メールフォームのスパム対策

Question

前提

サイト上のメールフォームを通じて送られてくるスパムメールの対策を検討しています。
スパムメールの特徴として、inputのaddress（住所）の欄に決まったURLを入力しているので、
それを利用して下記のjQueryプログラムを作りました。

内容はスパムメールリストに該当する文字列をinput.addressに入力したら、
即座にGoogleのトップページに飛ばすというものです。

$('input.address').change(function() {

    //スパムメールリスト
    const spam_array = ["https://Adopy.bode-roesch.de/Adopy",
                        "https://www.no-site.com"]

    //スパムメールリストに該当する場合
    if(spam_array.includes($(this).val())){  
        window.location.href = "https://www.google.com/";
    } ;
});

自分で手入力で試したところ正しく機能しました。

懸念事項・質問

実際のスパムメールはロボットが行うと思うので、このプログラムが上手く機能するかは疑問です。
よりよい対策方法があればご教授いただけますでしょうか。よろしくお願いいたします。

追記：
早速同じスパムメールがきてしまいました。
今のところスパムメールには規則性があるので（input.address）、それを利用できればと考えています。

Comments

[退会済みユーザー]

そもそも、webサーバーへのアクセスログはチェックしているのでしょうか。jQueryやJSでチェックする仕組みを作っても、フォーム送信先CGIやPHPに対して直接リクエストを送っているのであれば、全く意味がないのですが。

Answer 1

メールフォームを自作で設置するのを止めて、
フォーム作成のASP型サービスを利用してしまうのが、手っ取り早いかと。
アクセスログを解析して攻撃の傾向をつかんで対策するのが面倒だったり苦であったりするならば、の話ですが。

PHPの入門書を読んで作ったようなメールフォームだったりすると、
HTMLのフォームページを表示しなくてもbotからのフォーム送信リクエストすら受け付けてメール送信処理をしてしまいかねないので、
一定の対策を考慮しているASP型サービスを利用した方がお手軽だと思います。

それでも自作にこだわるのであれば、
せいぜい自前設置したフォームから送信されていないものを排除する仕掛けくらいは入れておきたいものです。
ですが、それすらもRPA全盛の今はフォームページ表示すらもbotでできてしまうため、
まだまだ対策としては弱いものと思います。

PHPでお問い合わせフォームを作る：CSRF対策 - Qiita
これを組み込めたら、ひとまずHTMLのフォーム表示せずにリクエスト送信してくるのを排除できそうですが。

あとは、リモートIPアドレスの範囲や辞書で拒絶するとかしても良いと思いますが。
IPアドレスをwhoisサービスにかけて一定のアドレス範囲を拒絶するとか。

Answer 2

reCAPTCHAで処理すればいいのでは？