お問い合わせフォームの自動返信が迷惑メールの踏み台に？入力内容を入れてはいけない理由
お問い合わせフォームの自動返信メールに、お客様が入力した内容をそのまま載せていないでしょうか。「入力内容の控えになって親切」に見えますが、実はこの設定、迷惑メールの「踏み台」に使われることがあります。この記事では、その仕組みと、自分のサイトのフォームを見直す方法を紹介します。
- 自動返信メールが迷惑メールの踏み台になる仕組み
- 踏み台にされると、サイトにどんなことが起きるか
- Contact Form 7 と MW WP Form で、自動返信の設定を見直す場所
- 自動返信メールに書いてよいこと・書かないほうがよいこと
保守や復旧の仕事で、何度も見てきました
僕は WordPress サイトの保守や復旧の仕事もしていますが、自動返信メールが踏み台にされたサイトに何度も出会ってきました。気づいたきっかけは、サイトによってさまざまです。
- サーバー会社から警告が届いた
- サーバーからメールが送れなくなった（送信を止められた）
- お問い合わせの通知メールが、迷惑メールフォルダに入るようになった
- 届かなかったメールのエラー通知が、大量に返ってくるようになった
多いときは、一晩で数百件の迷惑メールが、そのサイトから送られていました。原因を調べると、ほとんどが「自動返信メールにお問い合わせ内容をそのまま入れている」設定でした。使っていたフォームは、Contact Form 7 と MW WP Form がほとんどです。
どちらも、自動返信に何を入れるかを自由に決められる、よくできたプラグインです。問題は「お問い合わせ内容をそのまま入れる」という設定のほうにあります。
なぜ自動返信が「踏み台」になるのか
「踏み台」とは、他人のサイトの仕組みを悪用して、迷惑メールを送らせることです。自動返信メールは、次のような流れで悪用されます。
メールアドレスの欄に、迷惑メールを送りつけたい「他人のアドレス」を入力します。お問い合わせ内容の欄には、宣伝文や怪しいサイトの URL を入力します。
フォームは、入力されたアドレスに自動返信を送ります。つまり、まったく関係のない他人に、あなたのサイトからメールが届きます。
自動返信に入力内容が入っていると、届くメールの中身は宣伝文や怪しい URL です。送信元はあなたのサイトなので、受け取った人には「あなたのサイトからの迷惑メール」に見えます。
ロボットは、これを大量に繰り返します。あなたのサイトは、知らないうちに迷惑メールの送り主になってしまいます。
メールの世界では、送り元のドメイン（〇〇.com など）ごとに「信用できる送り主か」が判断されています。迷惑メールを大量に送ったドメインは信用が下がり、普通のメールまで迷惑メール扱いされるようになります。
お問い合わせの通知メールが届かなくなったり、サーバー会社にメールの送信を止められたりするのは、このためです。
自分のサイトのフォームを見直す方法
見直すのは、自動返信メールの本文に、入力内容を差し込む設定が入っていないかです。使っているフォームに合わせて確認してみてください。
管理画面の「お問い合わせ」から、フォームの編集画面を開きます。「メール」タブの下のほうにある「メール (2)」が、自動返信に使われることが多い設定です。
メール (2) の本文に、[your-message] や [your-name] のような角かっこのタグが入っていたら、そこに入力内容が差し込まれます。
管理画面の「MW WP Form」から、フォームの編集画面を開きます。自動返信メールの設定の本文を確認します。
本文に {name} や {message} のような、波かっこで囲んだ項目名があれば、そこに入力内容が差し込まれます。
どのフォームでも、自動返信メールの本文に「入力された値を差し込む」書き方があります。差し込む書き方のところを探して、入力内容が入らないようにします。
見つかったら、そのタグを本文から消して保存します。僕が直したサイトでも、この「自動返信から入力内容を外す」対応をしました。
自動返信メールには何を書けばいいか
自動返信メールの役目は、「お問い合わせを受け付けました」とお客様に伝えることです。入力内容がなくても、その役目は果たせます。
| 書いてよいこと | 書かないほうがよいこと |
|---|---|
| 受け付けたこと | お問い合わせ内容 |
| いつごろ返事をするか（〇営業日以内など） | お名前・会社名 |
| 心当たりがなければ破棄してほしいこと | 入力された URL・電話番号など |
| サイト名・サイトの URL | — |
お名前も入れないのがおすすめです。お名前の欄にも、宣伝文や URL を入れられてしまうからです。
このメールは、〇〇のお問い合わせフォームから送信された方へ、自動でお送りしています。
お問い合わせいただき、ありがとうございます。内容を確認のうえ、2営業日以内にご連絡いたします。なお、お送りいただいた内容は、このメールには記載していません。
お心当たりのない場合は、どなたかが誤ってメールアドレスを入力した可能性があります。お手数ですが、このメールは破棄してください。
最後の「心当たりがなければ破棄してください」の一文は、間違えて届いた人を安心させるために入れておくと親切です。
あわせてやっておきたい対策
入力内容を外せば、宣伝文入りのメールは送られなくなります。ただ、「受け付けました」のメール自体を、他人のアドレスに大量に届けさせることはまだできます。次の対策もあわせてやっておくと安心です。
- ロボット対策
-
reCAPTCHA や Cloudflare Turnstile など、ロボットからの送信を見分ける仕組みを入れます。
- 送信回数の制限
-
同じところから短い時間に何度も送れないようにします。
- メールの送り方
-
サーバー標準の送信ではなく SMTP で送り、ドメインに SPF・DKIM という「正しい送り主」の証明を設定します。
よくある疑問
安全にはなりますが、お客様は「ちゃんと届いたかな」と不安になります。自動返信は残して、入力内容だけを外すのがおすすめです。
自動返信で控えを送るのはやめておくのが安全です。送信の前に入力内容を確認できる画面を用意する、送信前にメモしてもらうよう案内する、といった方法があります。
まず自動返信から入力内容を外して、踏み台にされるのを止めます。そのうえで、サーバー会社から警告や送信停止の連絡が来ていれば、その案内に沿って対応します。
おわりに
自動返信メールに入力内容を入れる設定は、親切のつもりで入れていることがほとんどです。でも、その一文が、知らないうちにサイトの信用を下げてしまうことがあります。
フォームは一度作ると見直す機会があまりないので、この記事を読んで気になった人は、ぜひ一度、自動返信の本文をのぞいてみてください。
お問い合わせフォームの見直しのような制作・改修のご相談も受け付けています。お気軽にどうぞ。