フォームのスパム対策「reCAPTCHA（リキャプチャ）」とは？

「ホームページのお問い合わせフォームに、外国語の広告や意味の分からないメッセージが毎日のように届く」。reCAPTCHA（リキャプチャ）は、こうしたフォームのスパム（迷惑な大量送信）を減らすために、Googleが用意している仕組みです。

ただし、reCAPTCHAを入れれば迷惑な連絡がすべて止まるわけではありません。止められるのは主にプログラムによる自動の送信で、人が手で送ってくる営業の連絡や、自分あての通知メールが迷惑メールフォルダに入る問題には、別の対策が必要です。

私は千葉市でホームページ制作をしていて、自分のホームページのお問い合わせフォームにもreCAPTCHAを入れています。この記事では、reCAPTCHAで減らせるもの・減らせないもの、仕組みと種類、2026年の設定手順（WordPressのWPFormsの場合）、入れたあとに確かめたいことをお伝えします。

先に結論：reCAPTCHAで減らせるもの・減らせないもの

フォームまわりの「困った」は、原因によって対策が分かれます。まず、ご自分の困りごとがどれに当たるかを確かめてください。

困っていること	reCAPTCHAで減らせるか	合う対策
プログラムが自動で送ってくる大量の送信（外国語の広告・意味のない文字の羅列など）	減らせる	reCAPTCHAなど「人かプログラムか」を確かめる仕組みを入れる
人が手で入力して送ってくる営業の連絡	減らしにくい	フォームの近くに「営業のご連絡はお控えください」と書く・返信しない
自分あての通知メールや、お客様への自動返信が迷惑メールフォルダに入る	関係しない	送信元のアドレスと、メールの認証設定（SPF・DKIM）を見直す
管理画面のログイン画面をねらった不正ログインの試み	ログイン画面に入れれば減らせる	ログイン画面にreCAPTCHAや画像認証を入れる

reCAPTCHAは、送ってきた相手が人かプログラムかを見分ける仕組みです。そのため、人がキーボードで入力して送ってくる連絡は、内容が営業でも通ってしまうことがあります。

reCAPTCHA（リキャプチャ）とは「人かプログラムかを見分ける」Googleの仕組みです

reCAPTCHAは、ホームページへのアクセスが人によるものか、ボット（自動で動くプログラム）によるものかを見分けて、不正な利用を防ぐGoogleのサービスです（出典：reCAPTCHA によるウェブサイトのセキュリティと不正防止）。お問い合わせフォームに入れると、プログラムによる自動の送信を受け付けにくくなります。

フォームの送信ボタンの近くで「私はロボットではありません」というチェックボックスを見たことがある方も多いと思います。あれがreCAPTCHAの種類の1つです。

2026年からは「Google Cloud Fraud Defense」の一部になりました

Googleは2026年4月に、reCAPTCHAを「Google Cloud Fraud Defense」というサービスの一部にしました。あわせて、今までのreCAPTCHAの動きは変わらないと案内しています（出典：reCAPTCHA release notes）。

もう1つの変化は、reCAPTCHAのキー（ホームページとGoogleをつなぐための合言葉のようなもの）が、Google Cloudのプロジェクトで管理されるようになったことです。すでに使っているキーは、移行のあともプログラムを変えずにそのまま使えます（出典：Migration overview）。

小さなホームページなら、無料の範囲で使えます

reCAPTCHAは、1か月に1万回の評価（送信が人かどうかの判定）までは無料です。支払い方法を登録していないプロジェクトで作ったキーは、自動で無料のプランになります（出典：Compare features between reCAPTCHA tiers・Billing information）。

1万回は、1日に直すと約330回です。

お問い合わせの数がそれほど多くない個人事業主のホームページなら、無料の範囲に収まる見込みです（私の計算による目安です）。ただし、この1万回は同じ組織のすべてのサイトの合計で数えられるため、たくさんのサイトを1つのGoogleアカウントで管理している場合は注意してください。

reCAPTCHAの種類は3つ：v2チェックボックス・v2見えないタイプ・v3

reCAPTCHAには、利用者にどこまで操作してもらうかで3つの種類があります（出典：reCAPTCHA のバージョンの選択・reCAPTCHA v3）。

種類	利用者がすること	特徴
v2 チェックボックス	「私はロボットではありません」にチェックを入れる	目に見えて分かりやすい。Googleは、利用者の手間が増えるためおすすめしていない
v2 見えないタイプ（Invisible）	チェックボックスをクリックしなくてよい	WPFormsがおすすめしている種類。Google Cloudの画面からは新しく作れない
v3（スコア方式）	何もしなくてよい	操作なしで0.0〜1.0の点数をつける。1.0に近いほど人、0.0に近いほどプログラムの可能性が高い

v3は、Googleが付けた点数を見て、どこから先を「プログラム」として止めるかを決めます。この境目を「しきい値」と呼び、Googleは0.5から始めることを案内しています。

私の自分のサイトは「v3」を使っています

私のホームページのお問い合わせフォームは、WordPressのWPForms（お問い合わせフォームを作るプラグイン）にreCAPTCHAのv3を入れています。私自身がv2の画像を選ぶ問題で何回も失敗してしまうことがあり、お客様にも同じ手間をかけたくないと考えたためです。

一方で、WPFormsの公式は、v3は正しく入力した人まで止めてしまうことがあるとして、慣れた人向けとしています（出典：How to Set Up and Use CAPTCHA in WPForms）。v3を選んだときは、設定した直後に自分でテスト送信をして、問題なく届くことを確かめてください。

Googleのアカウントを使いたくない場合の選択肢

WPFormsは、reCAPTCHAのほかに「Cloudflare Turnstile（クラウドフレア ターンスタイル）」と「hCaptcha（エイチキャプチャ）」にも対応していて、無料版でも使えます（出典：How to Set Up and Use CAPTCHA in WPForms）。Turnstileは無料プランで回数の制限がなく、利用者に問題を解かせずに確認できる仕組みです（出典：Turnstile plans）。

▼ WPFormsの「CAPTCHA」タブでは、hCaptcha・reCAPTCHA・Turnstile・なし の4つから選べます

私のサイトでは、この画面でreCAPTCHAを選んでいます。別のサービスに切り替えるときは、そのサービスのキーを用意してから設定を保存します。

WordPressのWPFormsにreCAPTCHAを入れる手順（2026年版）

WPFormsのreCAPTCHAは、無料版（WPForms Lite）でも使えます。WordPressでできることの全体像は、個人事業主がWordPressでできること｜HP制作のプロが解説にまとめています。

なお、お問い合わせフォームに「Contact Form 7」を使っている場合は、バージョン5.1以降はv3だけに対応していて、管理画面の「Contact（お問い合わせ）」→「Integration（インテグレーション）」から設定します（出典：reCAPTCHA (v3) | Contact Form 7）。

手順1：Googleの管理コンソールでキーを作る

Googleの公式の案内では、管理コンソールから作るのが一番簡単な方法とされています（出典：Create reCAPTCHA keys for websites）。2026年10月に私が開いたときは、画面の上に「最大 10,000 件/月まで料金なしで評価」「クレジット カードは不要です」と表示されていました。

▼ 管理コンソールで、ラベル・種類・ドメインを入れる画面

1. Googleアカウントにログインした状態で、reCAPTCHAの管理コンソールを開きます。「新しいサイトを登録する」という画面が表示されます。
2. 「ラベル」に、自分で見分けられる名前（例：ホームページの名前）を入れます。
3. 「reCAPTCHA タイプ」で、「スコアベース（v3）」か「チャレンジ（v2）」を選びます。
4. 「ドメイン」に、ご自分のホームページのドメイン（例：example.com）を追加します。
5. 画面の下の「GOOGLE CLOUD PLATFORM」に、キーを入れるGoogle Cloudのプロジェクト名が表示されます。ほかのサイト用のプロジェクトが選ばれていることもあるので、確かめてから「送信」を押します。
6. 表示されたサイトキーとシークレットキー（秘密鍵）を控えます。

送信すると、選んだGoogle Cloudのプロジェクトにキーが作られます（Google Cloudを初めて使う場合は、プロジェクトも自動で作られます）。Google Cloudの画面では、サイトキーは「Key ID（キーID）」という名前で表示され、シークレットキーはキーの詳細にある「Integration」のタブから表示できます（出典：Reconcile legacy terminology）。

手順2：WPFormsの設定にキーを貼る

▼ WPFormsの「設定」→「CAPTCHA」タブ。私のサイトはreCAPTCHA v3を選んでいます（キーはぼかしています）

1. WordPressの管理画面で「WPForms」→「設定」を開き、「CAPTCHA」のタブを選びます。
2. 「reCAPTCHA」を選び、「タイプ」を手順1で作ったものと同じにします（「Checkbox reCAPTCHA v2」「Invisible reCAPTCHA v2」「reCAPTCHA v3」から選びます）。
3. サイトキーとシークレットキーをそれぞれの欄に貼り、設定を保存します。
4. v3を選んだ場合は、「スコアしきい値」を0.0〜1.0の間で決められます。

▼ v3を選ぶと「スコアしきい値」の欄が出ます。私のサイトは0.4にしています

種類ごとに別のキーが必要なので、あとで種類を変えるときは、手順1からキーを作り直します（出典：How to Set Up and Use reCAPTCHA in WPForms）。

手順3：フォームごとにreCAPTCHAをオンにする

▼ フォームビルダーの「スパム対策とセキュリティ」。v3では「Google v3 reCAPTCHA を有効化」というスイッチになります

1. 「WPForms」→「すべてのフォーム」から、reCAPTCHAを入れたいフォームを編集します。
2. フォームビルダーの「設定」→「スパム対策とセキュリティ」（英語の表示では Spam Protection and Security）を開き、CAPTCHAのスイッチ（v3なら「Google v3 reCAPTCHA を有効化」）をオンにします。
3. フォームを保存します。

同じ画面の「保護」の欄には、reCAPTCHAとは別に、WPFormsが見えないところでスパムをふるい分ける「最新のスパム対策保護」と、送信までにかかる最短の時間を決める「最短送信時間」もあります。私のフォームは両方をオンにしていて、最短送信時間は2秒です。

reCAPTCHAを入れたあとに確かめたい3つのこと

1. 自分でテスト送信をして、正しく届くか確かめる

設定が終わったら、自分のメールアドレスを入れて、お問い合わせフォームから送ってみます。ご用件や本文に「テスト」と書いておくと、あとで見分けやすくなります。

▼ 私のお問い合わせフォームでテスト送信をしたときの入力画面（メールアドレスはぼかしています）

送信できない、エラーが出るといった場合は、キーの種類（v3かv2か）と、WPFormsで選んだ種類が合っているかを見直してください。

▼ テスト送信のあとに届いた自動返信メール。「受信トレイ」に届いています

私のフォームでは、送信してすぐに自動返信が「受信トレイ」に届きました。届かないときや、迷惑メールフォルダに入っていたときは、次の2を確かめてください。

2. 通知メールと自動返信が、迷惑メールフォルダに入っていないか見る

テスト送信のときは、受信箱だけでなく迷惑メールフォルダも確かめます。私が制作したホームページでも、フォームの自動返信が、お客様役のアドレスの迷惑メールフォルダに入っていたことがありました。

調べると、原因はreCAPTCHAではなく、サーバーの「DKIM（ディーキム）」という送信元を証明する設定がオフになっていたことでした。サーバーの管理画面でDKIMとSPF（どちらも、正しい送り主のメールであることを示す仕組み）をオンにしました。

3. 画面の右下に出るreCAPTCHAのマークを確かめる

v3などを入れると、画面の右下にreCAPTCHAのマーク（バッジ）が表示されます。このマークは、reCAPTCHAで守られていることを利用者に見える形で書けば、隠すこともできます（出典：reCAPTCHA FAQ）。

▼ 私のホームページのお問い合わせページ。右下にreCAPTCHAのマークが出ています

隠す場合は、フォームの近くに「This site is protected by reCAPTCHA and the Google Privacy Policy and Terms of Service apply.」のような一文を入れます。迷ったら、マークは表示したままにしておくのが安全です。

reCAPTCHAを入れても迷惑な連絡が届くときの対処

以前、お客様から「大量のスパムメールが届いてしまい、サーバーから一時的に問い合わせメールの利用制限をされてしまって困っている」というご相談をいただいたことがあります。大量の自動送信は、受け取る側の手間だけでなく、メールの仕組みそのものにも負担をかけます。

reCAPTCHAを入れても連絡が止まらないときは、まず届いている内容を見て、次のように分けて考えます。

• 人が手で送ってくる営業の連絡が多い：reCAPTCHAでは止めにくいため、フォームの近くに「営業目的のご連絡はお控えください」と書き、返信しないようにします
• 意味のない文字や外国語の広告が多い：プログラムの送信が通っている可能性があります。v3ならしきい値を少し上げる、種類をチェックボックスに変える、Cloudflare Turnstileに切り替える、の順に試します。しきい値を上げすぎると、正しく入力した人まで止めてしまうので、変えたあとはもう一度テスト送信をします
• ログイン画面への不正な試みが心配：お問い合わせフォームとは別に、管理画面のログイン画面にも対策を入れます

私が保守を担当しているホームページでも、2026年8月に管理画面のログイン画面にreCAPTCHAを設定しました。新しく作るホームページでは、ログイン画面に画像認証（表示された文字を入力してもらう仕組み）を入れています。

ホームページを安全に使い続けるための基本は、【ホームページ作成前に必読！】SSL化とは？セキュリティとSEO効果を初心者向けに徹底解説でもお伝えしています。

公開したあとの点検をどう続けるかは、「ホームページの運用」って何をする？報告動画と設定方法にまとめました。

まとめ

• reCAPTCHA（リキャプチャ）は、フォームへの送信が人かプログラムかを見分けるGoogleの仕組みです
• 減らせるのは主にプログラムによる自動の送信で、人が送る営業の連絡や、自分の通知メールが迷惑メールフォルダに入る問題は別の対策が必要です
• 2026年からは「Google Cloud Fraud Defense」の一部になり、キーはGoogle Cloudのプロジェクトで管理されます。1か月1万回の評価までは無料です
• 種類はv2チェックボックス・v2見えないタイプ・v3の3つです。私のサイトは操作のいらないv3を使っています
• WPFormsでは、管理コンソールでキーを作る→「設定」の「CAPTCHA」に貼る→フォームごとにオンにする、の3段階で入れられます
• 入れたあとは、テスト送信・迷惑メールフォルダ・右下のマークの3つを確かめます

お問い合わせフォームに迷惑な連絡が多くて困っている方や、自分のホームページの設定が合っているか確かめたい方は、お問い合わせフォームか公式LINEからお気軽にご連絡ください。千葉市を拠点にホームページ制作をしているskymotherが、フォームまわりの設定を一緒に確認します。