個人ブログに毎日届くスパムをCloudflare Turnstileで一撃で止めた話（Contact Form 7）

TL;DR

個人ブログを運営していると、ある日を境に管理画面の通知が異常な数になっていました。

現在 28 件〜44 件以上のコメントが承認待ちです

こういった通知が毎日途切れず続く状態。特定の記事（Amazon Q Developer Pro や製造業に関するもの）に、記事内容とはまったく無関係なコメントが機械的に投稿され続けていました。明らかに人間の手ではなく、XRumer のような自動投稿ツールやスクリプトによるボット送信です。

生成AI（Gemini）に内容を分析させたところ、ざっくり以下のパターンに分類できました。

送信元は使い捨てドメインやフリーメール（@savmask.com、@rambler.ru など）が中心で、IPも世界中のプロキシ・クラウド（Vultr、Cloudzy など）から発信されていました。要するに、発信元でブロックしても意味がないタイプの攻撃です。

まず一番わかりやすい対策として、標的にされていた記事のコメント欄を閉じました。

結果、コメントスパムは止まりました。が、今度は問い合わせフォームに同じようなスパムが大量に届くようになりました。ボットは開いている入口を探して移動してくるだけ、というのを身をもって理解しました。

問い合わせフォーム経由のスパムも傾向は似ています。

医療・依存症治療系（最多）: ロシア語で解毒点滴・訪問医・入院治療などを宣伝し、.ru ドメインへ誘導
仮想通貨・暗号資産系: swap litecoin などスワップ関連の誘導
アダルトサイト誘導
SEO・営業スパム: 「A novel new approach to advertising.」といった集客提案。Telegram や WhatsApp へ誘導
テスト送信: 「テスト」「あああ」などボットの動作確認と思われる短文

問い合わせフォームは Contact Form 7 を使っていたので、ここに対策を積んでいくことにしました。

まず手軽に、Contact Form 7 に「チェックを入れないと送信できない」チェックボックスを追加しました。人間なら1クリックで済む、簡易的なボット除けの発想です。

[acceptance accept-this] 私はロボットではありません（チェックしてください）

結果は 効果なし。相変わらずスパムが大量に届き続けました。今どきのボットはこの程度のチェックボックスは平気で突破してきます。

次の定番、Google reCAPTCHA を設定しようとしました。ところが設定を進める途中で、reCAPTCHA が従量課金制への移行を予定していることを知りました。個人ブログにそこまでのコストや管理負荷はかけたくない。

そこで調べていくと、代替として Cloudflare Turnstile が有力だと分かりました。

Cloudflare Turnstile は、Cloudflare が提供する CAPTCHA の代替サービスです。ユーザーにパズルを解かせず、裏側でボットかどうかを判定してくれるのが特徴で、無料で使えます。

Contact Form 7 での導入はとてもシンプルでした。

[turnstile]

導入後、スパムは一切来なくなりました。あれだけ毎日届いていたのが嘘のようにゼロになり、拍子抜けするほどの効果でした。

入口を閉じても攻撃は消えない: コメント欄を閉じても、ボットは問い合わせフォームという別の入口に移動してきた。個々の穴を塞ぐより、フォームそのものに人間判定を入れる方が本質的だった
チェックボックス程度では突破される: 「私はロボットではありません」的な自前チェックは、現代のボットには無力だった
reCAPTCHA の従量課金化: 定番だからと安易に選ぶ前に、料金体系の変更を確認しておいてよかった。導入途中で気づけたのは幸運だった