1. 導入
企業サイトの「お問い合わせフォーム」は、見込み顧客との接点であると同時に、サイバー攻撃の入り口にもなり得ます。特にSQLインジェクションやクロスサイトスクリプティング（XSS）、スパム投稿などは、フォーム経由で発生する代表的な脅威です。本記事では、安全なお問い合わせフォームを構築するために不可欠な入力バリデーションとセキュリティ対策の基本を解説します。
2. 基礎知識
お問い合わせフォームにおけるセキュリティ対策とは、主に「入力値の検証（バリデーション）」と「出力の無害化（エスケープ処理）」の2点を指します。
・バリデーション：入力された値が期待する形式（メールアドレスの形式、電話番号の桁数など）であるかをサーバー側でチェックすることです。
・エスケープ処理：ユーザーから送信されたデータに悪意のあるスクリプトが含まれていた場合に、それを無害な文字列として扱う処理です。これを怠ると、管理画面でスクリプトが実行され、個人情報が流出する恐れがあります。
3. 実装/解決策
実務では、フロントエンドでのバリデーション（利便性向上）だけでなく、必ずサーバーサイドでのバリデーションを実装してください。フロントエンドの制限はブラウザ側で簡単に回避できるため、セキュリティの担保にはなりません。また、メールアドレスなどの必須項目は正規表現を用いて厳密にチェックを行い、SQLインジェクションを防ぐためにプリペアドステートメント（DB接続ライブラリの機能）を必ず使用しましょう。
4. サンプルプログラム
以下は、PHPを用いたサーバーサイドでの基本的なバリデーションと、XSSを防ぐための出力エスケープ処理の例です。
prepare(“INSERT INTO inquiries (name, email) VALUES (:name, :email)”);
$stmt->bindParam(‘:name’, $name);
$stmt->bindParam(‘:email’, $email);
$stmt->execute();
// 3. 表示時のエスケープ処理（XSS対策）
// HTML出力時にhtmlspecialcharsを通すことでスクリプト実行を回避
echo “送信されたお名前：” . htmlspecialchars($name, ENT_QUOTES, ‘UTF-8’);
?>
5. 応用・注意点
現場での運用において特に注意すべき点は以下の3つです。
・隠しフィールドの取り扱い：参考本文にあるutmパラメータなどは、マーケティング分析に有効ですが、ユーザーが値を改ざんできるため、これをそのままDBのクエリやシステムロジックに組み込まないでください。
・スパム対策：ボットによる大量送信を防ぐため、reCAPTCHAなどの認証サービスを導入することが現在の実務におけるデファクトスタンダードです。
・ログの管理：お問い合わせ内容自体に個人情報が含まれるため、アクセスログやDBのバックアップの取り扱いには、プライバシーポリシーに準拠した厳格なアクセス制御を適用してください。
コメント