WordPressの問い合わせフォームでContact Form 7＋Google reCAPTCHAを使っているサイトは多いと思います。
私自身もこれまでContact Form 7のスパム対策としてreCAPTCHAを使ってきました。
ただ、2026年現在は少し状況が変わっています。
Contact Form 7にはCloudflare Turnstileが標準で統合されており、Contact Form 7公式も、特別な理由がなければTurnstileの利用を推奨しています。
先に結論を言うと、一般的な企業サイトや店舗サイトのContact Form 7なら、今から新しく設定する場合はTurnstileを第一候補にしてよいと思います。
今回は、reCAPTCHAとCloudflare Turnstileの違い、Turnstileへ切り替えるメリット、Contact Form 7での設定方法をまとめます。
- Cloudflare Turnstileとは？
- Contact Form 7公式もTurnstileを推奨している
- reCAPTCHAとTurnstileの違い
- Cloudflare Turnstileは無料で使える
- reCAPTCHAは無料ではなくなったの？
- それでも私なら新規サイトはTurnstileを使う
- Contact Form 7にTurnstileを設定する方法
- 切り替えたら必ず送信テストをする
- 既存サイトもすぐTurnstileへ変更すべき？
- Turnstileを入れれば迷惑メールが完全になくなるわけではない
- WordPressは「作った後」の管理が大切
- まとめ｜Contact Form 7ならTurnstileは有力な選択肢
Cloudflare Turnstileとは？
Cloudflare Turnstileは、Cloudflareが提供しているCAPTCHAの代替となるボット対策サービスです。
問い合わせフォームなどにアクセスしているのが人間なのか、自動化されたボットなのかを判定し、迷惑メールや不正送信を減らすために利用します。
役割としてはGoogle reCAPTCHAとかなり近いものです。
ただし、昔のCAPTCHAのように、
- 信号機を選んでください
- 横断歩道を選んでください
- 読みにくい文字を入力してください
といった操作をユーザーへ頻繁に要求する方式ではありません。
多くの場合は裏側で判定されるため、問い合わせするユーザーの負担を抑えながらボット対策ができます。
Contact Form 7公式もTurnstileを推奨している
ここは結構重要です。
「reCAPTCHAよりTurnstileのほうが流行っているらしい」というだけではありません。
Contact Form 7は、バージョン6.1からCloudflare Turnstileとの公式インテグレーションを搭載しています。
さらに公式ドキュメントには、reCAPTCHAを使う特別な理由がなければTurnstileを選択することを推奨すると明記されています。
つまりContact Form 7を使う場合、Turnstileは外部プラグインで無理やり追加する機能ではなく、現在は公式機能のひとつです。
2026年8月17日に公開されたContact Form 7 6.1.7もWordPress 7.1までテストされており、Turnstile対応は現在のContact Form 7でも継続されています。
reCAPTCHAとTurnstileの違い
| 比較 | Cloudflare Turnstile | Google reCAPTCHA |
|---|---|---|
| 提供元 | Cloudflare | |
| Contact Form 7公式連携 | ○ | ○ |
| 無料利用 | ○ | ○ ※上限あり |
| 無料枠 | チャレンジ数無制限 | Essentialsは月10,000 assessmentsまで |
| ユーザー操作 | 基本的に少ない | 方式・判定による |
| Contact Form 7公式の推奨 | 推奨 | 利用可能 |
小規模から中規模程度のWordPressサイトで考えると、Turnstileはかなり使いやすい条件になっています。
Cloudflare Turnstileは無料で使える
TurnstileにはFreeプランがあります。
2026年9月時点のCloudflare公式情報では、Freeプランでもチャレンジ数は無制限です。
無料プランでは1アカウント最大20ウィジェット、1ウィジェットにつき最大10ホスト名まで登録できます。
企業サイト、店舗サイト、個人ブログなど、一般的なWordPressサイトであれば十分なケースが多いでしょう。
CloudflareのCDNやDNSを使っていなくてもTurnstile単体で利用できます。
「Cloudflareへネームサーバーを変更しないと使えないのでは？」と思う人もいるかもしれませんが、その必要はありません。
reCAPTCHAは無料ではなくなったの？
ここは少し誤解されやすいところです。
reCAPTCHAが完全に有料化されたわけではありません。
2026年9月現在、reCAPTCHA Essentialsには月10,000 assessmentsまでの無料枠があります。
そのため、小規模サイトであれば無料範囲内に収まる場合もあります。
一方でGoogle Cloud側のサービスとして管理する形になっているため、以前からreCAPTCHAを使っていた人にとっては、管理方法が分かりにくくなったと感じるかもしれません。
「reCAPTCHAは有料になったから今すぐTurnstileへ変更しなければならない」という理解は正確ではありません。
現在問題なく運用できているサイトまで、慌てて変更する必要はないと思います。
それでも私なら新規サイトはTurnstileを使う
ではなぜTurnstileをおすすめするのか。
理由は単純で、Contact Form 7公式が対応・推奨していて、無料で使いやすいからです。
WEB制作では、必要以上に複雑な仕組みを入れる必要はありません。
同じ目的を達成できるのであれば、設定や管理がシンプルで、将来的にもクライアントが管理しやすい方法を選んだほうがよいと思っています。
新しくWordPressサイトを制作してContact Form 7を設置するなら、私は現在ならまずTurnstileを候補にします。
Contact Form 7にTurnstileを設定する方法
設定自体はそれほど難しくありません。
1.CloudflareでTurnstileを作成する
まずCloudflareへログインし、Turnstileからウィジェットを作成します。
対象となるWEBサイトのホスト名を登録し、ウィジェットモードは基本的にManagedを選択すればよいでしょう。
作成すると、
- サイトキー
- シークレットキー
が発行されます。
この2つをWordPress側で使用します。
2.WordPressのContact Form 7から連携する
WordPress管理画面から、
お問い合わせ → インテグレーション
へ進みます。
そこに「Turnstile」という項目があります。
「インテグレーションのセットアップ」から、Cloudflareで取得したサイトキーとシークレットキーを入力します。
基本設定はこれだけです。
専用のTurnstileプラグインを追加する必要はありません。
3.フォームにTurnstileが適用される
設定が完了すると、Contact Form 7のフォームにTurnstileが適用されます。
通常はContact Form 7側が必要な処理を行ってくれるため、自分でJavaScriptやAPI処理を書く必要もありません。
Turnstileの表示位置を変更したい場合は、フォームテンプレート内へ
[turnstile]
を追加できます。
サイズや言語、テーマなどのオプションも指定できます。
切り替えたら必ず送信テストをする
ここは当たり前ですが重要です。
Turnstileを設定して終わりではありません。
実際に問い合わせフォームからテスト送信し、
- フォームが正常に送信できるか
- 管理者へメールが届くか
- 自動返信メールが届くか
- スマートフォンでも送信できるか
- Turnstileのエラーが出ていないか
まで確認してください。
WEBサイトのフォームは問い合わせを受けるための重要な導線です。
スパム対策を強くした結果、本物のお客様まで問い合わせできなくなってしまったら本末転倒です。
セキュリティ対策やスパム対策は、「設定した」ではなく「正常に動作している」まで確認して完了です。
既存サイトもすぐTurnstileへ変更すべき？
既存サイトについては、私は一律に「全部今すぐ変更」とは考えていません。
reCAPTCHAで問題なく動いていて、アクセス数も無料枠に収まっているのであれば、そのまま運用する選択肢もあります。
ただし、今後Contact Form 7のメンテナンスを行うタイミングで、Turnstileへの切り替えを検討してもよいでしょう。
特に複数のクライアントサイトを管理しているWEB制作者なら、サイトごとにバラバラの方式を使うより、ある程度運用方法を統一したほうが保守しやすくなります。
Turnstileを入れれば迷惑メールが完全になくなるわけではない
Turnstileを導入しても、迷惑メールが100％なくなるとは限りません。
スパムには単純な自動送信だけでなく、さまざまな方法があります。
大量のスパムが続く場合は、Turnstileだけに頼るのではなく、フォーム内容や送信元、サーバーログなども確認する必要があります。
場合によっては、
- Contact Form 7を最新版へ更新する
- WordPress本体を更新する
- 不要なプラグインを削除する
- WAFを利用する
- フォームの項目や送信条件を見直す
- サーバー側のセキュリティ設定を確認する
といった対策も必要です。
WEBサイトのセキュリティは、何かひとつ入れれば終わりというものではありません。
WordPressは「作った後」の管理が大切
今回のTurnstileもそうですが、WordPressは公開した時点で完成ではありません。
WordPress本体もプラグインも、サービス側の仕様も変わっていきます。
以前はベストだった設定が、数年後もベストとは限りません。
だからこそ、
- WordPress本体の更新
- プラグインの更新
- PHPの更新
- フォームの動作確認
- セキュリティ対策
- バックアップ
などを定期的に確認する必要があります。
ホームページは「納品したら終了」ではなく、公開してから運用していくものです。
問い合わせフォームのような重要な機能は、特に定期的に確認しておきたいところです。
まとめ｜Contact Form 7ならTurnstileは有力な選択肢
2026年現在、Contact Form 7にはCloudflare Turnstileが公式に統合されています。
Contact Form 7自身もTurnstileを推奨しており、CloudflareのFreeプランではチャレンジ数に制限がありません。
一方、Google reCAPTCHAも無料枠がなくなったわけではないため、既存サイトですぐに変更しなければならないわけではありません。
そのうえで、新しくContact Form 7を設定するなら、私は現在ならTurnstileを第一候補にします。
無料だからという理由だけではなく、公式対応されていて設定がシンプルで、一般的な企業サイトや店舗サイトで使いやすいからです。
WEB制作では新しい機能を何でも導入すればよいわけではありません。
目的を達成できて、管理しやすく、利用者にも負担が少ない方法を選ぶ。
そういう意味でも、Contact Form 7＋Cloudflare Turnstileは、現在かなり使いやすい組み合わせだと思います。
