Fluent Formsのスパム対策｜ハニーポット・Turnstileの設定と営業メールへの対応

Fluent Formsに不要な投稿が届くときは、まず現在の保護設定と、その設定がどのフォームに適用されるかを確認しましょう。自動送信への対策を整えても営業案内が残る場合は、受け付ける用件を整理し、本文による判定を追加するか検討します。

この記事では、すでにFluent Formsで問い合わせフォームを運用している方向けに、設定の確認順序を説明します。FormArmor運営による解説です。操作名は公式資料をもとに併記していますが、翻訳やバージョンによって表示が異なります。画像は説明図で、実際の管理画面ではありません。

Fluent Formsのスパム対策は何から始める？

自動投稿・繰り返し投稿・営業案内を分ける

届くメールを数件だけ見て「すべて同じ原因」と判断せず、短時間の大量送信、同じ文章の反復、内容を読まないと分からない売り込みなど、困っている投稿の特徴を整理します。対策の目的を決めると、設定を追加する理由も明確になります。

たとえば同じ営業文が届いていても、送信者が人かボットかは本文だけでは断定できません。「日本語だから人間」「CAPTCHAを通ったから必要な相談」とも限りません。送信方法への対策と、自分の窓口で受け付ける内容の判断を分けて考えます。

現在の設定と通常通知の到達を確認する

変更前に、フォームのページURLとID、Fluent Formsのバージョン、有効な対策、通常通知の宛先を記録します。複数フォームがあるサイトでは、どのフォームから届いたメールかも確認してください。

そのうえで、管理者が確認できる宛先と架空の本文で通常送信を試します。通知がすでに届いていない状態で対策を追加すると、後から原因を区別しにくくなります。実際の顧客情報や接続キーをテスト本文へ入れる必要はありません。

ハニーポットの設定を確認する

サイト全体の設定で有効化する手順

公式資料では、Fluent Formsの「Global Settings → General → Miscellaneous」にある「Enable Honeypot Security」を有効にして保存する手順が案内されています。ハニーポットは、利用者には見えない項目を使って不正な自動入力を検知する仕組みです。Fluent Forms公式：ハニーポットの設定

全体設定を変更するときは、作業対象の問い合わせフォームだけを見て終えず、同じサイトのほかのフォームも確認します。変更日時と変更前の状態を残しておけば、問題が出た場合に戻せます。

ハニーポットだけでは対応しきれない投稿

ハニーポットを有効にしても、すべての不要な投稿を止める保証はありません。残った投稿を確認し、送信量が多いのか、特定の案内だけが問題なのかを見直します。

対策が効いたかを確認する際は、不要な投稿の件数に加え、通常相談を送信できることも確認しましょう。件数が減っても、フォーム自体が利用できなくなっていれば適切な状態ではありません。

TurnstileなどのCAPTCHAを設定する

利用するサービスと必要なキーを確認する

Fluent FormsではTurnstileなどの連携を設定できます。すでに別のCAPTCHAを使っている場合は、その状態を記録し、重複して追加する前に各サービスの公式手順を確認します。以下はTurnstileを対象フォームへ追加する例です。

CloudflareのTurnstileでウィジェットを作成し、フォームを公開するホスト名を登録する。
発行したサイトキーとシークレットキーを用意する。
Fluent Formsの「Global Settings → Security → Turnstile」を開く。
対応する欄へキーを入力し、確認して保存する。

シークレットキーは記事や公開ページ、共有用スクリーンショットへ掲載しないでください。キーの登録だけで、対象フォームへの追加まで完了したと思い込まないことも大切です。

対象フォームへの適用と公開ページでの確認

公式手順では、フォームの編集画面で「Advanced Fields」からTurnstile項目を追加し、フォームを保存します。その後、実際に埋め込んだ公開ページで確認します。Fluent Forms公式：Turnstile連携

管理者としてログインした画面だけでなく、通常の訪問者の状態でも架空の投稿を試します。設定後に送れなくなった場合は、登録したホスト名と対象フォームを確認し、直前の変更から切り分けます。ページに表示されたという事実と、投稿が正常に受け付けられた結果は別々に確認してください。

フォームごとの送信制限を見直す

空の送信やログイン必須の設定を確認する

フォームの「Settings & Integrations → Scheduling & Restrictions」には、ログインの要求や空の送信を制限する設定が案内されています。全体の保護設定と、個別フォームの利用条件を混同しないようにしましょう。Fluent Forms公式：フォーム単位の制限

一般の問い合わせを妨げる制限を避ける

初めて訪れた人からの問い合わせを受け付けたいのにログインを必須にすると、窓口の目的と合わなくなります。設定項目があるからと一律に有効化せず、「誰に使ってもらうフォームか」を基準に選びます。

フォームを複製したことがある場合は、元の設定が引き継がれていないかも確認します。公開用フォームと会員向けフォームでは、必要な制限が違います。

営業メールが残る場合は本文による判定を検討する

受け付ける用件と減らしたい案内を整理する

ボットへの対策を追加した後も、自社では受け付けない売り込みが届く場合があります。まず購入相談、既存顧客からの質問、取材、提携の相談など、残したい用件を言葉にします。営業案内に出やすい単語を広く禁止すると、通常の相談にも当たるおそれがあります。

受付方針の考え方は、既存記事のレビュー・取材依頼を受け付ける設定例も参考になります。

FormArmorを追加する場合の対象フォーム・本文項目・注意点

FormArmorはFluent Forms無料版の通常フォームに対応し、動作確認版は6.2.17です。Pro専用機能、会話型、部分保存、決済フォームは対象外です。通常の問い合わせ本文だけを選び、不要な氏名やメールアドレスまで判定項目へ含めないようにします。

「設定 → FormArmor」で対象フォームと本文項目を選び、接続を確認して保存します。選択した本文と受付方針は外部AIへ送信されるため、公開するフォームの説明と情報の取り扱いも確認してください。具体的な接続手順はFluent Formsへの導入ガイドにまとめています。

Freeは1サイト・月150件までで、拒否本文は保存しません。Plus・Proで営業・曖昧な投稿の保存を選んだ場合も、すべての拒否本文を復元できるわけではありません。AIには誤判定があり、障害や利用枠超過時は原則として通常のフォーム処理を継続します。条件は利用規約とプライバシーポリシーをご確認ください。

設定後は送信・保存・通知の3点を確認する

架空の通常相談と営業案内で動作を確認する

対策を設定したら、画面の送信結果だけで終えず、投稿一覧と受信先も確認します。次の表は記録のひな型で、特定の製品やAIが必ずこの結果になるという実験結果ではありません。

確認項目	通常相談のテスト	追加した対策で拒否された投稿のテスト
送信画面	利用者が送信結果を確認できるか	どの表示になるか
投稿保存	予定した保存先に記録されるか	保存されるか、停止するか
通知メール	管理者の宛先へ届くか	通常通知が届くか、停止するか

Fluent FormsでFormArmorが拒否・保留した場合は、通常のエントリー保存と送信後処理を停止します。FormArmor側の保存や復元通知は、Fluent Formsへのエントリー再登録や外部連携の再実行ではありません。

問題が出たときは変更を一つずつ戻して切り分ける

複数の設定を同時に変えず、変更前後の結果を残します。メールだけ届かないなら通知先やメール送信経路、送信そのものが止まるなら画面の表示や保護設定を順に確認します。フォームの停止や保護解除が必要な場合は、管理者が影響範囲を確認したうえで行ってください。

受信後にメールを整理したい場合は、Gmailで問い合わせフォームの営業メールを振り分ける方法も参照できます。

参考資料

この記事についてFormArmorの運営が執筆しています。記載の設定や提供条件は更新日現在の情報です。実際の設定前に、ご利用の製品の公式情報もご確認ください。内容の訂正・お問い合わせ

START WITH YOUR FORM

いつものフォームに、
本文のAI判定を。

Contact Form 7／WPForms Liteに追加できます。
まずは1サイト・月150件のFreeプランから。

Googleで無料登録導入手順を確認する

クレジットカード不要。自動で有料にはなりません。
AIには誤判定があり、不要な投稿を通したり、正当な投稿を拒否したりする場合があります。