止まりません。増えている背景は問い合わせフォームに営業メールが急に増えた理由と対策で解説しています。

つまり、Snow Monkey Formsで困っている状況の多くは、「ボット対策が未設定」という問題と、「人間の営業メールを止める層がない」という問題が重なっているのです。前者はSnow Monkey Formsの設定で解決でき、後者は別の手段が必要になります。

2. Snow Monkey FormsのreCAPTCHA v3設定手順

Snow Monkey Formsで最初に入れておきたいのが、Google reCAPTCHA v3です。Contact Form 7と同じく、管理画面にキーを登録する形で導入できます（Contact Form 7側の手順はContact Form 7のスパム・営業メール対策 完全ガイドを参照してください）。

設定の流れ

  1. Google reCAPTCHAの管理コンソールで新しいサイトを登録する。種類は**reCAPTCHA v3（スコアベース）**を選び、フォームを設置するサイトのドメインを登録する
  2. 発行されたサイトキーとシークレットキーを控える
  3. WordPress管理画面でSnow Monkey Formsの設定画面を開き、reCAPTCHAの欄に2つのキーを入力して保存する
  4. フォームを設置したページを開き、テスト送信で正常な問い合わせが届くことを確認する

reCAPTCHA v3はユーザーにチェックボックスや画像選択を求めず、ページ上の操作の様子からスコアを算出する方式です。入力の手間が増えないため、問い合わせの離脱を気にするサイトでも導入しやすい対策です。仕様の詳細はreCAPTCHA v3の公式ドキュメントで確認できます。

reCAPTCHAが動かない・送信できないときの確認点

「Snow Monkey Forms reCAPTCHA 効かない」「設定したら送信できなくなった」という場合は、次の順で確認すると原因を絞り込みやすくなります。

  • キーの種類：v2（チェックボックス）用のキーを登録していないか。v3用のキーを発行し直す
  • ドメイン：本番ドメインとステージング環境のドメインが、管理コンソールに登録されているか
  • キーの入れ違い：サイトキーとシークレットキーを逆に入力していないか
  • JavaScriptの最適化：キャッシュ系・高速化系のプラグインでスクリプトの遅延読み込みや結合をしている場合、reCAPTCHAの読み込みが妨げられることがある。フォームのページを最適化の対象から外して試す
  • キャッシュ：設定変更後、サーバー側やCDNのキャッシュが古いページを返していないか

一つずつ切り分けたうえで、それでも解決しない場合は、プラグインとWordPress本体を最新版に更新してから再度確認してください。

しきい値を厳しくしても営業メールは止まらない

reCAPTCHA v3が返すスコアは「その送信が人間による操作である可能性」を表すもので、内容が営業目的かどうかは含まれていません。人間が送る営業メールは高いスコアで通過するため、判定を厳しくしても止まりません。むしろ、プライバシー保護設定の強いブラウザを使う正規のお客様が先に弾かれる、という結果になりがちです。この構造はreCAPTCHAが効かない理由｜営業メールが減らない仕組みと対策で詳しく解説しています。

3. Cloudflare Turnstileを使う場合

Snow Monkey Formsは、比較的新しいバージョンでCloudflare Turnstileにも対応しています。Turnstileは、Googleのサービスを使いたくない場合や、reCAPTCHAのバッジ表示を避けたい場合の選択肢になります。

設定の流れ

  1. Cloudflareのダッシュボードで Turnstile のウィジェットを作成し、サイトキーとシークレットキーを取得する
  2. WordPress管理画面でSnow Monkey Formsの設定画面を開き、Turnstileの欄に2つのキーを入力する
  3. すべてのフォームに自動で追加する設定を使うか、対象のフォームに個別に組み込むかを選ぶ
  4. テスト送信で正常に届くことを確認する

設定画面にTurnstileの項目が見当たらない場合は、プラグインのバージョンが古い可能性があります。更新してから確認してください。Turnstile自体の仕様はCloudflare Turnstileの公式ドキュメントにまとまっています。

reCAPTCHAとTurnstile、どちらを選ぶか

両者とも「人間かボットか」を判定する仕組みで、ボットスパムへの効果に大きな差はありません。すでにGoogleのサービス（アナリティクスなど）を使っているならreCAPTCHA、Cloudflareを利用しているサイトや、ユーザーのプライバシーへの配慮を重視するならTurnstile、といった選び方で十分です。両方を同時に入れても営業メール対策としての効果は変わらないため、どちらか一つを確実に動かすことを優先してください。違いの整理はDefform vs Cloudflare Turnstile 徹底比較でも扱っています。

4. ハニーポット・日本語必須チェックを追加する

設定画面にない対策も、テーマ（子テーマ）側のコードで追加できます。制作会社や社内に開発者がいる場合の選択肢です。

ハニーポット：隠し項目でボットを見分ける

人間には見えない入力欄をフォームに置き、そこに値が入っていればボットとみなす手法です。ユーザーの操作を増やさずに済み、外部サービスにも依存しないのが利点ですが、高度なボットには見抜かれることもあります。

Snow Monkey Formsで実装する場合は、隠し項目の追加と、送信時に「この項目が空でなければエラーにする」検査の両方が必要です。検査処理をどこに組み込むかは、使っているバージョンで提供されているフックの仕様を公式ドキュメントで確認しながら進めてください。実装の考え方と限界は問い合わせフォームのハニーポット実装｜効く範囲と3つの限界で解説しています。

日本語必須チェック：英文スパムを入口で止める

お問い合わせ本文に日本語（ひらがな）が1文字も含まれていない送信をエラーにする方法です。海外から届く英文スパムには非常に効果的で、reCAPTCHAをすり抜けた英文スパムが残っている場合の補強になります。

ただし、海外の取引先や日本語を書かない方からの正規の問い合わせも弾いてしまいます。海外からの問い合わせがあり得る事業では、英語用の窓口を別に用意するなどの配慮が必要です。また、日本語で書かれた営業メールには当然ながら効果がありません。

コードで足す前に考えたいこと

独自のコードは、プラグインの更新で動作が変わったときに自分で直す必要があります。制作会社が納品したサイトでは、誰がそのコードを保守するのかを決めておかないと、担当者が替わった後に「なぜか送信できない」というトラブルの原因になります。reCAPTCHAまたはTurnstileを正しく動かしたうえで、それでも英文スパムが残る場合に限って追加する、という順番が無理のない進め方です。

5. 「営業お断り」文言と、届いた後の運用

ボット対策とは別に、フォームの周辺でできる工夫もあります。

フォームの上に「営業お断り」を掲載する

フォームの上に「営業目的のご連絡はお控えください」と掲載するのは、コストがかからず一定の抑止効果がある手段です。Snow Monkey Formsはブロックでフォームを組むため、フォームのブロックの直前に段落ブロックを置くだけで掲載できます。書き方と置き場所は問い合わせフォームの「営業お断り」文言で解説していますが、文言を読まずに送る送信者には効きません。

届いている送信の種類を見分ける

対策を追加したあとは、数週間分の受信メールを見返し、届いている迷惑な送信がボットスパムなのか、日本語の営業メールなのかを確認しておくと、次に打つ手を判断しやすくなります。英文スパムが消えて営業メールだけが残っているなら、ボット対策はもう十分に効いています。それ以上ボット対策を重ねても、営業メールは減りません。

広告のコンバージョン計測にも影響する

フォーム送信を広告やGA4のコンバージョンとして計測している場合、営業メールの送信もコンバージョンとして数えられます。件数が多いと、広告の自動最適化や効果測定が歪む原因になります。見分け方と除外の考え方はGA4のコンバージョンが営業メール・スパムで水増しされる問題で解説しています。

6. 対策しても残る「人間の営業メール」

reCAPTCHAまたはTurnstile、必要に応じてハニーポットや日本語必須チェックを組み合わせれば、ボットスパムはかなり抑えられます。それでも残るのが、日本語で丁寧に書かれた人間の営業メールです。

営業メールが止まらない理由

ここまでの対策はすべて「人間かボットか」「機械的な送信か」を判定しています。営業メールは人間が（または人間と同じ操作で）送り、文面も個別に作られているため、どの判定にも引っかかりません。最近はAIで文面を一件ずつ生成するツールもあり、NGワードによる対策も効きにくくなっています（→AI時代に営業メールが巧妙化｜NGワード対策が効かない理由）。

これはSnow Monkey Formsに限った話ではなく、Contact Form 7やMW WP Formなど、ほかのフォームプラグインでも同じです。プラグインごとの違いはWordPress問い合わせフォームプラグインの選び方｜スパム・営業メール対策で比較で比較しています。営業メールだけが理由でフォームプラグインを乗り換えても、結果は変わらないと考えてください。対策の全体像は問い合わせフォームの営業メール・スパム対策 完全ガイドで整理しています。

MW WP Formから移行したサイトでの確認点

MW WP Formの保守状況を理由にSnow Monkey Formsへ移行したサイトでは、移行時にスパム対策が抜け落ちていることがあります。MW WP Formで使っていたAkismet設定やアドオンのreCAPTCHAは、Snow Monkey Formsには引き継がれません。移行後は、Snow Monkey Formsの設定画面でボット対策を改めて有効にすることを忘れないでください。MW WP Form側の対策と保守状況はMW WP Formのスパム・営業メール対策｜Akismet設定と限界にまとめています。

7. 営業メールの仕分けをAIに任せる（Defform）

人間が送る営業メールを止めるには、送信者の挙動ではなくメールの内容を読んで判定する層が必要です。この役割を担うのがDefformです。

Defformは、問い合わせの本文・件名・送信者情報・文章パターンをAIが読み、営業メール／スパム／本物の問い合わせに自動で仕分けます。定型的な提案文か、自社に固有の用件か、といった文脈から判断するため、reCAPTCHAやTurnstileが通してしまう日本語の営業メールも仕分けの対象になります。

Snow Monkey Formsからの置き換えとして使う

DefformのWordPressプラグイン「Defform Contact Form」は、Defformで作成したフォームをショートコードで固定ページなどに設置する形式です。Snow Monkey Formsのフォームに後から組み込むものではないため、営業メールに困っている問い合わせフォームをDefformのフォームに置き換える形で導入します。

営業メールが集中するのは、多くの場合「お問い合わせ」ページの汎用フォームです。まずはそのフォームだけを置き換え、ほかの用途のフォームはSnow Monkey Formsのまま運用する、という段階的な進め方もできます。ボット対策と役割が重なるものではないため、サイト全体で使っているreCAPTCHAなどの対策は併用を前提に考えてください。

AIが営業メールやスパムと判定した送信も削除はされず、ダッシュボードやWordPress管理画面から内容を確認できます。AIによる判定である以上、誤判定の可能性はゼロではありませんが、仕分けられた送信を見返せるため、本物の問い合わせを確認できないまま失う形にはなりません。

導入手順

  1. Defformに無料サインアップし、ダッシュボードでフォームを作成する
  2. WordPress管理画面 →「プラグイン」→「新規プラグインを追加」→「Defform」を検索してインストール・有効化する（WordPress公式プラグイン）
  3. 設定画面にAPIキーを入力して連携する
  4. 発行されたショートコードを問い合わせページに貼り付け、テスト送信で動作を確認してから、Snow Monkey Formsのフォームと差し替える

料金は、AI判定30通/月までのFREEプランが永年無料、PROは月額3,000円でAI判定300通/月、BUSINESSは月額15,000円です。FREEはテンプレートからのフォーム作成で、項目の追加・編集や自動返信メールはPRO以上の機能になります。Snow Monkey Formsで使っている確認画面や自動返信、入力項目と照らし合わせて、料金プランで確認してください。プラグインの詳細はWordPressプラグインのページにまとめています。

まずはFREEで別ページにフォームを用意し、実際に届く問い合わせがどう仕分けられるかを確かめてから本番のフォームを差し替える、という順番が無理のない進め方です。

よくある質問（FAQ）

Q. Snow Monkey FormsでreCAPTCHAを使うにはどうすればよいですか？ A. Google reCAPTCHAの管理コンソールでreCAPTCHA v3のサイトキーとシークレットキーを取得し、WordPress管理画面のSnow Monkey Formsの設定画面に入力して保存します。設定後は、フォームを設置したページでテスト送信を行い、正常に届くことを確認してください。

Q. reCAPTCHAを設定したのに営業メールが減らないのはなぜですか？ A. reCAPTCHA v3が判定しているのは「その送信が人間の操作かどうか」で、内容が営業目的かどうかは判定していないためです。人間や人間相当の操作で送られる営業メールは高いスコアで通過します。しきい値を厳しくしても営業メールは止まらず、正規のお客様が弾かれるおそれのほうが大きくなります。

Q. Snow Monkey FormsでreCAPTCHAとTurnstileを両方使う必要はありますか？ A. 必須ではありません。どちらも「人間かボットか」を判定する仕組みで、ボットスパムへの効果に大きな差はなく、両方入れても営業メール対策としての効果は変わりません。どちらか一つを確実に動かすことを優先してください。

Q. Snow Monkey Formsのフォームを残したままDefformを使えますか？ A. DefformのWordPressプラグインは、Defformで作成したフォームをショートコードで設置する形式のため、Snow Monkey Formsのフォームに組み込むことはできません。営業メールに困っているフォームをDefformのフォームに置き換える形で導入し、ほかのフォームはSnow Monkey Formsのまま運用することもできます。判定結果はダッシュボードやWordPress管理画面で確認できます。

まとめ

  • Snow Monkey Formsは、設定画面にキーを登録するだけでreCAPTCHA v3（対応バージョンではTurnstileも）を有効にできる。まずキーが入っているかを確認する
  • reCAPTCHAが動かないときは、キーの種類・ドメイン登録・JavaScriptの最適化の順に切り分ける
  • 確認画面はボット対策にならない。ハニーポットや日本語必須チェックは、保守の担い手を決めたうえでコードで追加する
  • どのボット対策を足しても、人間が送る日本語の営業メールは止まらない。判定軸が「人間かボットか」だから
  • 営業メールの仕分けには内容を読む層が必要。Defformはフォームの置き換えで導入でき、判定結果はダッシュボードで確認できる

→ Defformを無料で試す

→ 関連：WordPress問い合わせフォームプラグインの選び方｜スパム・営業メール対策で比較

→ 関連：MW WP Formのスパム・営業メール対策｜Akismet設定と限界