ブログ

フロッグウェル株式会社 > blogs > Salesforce > 【マーケ・管理者向け】Web-to-リード/ケースのスパム対策！reCAPTCHA設定で不要なデータをシャットアウト

【マーケ・管理者向け】Web-to-リード/ケースのスパム対策！reCAPTCHA設定で不要なデータをシャットアウト

投稿日：
更新日：

#Salesforce #Web-to-リード #Web-to-ケース #reCAPTCHA

積極採用中
セミナー情報

目次

Web-to-リードやWeb-to-ケースは、Webフォームから送信された情報を自動的にSalesforceに取り込める便利な機能です。しかし、フォームをWebサイトに公開した途端、意図しないデータが大量に流れ込んでくる事態に悩まされているマーケターや管理者は少なくありません。

本記事では、Webフォームのスパムが発生する原因と、Google reCAPTCHAを活用した対策方法を解説します。スパムデータの削除作業に追われている方は、ぜひ参考にしてください。

Web-to-リード/ケースにスパムが来る原因


Webフォームを公開していると、心当たりのない送信データが毎日届くようになることがあります。これはスパムボットによる自動送信が原因です。

ボットによる自動送信の仕組み

スパムボットとは、Webフォームを自動的に検出して送信を繰り返すプログラムです。インターネット上に公開されているWebフォームを自動的に巡回し、フォームを発見すると自動的にデータを入力して送信します。

Salesforceの送信先URL（エンドポイント）はWeb-to-リード/ケースのHTML内に含まれているため、ボットに発見されやすい構造になっています。人間が操作していなくても自動で送信が行われるため、reCAPTCHAのようなボット判定の仕組みがないと、大量のスパムデータがSalesforceに登録され続けてしまいます。

スパムが引き起こす問題

スパムデータの流入は、単なる迷惑にとどまらず、業務上のさまざまな問題を引き起こします。

ストレージ圧迫

スパムによって作成されたリードやケースのレコードは、Salesforceのストレージを消費します。大量のスパムが継続的に流入すると、ストレージ容量を圧迫し、組織全体のデータ管理に影響を与えます。

営業の混乱

スパムデータが本物のリードに混じって登録されると、営業担当者が対応すべき本物の見込み顧客を見逃すリスクがあります。スパムを手動で削除する作業にも時間が取られ、本来の営業活動に集中できなくなります。

自動応答メールの誤送信

Web-to-リード/ケースに自動応答メールを設定している場合、スパムボットが他人のメールアドレスを入力して送信すると、そのアドレスの持ち主に自動応答メールが届いてしまいます。まったく身に覚えのないメールを受け取った相手から問い合わせが来るなど、思わぬトラブルにつながる可能性があります。

Google reCAPTCHAによる対策


スパム対策として最も効果的かつ導入しやすいのが、GoogleのreCAPTCHAです。SalesforceのWeb-to-リード/ケースはreCAPTCHAに標準対応しており、比較的簡単に設定できます。

reCAPTCHAとは

reCAPTCHAは、Googleが提供するボット対策のシステムです。フォームを送信しようとしているのが人間かボットかを自動的に判定し、ボットによる送信をブロックします。
Webサイトで「私はロボットではありません」というチェックボックスや、信号機・横断歩道などの画像選択を求められた経験がある方も多いと思いますが、これがreCAPTCHAです。

現在主に使われているのは以下の2種類です。
reCAPTCHA v2（チェックボックス型）
ユーザーが「私はロボットではありません」のチェックボックスをクリックして認証します。ボットと判定された場合は画像選択などの追加認証が求められます。Salesforceが対応しているのはこのv2です。
reCAPTCHA v3（スコア型）
ユーザーの操作をスコア化して自動判定するため、ユーザー側に特別な操作を求めません。ただしSalesforceの標準機能では現在v3には対応していないため、カスタム実装が必要です。

Web-to-リード/ケースへの導入で何が変わるか

reCAPTCHAを導入することで、ボットによる自動送信をブロックでき、スパムデータがリード/ケースとして登録されることがなくなります。

通常、reCAPTCHAをWebフォームに導入するにはフォーム側の実装とサーバー側での検証処理の両方が必要です。しかしSalesforceのWeb-to-リード/ケースでは、Salesforceが検証処理を担ってくれるため、フォーム側のHTML実装のみで導入が完了します。開発リソースが限られた環境でも比較的スムーズに導入できる点が大きなメリットです。

reCAPTCHAの設定手順

reCAPTCHAの設定は「reCAPTCHAの登録」「Salesforceでの設定」「Webサイトへの組み込み」の3ステップで完了します。

なお、Google reCAPTCHAは2026年よりGoogle Cloud Fraud Defenseに統合されましたが、既存のサイトキー・シークレットキー・APIはそのまま継続して利用できます。登録手順や設定方法に変更はありません。

reCAPTCHAの登録

まずGoogleのreCAPTCHA管理サイトにアクセスし、サイトキーとシークレットキーを取得します。

  1. Google reCAPTCHA管理サイト（https://cloud.google.com/security/products/recaptcha）にアクセスし、「Fraud Defense を使ってみる」クリック

    2. Fraud Defense

  2. Googleアカウントでログイン
  3. 以下の項目を入力する

    4. ○ ラベル：管理しやすい任意の名称
    ○ reCAPTCHAタイプ：「v2」→「私はロボットではありません」チェックボックスを選択
    ○ ドメイン：フォームを設置するWebサイトのドメインを入力（テスト環境がある場合はそちらのドメインも追加）
    reCAPTCHA

  4. 「送信」をクリック
  5. 表示されたサイトキーとシークレットキーをコピーしておく（次のステップで使用）

    6. reCAPTCHA

Salesforceでの設定

取得したサイトキーとシークレットキーをSalesforceに登録し、フォームのHTMLを生成します。ここではWeb-to-リードを例に手順を紹介します。Web-to-ケースも同様の手順で設定できます。

  1. 「設定」のクイック検索ボックスに「Web-to-リード」と入力し、「Web-to-リード」を選択後、「Web-to-リードフォームの作成」をクリック

    2. Salesforceでの設定

  2. 「HTMLにreCAPTCHAを含める」にチェックを入れ、「reCAPTCHA APIキーのペア」右側の虫眼鏡アイコンをクリック

    3. Salesforceでの設定

  3. ポップアップ画面で「新規」をクリック

    4. Salesforceでの設定

  4. 以下を入力して「保存」をクリック

    5. ○ APIキーペアのニックネーム：任意の名称
    ○ サイトキー：先ほど取得したサイトキー
    ○ 秘密：先ほど取得したシークレットキー
    Salesforceでの設定

  5. フォームに含める項目を設定し、「作成」をクリック

    6. Salesforceでの設定

  6. 生成されたHTMLコードをコピーし、「完了」をクリック

なお、「サーバーフォールバック」はreCAPTCHAのサーバーがダウンした際にすべての送信を許可する設定です。

  • 有効（チェックあり）：reCAPTCHAが利用できない場合でも、すべての送信を受け付けます。フォームからの問い合わせを取りこぼしたくない場合に適しています。
  • 無効（チェックなし）：reCAPTCHAが利用できない場合は、すべての送信を拒否します。スパム対策を優先したい場合に適しています。

デフォルトはチェックありですが、必要に応じて設定内容を検討してください。

また、Web-to-リード/ケースの設定に「reCAPTCHA 確認が必要」というチェック項目があります。有効にするとreCAPTCHAの検証が含まれていないフォーム送信はリード/ケースとして登録されなくなります。必須ではありませんが、より厳格にスパムをブロックしたい場合は有効化を検討してください。
Web-to-リードの設定

Webサイトへの組み込み

Salesforceで生成したHTMLコードをWebサイトに組み込みます。

  1. コピーしたHTMLコードを、フォームを設置するWebページのHTMLに貼り付ける
  2. フォームが正しく表示されること、reCAPTCHAのチェックボックスが表示されることを確認する

    3. Webサイトへの組み込み

  3. テスト送信を行い、Salesforceにリード/ケースが正しく登録されることを確認する

注意点

reCAPTCHAを設定したフォームでは、チェックボックスにチェックを入れずとも送信ができてしまう場合があります。フォームのHTMLにバリデーション処理を追加することで、reCAPTCHAを必須にすることができます。Webサイト担当者と連携して対応してください。

reCAPTCHA以外のスパム対策


reCAPTCHAは効果的なスパム対策ですが、それだけで完全にスパムを防ぐことはできません。ここでは、reCAPTCHAと組み合わせて活用できる補完的な対策を紹介します。

入力規則を活用したハニーポット対策

ハニーポットとは、人間には見えない隠し項目をフォーム上に設けておき、ボットがその項目に入力した場合にスパムと判定する手法です。人間はCSSで非表示になっている項目に気づかず入力しませんが、ボットはフォームのすべての項目を自動的に埋めようとするため、この差を利用してスパムを検出できます。

Salesforceで実装するには、以下のような方法があります。

  1. Web-to-リード/ケースのフォームHTMLにCSSで非表示にした隠し項目を追加する
  2. Salesforce側に対応するカスタム項目を作成する
  3. 入力規則を設定し、隠し項目に値が入っている場合はレコードの保存をエラーにする

この方法はHTML側とSalesforce側の両方での設定が必要です。Webサイト担当者と連携して実装してください。

フローを使ったスパム判定と隔離

reCAPTCHAやハニーポットをすり抜けたスパムデータが登録されてしまった場合でも、フローを使ってSalesforce内でスパムを自動判定・隔離する仕組みを構築できます。
レコードが作成されたタイミングでフローを起動し、以下のような条件でスパムを判定します。

  • メールアドレスのドメインが既知のスパムドメインに一致する
  • 会社名や氏名に不自然な文字列（記号・ランダムな英数字など）が含まれている

スパムと判定されたレコードは、削除するのではなく専用のステータス（例：「スパム」）に変更して隔離することをおすすめします。誤検知の確認や分析に活用できるためです。また、隔離されたレコードは定期的に削除する自動化処理を組み込んでおくと、ストレージの圧迫を防ぐことができます。

まとめ

本記事では、SalesforceのWeb-to-リード/ケースに発生するスパムの原因と対策について解説しました。

ボットによる自動送信を放置すると、ストレージの圧迫や営業の混乱、自動応答メールの誤送信といった問題が発生します。まず取り組むべき対策はreCAPTCHAの導入です。SalesforceのWeb-to-リード/ケースはreCAPTCHAに標準対応しており、フォーム側のHTML実装のみで導入できます。

reCAPTCHAだけでは防ぎきれないスパムに対しては、ハニーポット対策やフローを使った自動判定・隔離の仕組みを組み合わせることで、より強固なスパム対策が実現できます。

スパムデータの削除作業に追われている方は、ぜひ本記事を参考に対策を検討してみてください。

＜Salesforce＞
弊社ではSalesforceをはじめとするさまざまな無料オンラインセミナーを実施しています！
＞＞セミナー一覧はこちら

また、弊社ではSalesforceの導入支援のサポートも行っています。ぜひお気軽にお問い合わせください。
＞＞Salesforceについての詳細はこちら
＞＞Salesforceの導入支援実績はこちらからご覧いただけます！

医療業界に特化した営業支援、顧客管理(SFA/CRM)のコンサルティングも提供しております。こちらもぜひお気軽にお問い合わせください。
＞＞顧客管理(SFA/CRM)のコンサルティングの詳細はこちら

その他のおすすめ記事

CONTACT
お問い合わせ

ご相談やご依頼、病院マスタなどについてのお問い合わせはこちらのお問い合わせフォームから。

サービスなどについてのお問い合わせ 病院マスタについてのお問い合わせ

メールお問い合わせ
×