【WPスパム対策】GoogleよりCloudflare Turnstile！設定方法を解説
「毎日届く営業メールやスパムの対応に疲れていませんか？」
お問い合わせフォーム（Contact Form 7など）を設置すると避けて通れないのが、スパムメールの問題です。
これまでは「Google reCAPTCHA（リキャプチャ）」を導入するのが定石でしたが、2025年以降、この流れが大きく変わろうとしています。
Google reCAPTCHAの無料枠縮小（月間1万回制限など）や、ユーザーに「信号機の画像を選ばせる」ストレスが問題視される中、新しい選択肢として注目されているのが「Cloudflare Turnstile（クラウドフレア ターンスタイル）」です。
この記事では、現役エンジニアの視点から、推奨される「Cloudflare Turnstile」と、従来の「Google reCAPTCHA」の違い、そして具体的な設定手順を解説します。
【推奨】Cloudflare Turnstile とは？（Googleとの違い）
Cloudflare Turnstile（クラウドフレア ターンスタイル）とは、Cloudflareが提供している、お問い合わせフォームへのスパム投稿を防ぐための認証ウィジェットです。これまで定石だったGoogle reCAPTCHAの置き換えとして設置するもの、と考えると分かりやすいと思います。Cloudflareの管理画面で「サイトキー」と「シークレットキー」を発行し、それをWordPress側に貼り付けるだけで有効になります。アカウントの作成もTurnstileの利用も無料で、月間1万回を超えると有料になるreCAPTCHAに比べて、制限が緩いのも利点です。
結論から言うと、今から設定するなら「Cloudflare Turnstile」が圧倒的におすすめです。
Google reCAPTCHAとの決定的な違いは、「ユーザーにパズルをさせない」点です。
「私はロボットではありません」にチェックを入れた後、延々と「バスの画像」や「横断歩道の画像」を選ばされた経験はありませんか？ あれはユーザー（あなたのお客様）にとって大きなストレスとなり、問い合わせの離脱（機会損失）に繋がります。
Cloudflare Turnstileは、ユーザーのブラウザの挙動を裏側で自動解析するため、ユーザーは何もしなくてOK（またはワンクリックのみ）。「無料・高機能・ストレスフリー」の三拍子が揃った次世代のセキュリティです。
手順：Cloudflare Turnstile の設定方法
それでは、実際にWordPress（Contact Form 7）に導入する手順を解説します。
Step 1：Cloudflareでキーを発行する
まず、Cloudflare側の設定を行います。
- Cloudflareの公式サイトにアクセスし、アカウントを作成（無料）してログインします。
- 管理画面左メニューの「Turnstile」をクリックし、「ウィジェットを追加」ボタンを押します。
- 以下の項目を入力します。
ウィジェット名: サイト名など（自分が管理しやすい名前でOK）
ドメイン: 自分のサイトのドメイン（例: webloom.jp）
ウィジェットモード: 「管理（Managed）」を選択（※これが推奨です）
- 「作成」をクリックします。
- 画面に「サイトキー」と「シークレットキー」が表示されます。この画面を開いたままにするか、メモ帳にコピーしておきます。
Step 2：WordPressで連携する
次に、WordPress管理画面での操作です。
※Contact Form 7で利用する場合、対応する連携プラグイン（Simple Cloudflare Turnstile等）が有効化されている前提の手順となります。
- WordPress管理画面の「お問い合わせ」＞「インテグレーション」をクリックします。
- 「Cloudflare Turnstile」の枠にある「インテグレーションのセットアップ」をクリックします。
- 先ほど発行した「サイトキー」と「シークレットキー」をそれぞれの欄に貼り付けます。
- 「変更を保存」をクリックします。
これで設定は完了です。お問い合わせフォームの上に自動的に認証ウィジェット（「人間であることを確認しました」等の表示）が追加されているか確認してください。
設定したのにウィジェットが表示されないときの確認ポイント
「変更を保存」まで終えたのに、フォームに認証ウィジェットが出てこないことがあります。その場合は、次の3点を順に見直してください。
- 連携プラグインが有効になっているか：Contact Form 7で使う場合、Simple Cloudflare Turnstileなどの連携プラグインが有効化されていないと、「お問い合わせ」＞「インテグレーション」にCloudflare Turnstileの枠そのものが表示されません。
- Cloudflare側に登録したドメインが合っているか：ウィジェットを作成するときに入力したドメインが、実際に表示しているサイトのドメインと違っていると認証は動きません。
- サイトキーとシークレットキーを入れ替えていないか：2つのキーは続けて表示されるため、貼り付ける欄を取り違えていないか確認します。
見直したあとは、自分のフォームから一度テスト送信し、完了画面が表示されてメールが届くところまで確認しておくと確実です。
【従来】Google reCAPTCHA v3 の設定方法
これまで一般的だった方法ですが、月間1万回以上の呼び出しで有料になるため、アクセスが多いサイトでは注意が必要です。また、サイトの全ページにロゴが表示されるため、デザインを気にする方には不向きな場合があります。
Step 1：Google reCAPTCHAでキーを発行する
- Google reCAPTCHA Admin Consoleにアクセスし、Googleアカウントでログインします。
- 「＋（作成）」をクリックし、以下を設定します。
ラベル: サイト名など
reCAPTCHAタイプ: 「スコアベース（v3）」を選択（※v2を選ぶと動きません）
ドメイン: 自分のサイトのドメイン
- 利用規約に同意して送信すると、「サイトキー」と「シークレットキー」が表示されます。
Step 2：WordPressで連携する
Contact Form 7には標準機能として備わっています。
- WordPress管理画面の「お問い合わせ」＞「インテグレーション」をクリックします。
- 「reCAPTCHA」の枠にある「インテグレーションのセットアップ」をクリックします。
- キーを貼り付けて「変更を保存」をクリックします。
これで全ページ右下にreCAPTCHAのロゴが表示され、保護が有効になります。
まとめ：どちらを選べばいい？
今から設定するなら:
迷わず Cloudflare Turnstile をおすすめします。完全無料で制限が緩く、お客様（ユーザー）に「画像選択」のストレスを与えないため、問い合わせ率を下げる心配がありません。
アクセスが非常に少ない個人サイト:
Google reCAPTCHAでも問題ありませんが、将来的な制限強化（有料化ラインの引き下げ等）のリスクは頭に入れておきましょう。
【重要】設定後のチェック
設定が終わったら、必ず自分でお問い合わせフォームからテスト送信を行ってください。「スパム判定されずにメールが届くか」「完了画面が表示されるか」の確認は必須です。
Q. パズル認証なしで、Turnstileのセキュリティは大丈夫？
A. Cloudflare Turnstile（ターンスタイル）は、画像選択のようなパズルをユーザーに解かせる代わりに、ブラウザの挙動を裏側で自動解析して判定します。だからこそ、お客様の側は何もしないか、ワンクリックだけでフォームを通過できます。設定時のウィジェットモードは、前述のとおり推奨の「管理（Managed）」を選んでおけば問題ありません。
ただし、セキュリティ設定が正しく効いているかどうかは、管理画面を眺めているだけでは分かりません。導入したら必ず自分のお問い合わせフォームからテスト送信を行い、スパム判定されずにメールが届くか、完了画面まで表示されるかを確認してください。
なお、この記事で設定したTurnstileは、お問い合わせフォームのスパム対策です。WordPressサイト全体を守るには、本体・テーマ・プラグインを最新に保つ、二段階認証を導入する、定期的にバックアップを取るといった対策も組み合わせる必要があります。何から手を付けるかの優先順位は、WordPressのセキュリティ対策で今すぐやるべきことで整理しています。
「設定が難しい…」と感じた方へ
「キーの発行？ インテグレーション？ ちょっと難しそう……」
「設定したけど、エラーが出て動かない」
そんな時は、株式会社Webloomにご相談ください。
弊社のホームページ制作・運用プラン（月額9,900円）なら、こうした最新のセキュリティ対策やスパム設定も、すべて標準で対応・管理いたします。
面倒な技術設定はプロに任せて、あなたは本業に集中しませんか？
＼フォームのスパム対策も丸投げOK／