ホームページのお問い合わせフォームには、reCAPTCHA のようなボット対策が欠かせなくなっています。ボットとは、自動で動くプログラムのことです。
法律で設置が義務になったわけではありません。それでも、対策のないフォームには迷惑な送信が届きやすく、本当のお問い合わせが埋もれる原因になります。すでに reCAPTCHA を入れているフォームも、2025年から2026年にかけての変更で、確認しておきたいことが増えました。
まず確認したいのは、自社のフォームにボット対策が入っているかどうかです。入っていなければ、導入を検討しましょう。reCAPTCHA が入っていれば、Google Cloud への移行が済んでいるかを確かめます。あわせて、プライバシーポリシーの書き方が今の仕組みに合っているかも見直します。
この記事では、ボット対策が必要な理由と、reCAPTCHA の変更点、自社のフォームを確認する順番を説明します。
ボット対策のないフォームには、迷惑な送信が届きやすくなります
お問い合わせフォームは、誰でも送信できる入口です。ボットはインターネット上のサイトを自動で巡回しています。そして、フォームを見つけると、決まった文章を何度も送信します。
送られてくるのは、広告や詐欺サイトへのリンク、意味のない文字の並びなどです。少しずつ届くこともあれば、短い時間にまとめて大量に届く場合もあります。
困るのは、迷惑な送信の中に本当のお問い合わせが埋もれてしまうことです。見落として返信が遅れると、相談しようとした方は他の会社に連絡するかもしれません。
自動返信のメールが悪用される場合があります
フォームに「自動返信」を設定している場合は、もう一つ注意が必要です。
ボットは、メールアドレスの欄に他人のアドレスを入れて送信する場合があります。すると、自社のメールアドレスから、その他人あてに自動返信が届いてしまいます。自動返信に入力内容をそのまま載せる設定だと、宣伝の文章まで自社の名前で送った形になる可能性があります。
このような送信が続くと、自社のドメインが迷惑メールの送り主として扱われる場合があります。ドメインとは、メールアドレスの「@」より後ろの部分です。そうなると、普段のメールまで相手の迷惑メールフォルダに入りやすくなります。
「必須」は、公開しているフォームなら入れる前提で考えるという意味です
ボット対策を入れることは、法律やGoogleの決まりで義務になっているわけではありません。
ただ、公開しているフォームには、いつボットが来てもおかしくありません。問題が起きてから入れるよりも、最初から入れておくほうが、片付けの手間も少なくて済みます。
reCAPTCHA は、送っているのが人かどうかを自動で判定する仕組みです
reCAPTCHA（リキャプチャ）は、Google が提供しているボット対策の仕組みです。フォームを送った人の操作や通信の様子から、人が送ったのか、ボットが送ったのかを判定します。
よく使われているのは次の2種類です。
- チェックボックス型（v2）：「私はロボットではありません」にチェックを入れる形です。疑わしい場合は、画像を選ぶ問題が出ます。
- スコア型（v3）：利用者は何も操作しません。画面の右下に小さなマーク（バッジ）が出て、裏側で判定する仕組みです。
たとえば、WordPress でよく使われる「Contact Form 7」は、スコア型の reCAPTCHA に対応しています。設定は「お問い合わせ」→「インテグレーション」の画面から行います。
reCAPTCHA を入れても、迷惑な送信をすべて止められるわけではありません。人が手で送ってくる営業メールは、ボットではないため通常は止まりません。それでも、自動で大量に届く送信は大きく減らせます。
2025年から2026年にかけて、reCAPTCHA の仕組みが変わりました
reCAPTCHA は、ここ1年ほどで管理のしかたと料金、データの扱いが変わりました。以前に設定したまま、という場合は確認しておきましょう。
キーは Google Cloud で管理する形に変わりました
reCAPTCHA を使うには、Google から発行される「キー」が必要です。キーとは、サイトとGoogleをつなぐための文字列のことです。
以前は reCAPTCHA 専用の管理画面でキーを作っていましたが、今は従来型のキーを新しく作ることはできません。これまでのキーは、Google Cloud（Google の法人向けのサービス）のプロジェクトへ移す形になりました。移行の手続きをしなかった場合は、Google が自動で移す流れです。
現在の reCAPTCHA は、Google Cloud の「Fraud Defense」の一部です。Fraud Defense は、不正対策のサービスです。名前は変わりましたが、これまでのキーや設定は、そのまま使い続けられます。
無料で判定できるのは、月1万回までです
料金は、判定した回数で決まります。請求先を登録していない無料の範囲では、判定は1か月に1万回までです。
この1万回は、サイトごとではありません。同じ組織で使っているすべてのサイトとアカウントの合計で数えられます。複数のサイトを1つの Google のアカウントでまとめて管理している場合は、合計で上限に近づくことがあります。
請求先を登録していない状態で1万回を超えると、翌月の1日になるまで、判定の依頼はエラーになります。このときの動きは、フォームのプラグインや作り方によって異なります。フォームが送れなくなる場合もあれば、確認が働かないまま受け付けてしまう場合もあります。
請求先を登録すると、1万回を超えた後も止まらずに使えます。1万1回から10万回までは月8ドルの定額、10万回を超えた分は1,000回ごとに1ドルです。詳しくは、Google のreCAPTCHA の料金の説明をご覧ください。
一般的な会社やお店のフォームなら、月1万回を超えることは多くありません。ただし、ボットからの送信が急に増えた月は、回数が一気に増える場合があります。
2026年4月2日から、データの扱いとプライバシーポリシーの書き方が変わりました
2026年4月2日から、reCAPTCHA で集めるデータについて、Google の立場が変わりました。
これまでは、Google が自社のプライバシーポリシーに沿ってデータを扱う立場でした。4月2日からは、サイトの運営者がデータの扱いを決める立場になりました。Google は、運営者の指示に沿って処理する立場です。
これに合わせて、reCAPTCHA のバッジから Google のプライバシーポリシーと利用規約へのリンクが外れました。Google は、サイトの中にある同じ参照も外すようすすめています。
フォームの近くに、Google のプライバシーポリシーと利用規約が適用されるという文を入れている場合は、見直しが必要です。バッジを隠すときに入れる文は、今は「This site is protected by reCAPTCHA.」だけになりました。詳しくは、Google のreCAPTCHA のよくある質問に書かれています。
その代わりに、運営者は自社のプライバシーポリシーで、reCAPTCHA を使う目的を説明しておく必要があります。たとえば、迷惑な送信や不正な利用を防ぐために reCAPTCHA を使っていることを書きます。そのために閲覧や操作の情報が Google に送られることも、書いておくとよいでしょう。reCAPTCHA が使う Cookie（_GRECAPTCHA）は、これまでどおり残ります。
自社のフォームと reCAPTCHA の設定を、次の順番で確認しましょう
確認は、ボット対策が入っているかどうかから始めます。reCAPTCHA を使っている場合は、移行・回数・表記の順に進めると、抜けが少なくなります。
- フォームのあるページを開き、ボット対策が入っているかを見ます。画面の右下のバッジや、「私はロボットではありません」のチェックボックスが目印です。WordPress なら、Contact Form 7 の「お問い合わせ」→「インテグレーション」で確認できます。
- reCAPTCHA を使っている場合は、Google Cloud の管理画面（コンソール）を開きます。キーがプロジェクトに入っているかを確かめましょう。移行の案内メールが届いていないかも確認しておきましょう。
- 同じ管理画面の「Fraud Defense」で、月の判定回数を確認します。1万回に近い月があれば、請求先の登録か、ほかの仕組みへの切り替えを検討してください。
- フォームの近くの文と、自社のプライバシーポリシーを読み直します。Google のプライバシーポリシーと利用規約への参照が残っていれば外し、自社のポリシーに reCAPTCHA を使う目的を書き足しましょう。
- 最後に、自分でフォームから送信してみます。お問い合わせが届くか、自動返信が正しく届くかを確かめてください。
キーの管理を制作会社に任せている場合もあります。そのときは、どの Google のアカウントでキーを管理しているかを確認しておきましょう。後の手続きがスムーズです。
reCAPTCHA 以外のボット対策を選ぶ方法もあります
ボット対策は reCAPTCHA だけではありません。サイトの規模や管理のしやすさに合わせて選べます。
Cloudflare Turnstile に切り替える方法があります
Cloudflare Turnstile（ターンスタイル）は、Cloudflare 社が無料で提供しているボット対策の仕組みです。多くの場合、利用者は何も操作せずに送信できます。
Contact Form 7 は、6.1 から Turnstile に標準で対応しました。Contact Form 7 6.1 のお知らせでは、開発者が Turnstile をすすめています。設定は reCAPTCHA と同じ「インテグレーション」の画面で行い、キーを入れるとすべてのフォームに表示されます。
切り替える場合も、プライバシーポリシーに、外部のサービスを使ってボット対策をしていることを書いておきましょう。
ほかの対策と組み合わせると、効果が上がります
1つの仕組みだけに頼らず、次のような対策を組み合わせると、迷惑な送信はさらに減ります。
- 自動返信のメールに、入力された内容をそのまま載せない
- 迷惑な投稿を判定するサービス（Contact Form 7 なら Akismet など）を使う
- サーバーの WAF（不正な通信を止める機能）を有効にしておく
- 送信が急に増えたときに気づけるよう、届いたメールの件数に目を配る
組み合わせを増やしすぎると、本当のお問い合わせまで止めてしまう場合があります。設定を変えた後は、必ず自分で送信して確かめてください。
よくあるご質問
Q. reCAPTCHA を入れていないと、法律違反になりますか？
A. 法律違反にはなりません。ボット対策は、迷惑な送信や自動返信の悪用を防ぐための対策です。ただし、公開しているフォームには何らかの対策を入れておくことをおすすめします。
Q. 迷惑な送信がほとんど来ないので、reCAPTCHA を外してもよいですか？
A. おすすめしません。今届いていないのは、対策が働いているためかもしれません。外すと、短い期間で迷惑な送信が増える場合があります。
Q. reCAPTCHA と Turnstile は、どちらを選べばよいですか？
A. 一般的な会社やお店のフォームなら、どちらでも十分な効果が期待できます。Google Cloud で他のサービスを使っていて、管理をまとめたい場合は reCAPTCHA が向いています。一方、回数を気にせず無料で使いたい場合は Turnstile がよいでしょう。
フォームのボット対策は、入れた後も年に一度は見直しましょう
お問い合わせフォームのボット対策は、法律上の義務ではありませんが、公開しているフォームには入れておく前提で考えるのがよいでしょう。reCAPTCHA を使っている場合は、次の3点を確認しておくと安心です。Google Cloud への移行、月1万回の無料の範囲、そして2026年4月2日からのプライバシーポリシーの書き方です。
佐世保でお問い合わせフォームの迷惑な送信にお困りの方は、株式会社プロヴァシスへお問い合わせからご相談ください。reCAPTCHA の設定の見直しも承ります。今のフォームの設定を確認し、必要な作業をご説明します。ホームページの制作と保守の内容は、サービスでご案内しています。
