ホームページのお問い合わせフォームから迷惑メールが来るようになったと聞いて、
フォームに使っているプラグイン contact form7 の
セキュリティ強化（スパム対策）になることをしてみようと思った。
Akismetは有効、フォームに承認確認ボタンを入れてはいたけれど、
承認確認ボタンはもうあまり意味がないのかな。
contact form7の管理画面でも提案されている
reCAPTCHA（リキャプチャ）を設定してみた。
reCAPTCHAの公式ページ
https://www.google.com/recaptcha/
contact form7内のreCAPTCHA説明ページ
https://contactform7.com/recaptcha/
v3 になってからは、フォームに入力する人が
”ロボットではありません”にチェックを入れる、信号や車のパネルを選ぶ、ゆがんだ文字の画像を見て入力する、というようなことをしなくても
バックグラウンドでbotか人間か勝手に判断してくれるようになっている。
設定手順のメモ ↓
➀Googleアカウントにログインして、以下からWordpressサイトを登録する。
（reCAPTCHAは、Googleが提供するサービスなので）
https://www.google.com/recaptcha/admin/create
・ラベル 複数のサイトを管理していても自分がわかりやすいよう名前をつける。
・タイプ v3を選ぶ
・ドメイン 今回設置したいWordpressサイトのドメインを例にならって入力する。
・オーナーメアド、利用条件を確認し、同意するにチェックを入れて送信。
サイト登録が完了したら、２つのキーが表示されるので
これをコピーして②のWordpress管理画面の設定箇所に貼り付ける。
※発行された２つのキーの画面を閉じてしまった時はhttps://www.google.com/recaptcha/admin/ にアクセスし、
複数サイトを登録管理している場合は、左上のドロップダウンで該当サイトに切り替えて
右上の歯車のマークの設定 → reCAPTCHA のキー で再表示できる。
②Wordpress管理画面に２つのキーをコピペ。
左メニュー お問い合わせ－インテグレーション－reCAPTCHA－インテグレーションのセットアップへ進む。
開いた画面に➀のサイトキーとシークレットキーを貼り付けて保存。
これで設定完了。
※設置後しばらく経って状況を確認したい時は
https://www.google.com/recaptcha/admin/ にアクセス。
複数サイトを登録管理している場合は、左上のドロップダウンで該当サイトに切り替える。
どういうケースでどういうスコアが出るのか詳細はわからないけれど、
スコア分布は0.0の方が不正なトラフィック、1.0の方が安全なトラフィックとのこと。
デフォルトの閾値は0.5。
＜例＞
③reCAPTCHAのマークを非表示にする＋利用規約に則ったテキストを追加する。
reCAPTCHAを設定すると、全ページ右下にreCAPTCHAのマークが表示される。
特にスマホではトップに戻るボタンと重なったり不都合なので、非表示にしたい。
CSSで以下の指定をすれば非表示にできる。
.grecaptcha-badge { visibility: hidden; }
ただし、①で「同意する」としたreCAPTCHA利用条件に
「サイトにアクセスしたユーザーに、サイトで reCAPTCHA v3 が使用されていること、reCAPTCHA v3 の使用には Google プライバシー ポリシーと利用規約が適用されることを明示的に通知することに同意するものとします。」とあるので、
ページ内の邪魔にならない位置にその旨のテキストを表示しておく。
＜例＞
※このサイトはreCAPTCHAによって保護されており、
Googleの<a href="https://policies.google.com/privacy">プライバシーポリシー</a>と<a href="https://policies.google.com/terms">利用規約</a>が適用されます。
This site is protected by reCAPTCHA and the Google <a href="https://policies.google.com/privacy">Privacy Policy</a> and <a href="https://policies.google.com/terms">Terms of Service</a> apply.
実際、どの程度防げるのかわからないけれど、
今回はreCAPTCHA v3を設定してから迷惑メールが来なくなった、
他に困ったことも出てきていない、ということなのでよかった。
自分のところに迷惑メールが来るだけでなく、フォームの自動返信機能を利用して
勝手に大量のメールアドレスにスパムメールを送ってしまう事例も増えているとのことなのでこの機会に設定してよかった。
Ｘサーバー：【注意喚起】WordPressプラグイン「Contact Form 7」などのメールフォーム（問い合わせフォーム）の仕様を悪用したスパムメール配信行為への注意喚起、ならびに対策のお願い