お問い合わせフォームを PHP なしで動かす｜Cloudflare Workers で作り直す流れ

サイトを置くだけの形（静的サイト）にして Cloudflare に移すとき、一番の山になるのがお問い合わせフォームだ。WordPress の Contact Form 7 などは、送られた内容を PHP で受け取ってメールにしている。PHP をなくすなら、この部分を別の仕組みで作り直す必要がある。

今のフォームはどう動いているか

WordPress のフォームは、だいたい次の流れで動いている。

1. 見る人がフォームに書いて「送信」を押す
2. サーバーの PHP が内容を受け取る
3. PHP がメールを組み立てて、担当者に送る（自動返信も PHP が送る）

PHP をなくすと、2と3を行う所がなくなる。そこで、この2つだけを Cloudflare Workers という小さなプログラムに任せる。

作り直したあとのしくみ

Workers のプログラムは、フォームを受け取るだけなので短い。中身が短いほど、穴が入り込む余地も少なく、確かめるのも楽になる。

受け取るプログラムの例

受け取る所の中身は、たとえば次のくらいの長さになる（説明のために短くしている）。

export default {
  async fetch(request, env) {
    if (request.method !== "POST") return new Response("", { status: 405 });
    const form = await request.formData();
    // 長すぎる入力は受け取らない
    const name = String(form.get("name") || "").slice(0, 100);
    const email = String(form.get("email") || "").slice(0, 200);
    const message = String(form.get("message") || "").slice(0, 3000);
    if (!name || !/^[^@\s]+@[^@\s]+$/.test(email)) return new Response("入力を確かめてください", { status: 400 });
    // ロボット確認（Turnstile）の結果を確かめてから保存する
    await env.DB.prepare("INSERT INTO inquiries (name, email, message) VALUES (?, ?, ?)")
      .bind(name, email, message).run();
    return Response.redirect("https://example.com/thanks", 303);
  },
};

保存するときは、入力をそのまま SQL の文に混ぜず、? の場所に後から入れる（プリペアドステートメント）。こうすると、SQL インジェクションを防げる。考え方は PHP の PDO と同じだ。

作り直す流れ

1. 今のフォームの項目・必須の項目・送り先・自動返信の文を書き出す
2. 同じ見た目のフォームを HTML で作る
3. 受け取るプログラム（Workers）を作り、ロボット確認と入力の確認を入れる
4. 保存先（D1）と、担当者へのメールの宛先を決める
5. 新しいフォームから試しに送り、届くこと・保存されることを確かめる
6. サイトを切り替えたあと、本物の問い合わせが届いているか、数日見守る

気をつけること

迷惑投稿

フォームは、機械による迷惑投稿の的になりやすい。ロボット確認（Turnstile）を入れ、同じ相手からの送りすぎを止める。メールの本文にリンクがたくさんあるものを弾く、といった工夫もある。

自動返信

お客さんへの自動返信メールは、送り先が毎回変わる。担当者への通知とは別に、メールを送るサービスを組み合わせる。送る元のドメインには SPF・DKIM・DMARC を設定しておかないと、迷惑メールに振り分けられやすい。

添付ファイル

ファイルを受け取るフォームは、作りが重くなる。乗っ取りの入口にもなりやすい（PHP のアップロードの脆弱性と同じ考え方）。どうしても要るなら、受け取れる種類と大きさを絞り、保存先も分ける。

個人情報

• 保存しておく期間を決め、過ぎたら消す
• 管理画面で見られる人を決め、2段階認証を使う
• プライバシーポリシーに、何のために使い、いつまで持つかを書く

よくある質問

今の Contact Form 7 は、そのまま使えませんか？

Contact Form 7 は PHP で動くので、PHP をなくすと使えなくなります。
見た目は同じにして、受け取る所だけを作り直します。

迷惑投稿は増えませんか？

ロボット確認（Turnstile）と、同じ相手からの送りすぎの制限を入れれば、WordPress のときより減ることが多いです。

お客さんへの自動返信もできますか？

できます。
担当者への通知とは別に、メールを送るサービスを組み合わせます。
送る元のドメインに SPF・DKIM・DMARC を設定しておくと、迷惑メールに入りにくくなります。

無料ツールPHP2Shell 脆弱性チェッカーPHP のバージョンとサーバー会社を選ぶだけで、危険度と今やることが分かります。

参考にした情報

• Cloudflare Workers（英語）
• Cloudflare D1（英語）
• Cloudflare Turnstile（英語）
• Cloudflare Email Routing：Send emails from Workers（英語）