WordPressへの移行更新日
#WordPressのデータベースにフォーム回答を保存すると何が危険ですか？
危ないのは、回答がたまるほど、入られたときに見られる範囲が広がることです。
2026年10月に公表された事案では、Studioに保存されていたフォーム回答が、流出した可能性のある情報に含まれました。ゴミ箱に入れた回答や、表示の上限を超えて画面に出ていなかった回答も対象です。反対に、「フォームの結果をStudioに保存」を無効にしていた期間の回答と、2026年9月30日より前に完全に削除した回答は対象から外れています（Studioの不正アクセスに関するお知らせ）。つまり、Studioに残っていなかった回答は、そもそも見られる対象になりませんでした。
Studioのようなサービスとは違い、自己ホスト型のWordPressではサーバーやデータベースの保守責任を自分たちで負います。プラグインやテーマ、データベースに弱いところがあれば、そこから入られるおそれがあります。
ただし、WordPressのフォームがどれも回答を自動で残すわけではありません。よく使われるContact Form 7は、単体では送信内容をどこにも保存しません。回答がデータベースにたまるのは、Flamingoのような保存用のプラグインを追加したときです。
なお、個人情報保護委員会への報告と本人への通知が必要となる類型には、不正の目的をもって行われた漏えい等や、1,000人を超える漏えい等が含まれています。古い回答まで残っていれば、入られたときに見られる範囲もその分広がります。
#保存しない場合と保存する場合はどう比べればいいですか？
保存しない形は漏れる回答が手元にない代わりに、回答を失うおそれがあります。保存する形は回答を失いにくい代わりに、守るものが増えます。
| 運用方式 | 主なメリット | 主な注意点 |
|---|
| 保存しない（メール通知のみ） | フォームの回答がデータベースに残らず、侵入されても回答が漏れる心配を減らせる | メール障害や設定不備があると問い合わせを取りこぼす恐れがある |
|---|
| 保存する（Flamingoなど併用） | 管理画面で送受信履歴を確認・検索でき、メール不達に備えられる | データベースの侵害時に過去の回答が流出する恐れがある |
|---|
ちなみに、Flamingoを入れたあとでも、フォームの追加設定に「do_not_store: true」と書けば、そのフォームだけ保存しないようにできます。お問い合わせは保存し、症状を書く予約フォームは保存しない、という分け方もできます。
保存を選んだ場合、決めておくことが2つあります。ひとつは、回答を見られる人を対応する担当者だけに絞ることです。もうひとつは、使わなくなった回答を消すことです。WordPressの開発資料でも、要らなくなったデータは、ふだん使っているものだけでなく保管用のコピーからも消す考え方が示されています。
#歯科や医療のフォームに書かれた症状は要配慮個人情報にあたりますか？
「右下の奥歯が冷たいものでしみる」「歯ぐきから血が出る」といった書き込みは、歯科の予約フォームではよく見かけます。医療分野の個人情報保護ガイドラインでは、診療や調剤の過程で医師や歯科医師などが知り得た患者の身体状況・病状・治療状況の情報は、要配慮個人情報に該当します。来院前のフォームに書かれた症状がすべて同じ扱いになるとまでは言い切れません。それでも、医療機関が受け取る症状の記述は、要配慮個人情報に近いものとして扱うほうが無理がないでしょう。
要配慮個人情報の取得には、原則として本人の同意も得なければなりません。さらに、要配慮個人情報を含むデータが漏えいした場合は、個人情報保護委員会への報告と本人への通知が必要な類型に入ります。一般的な問い合わせフォームよりも、漏れたときの対応がかなり重くなります。
そのため、フォームを作るときは次の点を見直してください。症状欄を必須にする必要があるか、自由記入にする必要があるか、そして回答をデータベースに残す必要があるか。来院時の問診票で詳しい症状を聞き取る運用へ切り替えるのも、Webサイト側のリスクを減らす有効な手段です。
#WordPressのフォームにreCAPTCHA v3を設定するにはどうしますか？
reCAPTCHA v3は、訪問者に文字の入力や画像の選択を求めず、裏側でスパムを判定する仕組みです。閲覧行動をもとに人間かボットかを自動で採点するので、問い合わせの手間を増やさずに迷惑送信を減らせます。
Contact Form 7での設定は次のとおりです。
- GoogleのreCAPTCHA管理画面でv3を選び、移行先で実際に使うドメインを登録して、サイトキーとシークレットキーを受け取る
- WordPressでContact Form 7を有効にし、管理画面に出る「お問い合わせ」から「インテグレーション」を開く
- reCAPTCHAのセットアップに2つのキーを貼り付け、変更を保存する
- サイトのフォームから試しに送信し、送れることを確かめる
つまずきやすいのはキーの種類です。v2のキーはv3では動かないため、CF7のreCAPTCHA設定手順に沿ってv3用のキーを用意してください。また、reCAPTCHAはスパム送信を減らすためのものです。データベースからの情報漏えいを防ぐ役割はありません。
Studioで使っていたキーにも注意が必要です。Studioの不正アクセス事案では、管理画面に登録していたreCAPTCHAのシークレットキーなどの設定情報も流出した可能性のある対象に含まれました。Studioはキーの一律交換までは求めていませんが、予防のために交換することはできます。WordPress側では新しく発行したキーを使い、送信できるのを確かめてから古いキーを削除すると安心でしょう。同じキーを別のサイトでも使っている場合は、そちらの設定も変えておきます。
こんな聞き方も
- WordPressのフォームで個人情報をデータベースに保存するのはリスクがありますか？
- 歯科のフォームに書かれた症状は要配慮個人情報にあたりますか？
- WordPressのフォームにreCAPTCHA v3を設定するにはどうしますか？
- フリーランスにWordPressのコーディングを頼むと1ページいくらですか？
- wordpress フォーム 個人情報 保存 リスク
- Flamingo 個人情報 保存
あわせて知りたい（関連する疑問）
QフリーランスにWordPressのコーディングを頼む費用は、何で決まりますか？
フリーランスに頼む場合も、費用を分けるのは依頼するページの数と、実装する仕様の複雑さです。WordPress自体は無料のソフトなので、かかるのは作業の費用です。
コーディングの費用を決める主な要素は以下のとおりです。
- 制作するページ数とデザインの作り込み度合い
- お問い合わせフォームや自動返信メールなどの機能要件
- お知らせやブログなどのCMS投稿機能とカスタムフィールドの有無
- 既存サイトからのテキストや画像データの移管作業量
同じページ数でも、フォームの組み込みや動きのある演出が加わると、そのぶん作業が増えます。費用の目安は、料金ページ（/ryokin/）の計算例と無料サイト診断（/shindan/）で、ページ数と機能を伝えて確かめられます。
ところで、StudioはサイトのHTMLコードを外部へ書き出す機能を提供していません。フォームの回答履歴はCSV形式で取り出せますが、ページ全体のデザインや装飾は移行先のWordPress上で新しく作り直す形になります。手作業での再構築が伴う分、既存の画面をどの程度そのまま再現したいかによって作業工数は大きく変わってきます。
見積もりを比べるときは、合計の金額より先に、フォームの組み込みや設定がどの項目に入っているかを見てください。
QFlamingoで保存した回答は削除できますか？
削除できます。ただし、ゴミ箱へ移しただけでは、回答はデータベースに残ったままです。
Flamingoの受信メッセージの一覧では、回答をゴミ箱へ移せます。サーバーから完全に痕跡を消すには、ゴミ箱の画面を開いたうえで完全削除を実行しなければなりません。
| 操作内容 | データベースの状態 | 復元の可否 |
|---|
| ゴミ箱へ移動 | データはデータベース内に保持されたまま残る | いつでも受信トレイへ復元可能 |
|---|
| 完全に削除 | データベースから消える | 復元不可 |
|---|
通常の問い合わせの回答を消す時期と手順は、運用する側で決めておく必要があります。
個人情報保護法では保存期間を一律に定めていませんが、利用目的を終えた個人データを遅滞なく消去する努力義務があります。放置された過去の回答が蓄積するのを防ぐためにも、対応が終わったメッセージを定期的に完全削除する社内ルールを定めて運用します。
見落としやすいのは、ほかの場所に残っているコピーです。サーバーのバックアップに古いデータベースが入っていれば、Flamingoの画面で消した回答もそこには残ります。消す範囲を決めるときは、バックアップの保存期間も一緒に確認してください。
Qメール通知だけにすると問い合わせを取りこぼしませんか？
WordPressをメール通知のみで運用する場合、メールの不達による取りこぼしのリスクはゼロにはなりません。
しかも、WordPressのメール送信処理が成功しても、相手に届いたことまでは保証されません。フォームに送信完了の表示が出たからといって、通知メールが受信箱に入ったとは限らないのです。
Studioでは通知が届かない場合でも管理画面のダッシュボードを見れば問い合わせの有無を切り分けられましたが、保存機能を持たないWordPressではそれができません。
メール通知だけで運用するなら、届く仕組みを整えて、定期的に確かめることになります。
- SMTPプラグインを入れ、外部のメール送信サービスから送る
- 設定が終わったら、プラグインのテストメールを送って受信を確かめる
- テストメールとは別に、サイトのフォームから実際に送信して通知の到着を確かめる
- 届かないときは迷惑メールフォルダとメールサーバーのログを見る
最後は必ずフォームから送って確かめます。
Qフォーム回答を暗号化して保存すれば安全ですか？
暗号化は守りの一つですが、それだけで安全とは言えません。
Studioの事案では、暗号化して保存していた情報についても、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとされました。鍵とデータが一緒に取られれば、暗号化していても守りきれないということです。あとから鍵や認証情報を切り替えても、すでに取られた可能性のある情報は守れません。
漏えいしても報告が要らなくなる「高度な暗号化」と認められる条件も、かなり細かく決まっています。暗号の技術を正しく組み込んだうえで、高度な暗号化の要件として、復号の手段を適切に管理していなければなりません。管理の方法には、暗号化した情報と鍵を分けて鍵そのものの漏えいを防ぐこと、遠隔操作で情報や鍵を消せること、第三者が鍵を使えない設計にすることのいずれかが挙げられています。パスワードを付けただけの状態とは違います。
WordPressでフォームの暗号化をうたうプラグインを使う場合は、鍵をどこに置くかを必ず確かめてください。データベースと同じサーバーに鍵があれば、Studioの事案と似た状況になりかねません。WordPressの保守においても、単に暗号化機能を探すだけでなく、不要なデータをそもそも残さないことや、管理画面のアクセス経路を制限して被害を抑える仕組みを組み合わせることが大切です。
この内容をChatGPTで相談
