スパムコメントをシャットアウト！WordpressへのreCAPTCHA導入方法

スパムコメント対策にGoogleのreCAPTCHAを導入する。

　Wordpressを使い始めてしばらくすると、スパムコメント（宣伝コメントや意味不明のコメントなど）が大量に押し寄せるようになり、これらのスパムコメントの処理で悩まされます。

　少し前からWordpressを使ったサイトを始めている当方ですが、このようなスパムコメントはbotを用いて機械的な方法で大量に書き込まれるため、一人だけで手動で処理ではとてもじゃないが追いつかない！

　このことから、機械的に書き込まれるスパムコメントについては、サイト・ブログに到達する前にシャットアウトすることが、個人で行う手間の限界を考えても望ましくなります。

　Wordpressのスパムコメント対策の１つとして、GoogleのreCAPTCHA（以下reCAPTCHA）を使用する方法があります。 reCAPTCHAは無料で使用可能なので、金銭的負担なしでスパムコメント対策ができます。

　reCAPTCHAは、Wordpressブログにコメントが書き込まれる際に、システムが人の手による書込みか、botを用いた機械的手法による書き込みなのかを判定し、機械的手法による書込みを弾きます。これにより、機械的手法によるスパムコメントを大幅に減らす（手動によるスパムコメントもあるため、０にはできない）ことが期待できます。

　WordpressにreCAPTCHAを導入については、以下の手順で行えばよろしいかと。

１．Google reCAPTCHAにサイトを登録して、暗号化鍵（サイトキー、シークレットキー）を入手する。

　Google reCAPTCHAのサイトに行き、v3Admin consoleからログインします。

　コンソール画面の水色の所にある＋ボタンをクリックすると、サイト登録画面に進みます。

・ラベル
　サイトの識別に使います。通常はサイトのタイトルを記入すればOK。

・reCAPTCHA タイプ
　reCAPTCHA v2／reCAPTCHA v3のどちらかを選択します。

　reCAPTCHA v2は、書込みを行うユーザーに適切な画像を選ばせる画像認証を行わせることで、機械的手法による書込みを弾きます。reCAPTCHA v3は、書込みの際の挙動をAIがスコア化し、スコアから機械的手法に該当すると判定される書込みを弾きます。

　ユーザーの利便性を考えたら、ユーザーに余分な操作を差せなくて済むreCAPTCHA v3の方が適切かもしれない。

・ドメイン
登録するサイトのドメイン（FQDN）を記入します。

・オーナー
　サイト管理者本人の有効なメールアドレスを記入します。

　上記全てに記入を済ませたら、「reCAPTCHA 利用条件に同意する」にチェックを入れてから、下にある送信ボタンを押します。受理されれば、暗号化鍵（サイトキー、シークレットキー）が発行されます。

　これで、Google reCAPTCHAにサイトを登録して、暗号化鍵（サイトキー、シークレットキー）を発行してもらう手続きは完了です。

２．Invisible reCaptcha for WordPressをWordpressに導入して設定を行う。

　サイトをgoogleに登録して暗号化キー（サイトキー、シークレットキー）を発行してもらったら、次はWordpressにInvisible reCaptcha for WordPressを導入します。

Wordpressのダッシュボード画面のサイドバーにある「プラグイン」からプラグイン選択画面に行き、上にある「新規追加」をクリック。すると、「プラグインを追加」の画面になるので、上の方にある検索窓に「reCAPTCHA 」を入力して検索。検索結果の中にある、「Invisible reCaptcha for WordPress」を選んでインストールします。

　インストールが済んだら、右上の「有効化」ボタンを押して、Invisible reCaptcha for WordPress を有効化して使用可能にします。

　Invisible reCaptcha for WordPress が有効化されると、サイドバーの「設定」の箇所に「Invisible reCaptcha 」が追加されています。

「Invisible reCaptcha 」を選択してクリックすると、Invisible reCaptcha for WordPressの設定画面になります。

　これがInvisible reCaptcha for WordPressの設定画面になります。最初は「設定」タブのページから。

　サイト鍵のフォームには、Google reCAPTCHAで発行してもらったサイトキーを、秘密鍵のフォームには、 シークレットキーをそれぞれ記入します。

　言語、バッジ位置、バッジのカスタムCSSはそのままでOK。記入が終わったら、下にある「変更を保存」を押します。

「設定」タブの設定が済んだら、次はWordpressタブの設定画面です。

「ログインフォームの保護を有効化」「登録フォームの保護を有効化」「コメントフォームの保護を有効化」「パスワード再発行フォームの保護を有効化」の４つ全てにチェックを入れて、変更を保存します。

　Invisible reCaptcha for WordPressの設定は、ここでひとまず完了になります。その他のタブは、各種のプラグイン（メールフォームを設置するためのプラグインなど）ごとの設定になります。別途該当するプラグインを導入することになった場合に、その都度設定することになります。

　Invisible reCaptcha for WordPressの導入と設定が正しく行われていれば、該当するフォームが表示されている画面にreCaptcha のバッジが出現しています。これです↓

　このバッジが確認できれば、Invisible reCaptcha for WordPressは正常に動いていることになります。botによる機械的なスパムコメントに加え、ログインフォームへのブルートフォース攻撃（総当たり攻撃）による不正ログイン、その他botを用いた機械的な不正入力を防いでくれます。