やりたいこと特集

お問い合わせフォームの守りを確かめる｜セキュリティ診断の「フォーム」の分野の見方

カツプロ編集部　2026年10月7日

IN SHORTこの記事のまとめ

セキュリティ診断にサイトのトップの URL を入れると、お問い合わせのフォームを自動で探し、送り先が https か・個人の情報を URL に載せていないか・スパム対策・CSRF の合言葉・入力の確かめの5つを調べます。
フォームは開いて読むだけで、送信はしません。相手に問い合わせが届くことはありません。
どの項目かと直し方（WordPress・Laravel などの例）は無料会員から見られます。サーバー側の確かめは外から見えないので、「見ていない所」で確かめ方を案内します。

この特集で使うサービス

セキュリティ診断

URL だけで、世界と国内の基準に沿った設定かを A〜E で判定。CMS・サーバー会社・SSL の期限も。

これで何ができるか

お問い合わせフォームは、名前・メールアドレス・相談の中身が通る場所です。カツプロのセキュリティ診断には「フォーム」の分野があり、サイトのトップの URL を入れるだけで、フォームの守りを5つの項目で確かめられます。

項目	重さ	何を見るか
フォームの送り先が https	高	送り先（action）が http でないか。http だと、入力した中身が通り道で読まれます
個人の情報を URL に載せて送らない	中	メール・電話・本文などの欄があるフォームが、URL に中身が付く送り方（GET）になっていないか
フォームのスパム対策	中	reCAPTCHA・Turnstile・hCaptcha か、人には見えないおとりの欄があるか
フォームに CSRF の合言葉	中	ほかのサイトからなりすまして送らせないための、隠しの合言葉の欄があるか（無くても △ まで）
フォームの入力の確かめ（ブラウザ側）	低	必須の欄に required・メールの欄に type="email"・本文に文字数の上限があるか

使える人：診断と段階・件数は誰でも。どの項目か・直し方は無料会員から。フォームは開いて読むだけで、送信はしません。

まず動画で流れを見てください（音は出ません。無料会員の画面です。診断したサイトの URL とサーバーの情報はぼかしています）。

音は出ません。繰り返し流れます。

トップの URL を入れて診断する：お問い合わせのページの URL でなくてかまいません。トップにフォームが無ければ、トップからリンクしているお問い合わせらしいページを1枚だけ自動で開きます。
「全部の項目」で「フォーム」にしぼる：結果の下の「全部の項目」のタブを開き、分野の札から「フォーム」を押すと、5つの項目だけが並びます。
△・✕ の項目を開いて直し方を読む：何を見たか・なぜ大事か・当たる基準と、作りに合わせた直し方（公開フォルダのファイル・WordPress・Laravel など）が出ます。
「見ていない所」でサーバー側の確かめ方を見る：送られた中身を受け取る側で確かめているかは、外からは分かりません。「フォームのサーバー側の確かめ」に、WordPress・Laravel などの作りごとの確かめ方があります。

WordPress の Contact Form 7：スパム対策は「お問い合わせ → インテグレーション」で reCAPTCHA を有効にし、Akismet などのスパムを止めるプラグインもあわせて使います。入力の確かめは [email* your-email]・[textarea* your-message maxlength:2000] のように * と maxlength を付けます。
自作のフォーム（WordPress）：CSRF の合言葉は wp_nonce_field() を入れ、受け取る側で wp_verify_nonce() を確かめます。
Laravel：<form method="POST"> の中に @csrf を書き、受け取る処理で $request->validate() を全部の欄に掛け、送信の道順に回数の制限（throttle）を付けます。