SECURITY FIRSTそのフォームのセキュリティ、
そのフォームのセキュリティ、
本当に大丈夫ですか。
顧客の個人情報を受け取るフォーム。スパムや不正送信への対策は十分か、公開後も安全な状態を維持できるか。見えないリスクへの不安を、抱えたままにしていませんか。
SELF-HOSTED. SECURITY-FIRST.
企業向けセキュアお問合せフォーム
信頼は、
フォームから。
大切なデータを、自社の管理下に。
セキュリティも、使いやすさも。
企業のためのフォーム基盤、ContactForm PD。
Self-hosted自社サーバーで運用
Security-first多層の保護機能を標準装備
9 integrations保存・通知先を自由に組み合わせ
One library複数フォームを共通基盤で管理
01 / WHY CONTACTFORMフォームの運用に、
フォームの運用に、
こんな不安を残していませんか。
企業サイトの入口だからこそ、
データ管理も、導入も、日々の運用も確かに。
顧客データの保存先を
自社で管理したい。
外部SaaSへの保存を前提にせず、自社の運用方針に合った構成を選びたい。
自社サーバー内での保存に対応
案件ごとの設置を、
もっと効率よく進めたい。
毎回ゼロからセキュリティや外部連携を実装する負担を減らしたい。
共通ライブラリと設定で構築
設定の抜け漏れを、
公開前に見つけたい。
どこを確認すべきか分からないまま、フォームを公開する不安をなくしたい。
設定チェッカーで導入を支援
02 / SECURITY BY DESIGN守る仕組みを、
守る仕組みを、
最初から。
OWASP Top 10・IPAガイドラインに沿った設計。
共通ライブラリのセキュリティ設定を、
すべてのフォームへ一律に適用します。
17のセキュリティ対策個別対応から、
個別対応から、
共通のセキュリティ基盤へ。
入力・送信・保存・通信の各段階で、多層の対策を組み合わせます。
不正な入力・送信を防ぐ
SQLインジェクション対策 / XSS対策 / CSRF対策 / セッション保護
スパム・不審なアクセスを制御
レートリミット / ハニーポット / reCAPTCHA v3・Turnstile / 海外IP・不審UAの制御
ファイル・通信・データを保護
アップロード検証 / ClamAV連携 / HTTPS強制 / HMAC検証 / 個人情報のログマスク
17 SECURITY MEASURES
セキュリティ機能の詳細
何を、どう守るのか。搭載するセキュリティ機能をご紹介します。
01入力・送信を守る
01 / 17
SQLインジェクション対策
PDO・プリペアドステートメント入力値をSQL命令から分離して扱い、不正なデータベース操作を防ぎます。
02 / 17
XSS対策
Twig自動エスケープ ＋ CSP出力時のエスケープとコンテンツの実行制御を組み合わせます。
03 / 17
CSRF対策
使い捨てトークン ＋ HMAC署名送信時のトークンと署名を検証し、不正なリクエストを防ぎます。
04 / 17
セッション攻撃対策
固定攻撃・ハイジャック対策利用者のセッションを保護し、なりすましによる操作に備えます。
05 / 17
データ改ざん検知
セッションデータのHMAC検証保持したデータの整合性を検証し、改ざんを検知します。
02不審なアクセスを制御する
06 / 17
ブルートフォース対策
IPベースのレートリミット同一IPからのリクエスト頻度を制限し、過剰なアクセスを抑制します。
07 / 17
スパムbot対策
ハニーポット ＋ reCAPTCHA v3複数の手法を組み合わせ、自動送信への対策を行います。reCAPTCHAは利用設定が必要です。
08 / 17
海外IPブロック
MaxMind GeoLite2国単位でアクセスの許可範囲を設定。運用対象の地域に合わせて制御できます。
09 / 17
不審UA拒否
既知の攻撃ツール・スキャナを遮断User-Agentを照合し、既知の不審なアクセスを拒否します。
10 / 17
IP自動拒否
拒否リストへの自動追加攻撃を繰り返すIPアドレスを自動的に拒否リストへ追加します。
03ファイル・通信・ログを保護する
11 / 17
アップロード検証
サイズ・拡張子・MIMEの三重チェック添付ファイルを複数の観点で検証し、不正なアップロードを防ぎます。
12 / 17
ウイルス対策
ClamAVスキャン添付ファイルのウイルススキャンに対応。ClamAVが利用できる環境と有効化設定が必要です。
13 / 17
HTTPS強制
自動リダイレクト ＋ HSTSHTTPSへの誘導とブラウザへの指示で、暗号化された通信を使用します。
14 / 17
セキュリティヘッダー
CSP・Referrer-Policy等ブラウザ側の保護機能を活用し、コンテンツの実行や参照元情報を制御します。
15 / 17
クリックジャッキング対策
X-Frame-Options: DENY外部ページへのフレーム埋め込みを拒否し、意図しない操作を防ぎます。
16 / 17
オープンリダイレクト対策
ホワイトリスト方式許可した遷移先に限定し、不正な外部サイトへの誘導を防ぎます。
17 / 17
ログ保護
個人情報マスク・制御文字除去ログに残す個人情報をマスクし、制御文字を除去します。
一部機能は設定や外部サービス・サーバー環境の準備が必要です。特定の審査への適合や、すべての攻撃の防止を保証するものではありません。
SECURITY THAT KEEPS UPつくった時の安心を、
つくった時の安心を、
使い続ける安心へ。
セキュリティ対策は、導入して終わりではありません。
プログラムと防御に使うデータを更新し、
運用を続けるための仕組みを用意しています。
サポート・セキュリティ継続契約
1クリック更新・セキュリティデータ自動更新・サポート窓口を利用できます。
プログラムを、
1クリックで更新。
提供された更新を適用するための機能を用意。Blue-Green方式で環境を切り替え、旧環境は自動バックアップします。
毎回手作業で差し替える負担を軽減
防御に使う情報を、
継続的に更新。
GeoIPデータベースと悪性UAリストの更新に対応。手動で更新するほか、cronを設定して自動実行できます。
古い判定データを使い続ける状態を防ぐ
共通基盤で、
複数フォームを管理。
フォームごとに実装を抱えず、共通ライブラリに処理を集約。共通部分の更新を、同じ基盤を使うフォームに反映できます。
フォームごとの個別改修を減らす
更新の仕組みと、
確認する運用をセットに。
初期設定・アップデート時のご相談はサポート窓口へ。対応可否・回答時期を保証するものではありません。
- 更新内容を確認自社の利用機能や連携先への影響を確認します。
- 更新を適用プログラムを更新し、セキュリティデータの更新も運用に組み込みます。
- フォームの動作を確認入力・送信・メール・保存・外部連携を確認します。
更新機能の利用にも、対応するサーバー環境と設定が必要です。PHP・OS・Webサーバー等の更新管理や、設置先での動作確認は別途必要です。
WHAT'S NEW現場の運用から、
現場の運用から、
さらに強く、使いやすく。
リリース後も、実際の運用で見えてきた課題へ対応。
セキュリティ・信頼性・アクセシビリティを継続して強化しています。
2026.09 UPDATE
管理ツールの二要素認証、連携失敗時の自動再送、Cloudflare Turnstile対応などを追加しました。
01
管理ツールに
二要素認証を追加
IP制限に加え、パスワード認証をオプションで設定可能に。Google Authenticator等の認証アプリを使ったTOTP二要素認証にも対応します。
認証セッションは既定30分で失効02
添付ファイルにも
保持期間を設定
履歴書などの添付ファイルは、設定した保持期間を過ぎると自動削除。DB保存を使わない構成でも、独立して利用できます。
UPLOAD_RETAIN_DAYSで設定03
連携の失敗を
自動で再送
kintoneやSlackなどへの保存・通知が一時的に失敗しても、再送キューで自動的に再試行。大切な問い合わせの取りこぼしを減らします。
既定5回まで再試行04
Cloudflare Turnstile
に対応
ボット対策に、reCAPTCHAに加えてCloudflare Turnstileを選べるようにしました。切り替え・併用は、運用方針に合わせて設定できます。
Google以外の選択肢を用意05
より高い水準には
WAFを組み合わせる
アプリケーション層の標準対策に加えて、CloudflareやAWS WAF等のインフラ層WAFとの併用を推奨。求められる水準に合わせて守りを重ねられます。
大規模・高要件の運用にも06
入力エラーを
誰にも分かりやすく
エラーをフォーム冒頭に一覧で表示し、該当項目へジャンプ。スクリーンリーダー利用者にも配慮したエラーサマリーを追加しました。
JIS X 8341-3・WCAG 2.1を参考に設計各機能の利用には対応する設定・サーバー環境が必要です。アクセシビリティ規格への準拠を保証するものではありません。
03 / SIMPLE TO BUILD設定ファイル1つと、
設定ファイル1つと、
テンプレートを置くだけ。
共通ライブラリの初期設定を済ませたら、
フォームごとに用意するのは設定とテンプレート。
最小構成で、すぐに動かせます。
MINIMUM SETUP
フォームのために、処理を一から開発する必要はありません。
設定ファイル 1つ
config.php入力項目や送信先など、フォームごとの設定をまとめます。
画面テンプレート
ミニマムで使いやすいデフォルトテンプレートをご用意。そのまま設置して使い始められます。独自の画面にしたい場合は、UIからテンプレートを作成することもできます。
送信処理やセキュリティなどの共通機能はライブラリが担当。新しいフォームを増やすときも、設定ファイルとテンプレートを用意して、同じ基盤を使い回せます。
初回は共通ライブラリの設置と、メール送信環境・認証情報などの基本設定が必要です。設置後はフォームの送信・保存・通知を確認してから公開します。
カスタマイズしたいときは、2つの方法で。
設定ファイルに慣れている方も、画面を見ながら組み立てたい方も、自分に合う方法を選べます。
設定ファイルを直接書く。
設定ファイルに慣れている方は、config.phpを自分で記述・編集。入力項目や保存先、通知先などを、用途に合わせて設定できます。
UIで設定・テンプレートを作る。
同梱の設定ウィザードで、質問に答えて項目を選択。設定ファイルを生成し、コピー・ダウンロードできます。画面テンプレートもUIから作成できるので、用途に合わせたフォームを組み立てられます。
FORM SETUP WIZARDUIで選んで、
UIで選んで、
設定ファイルへ。
用途・入力項目・連携先を画面上で選択。設定ウィザードが、選んだ内容を設定ファイルにまとめます。
- ブラウザ内で設定を生成
- 項目構成をあとから調整
- APIトークンは別ファイルで管理
CONFIGURE YOUR WAY業務に合わせて、
業務に合わせて、
ここまで変えられる。
入力画面だけでなく、保存・通知・資料配布まで。
フォームごとの設定で、用途の違いに対応します。
入力項目・必須条件
会社名、氏名、電話番号、住所、自由記述、ファイル添付などを組み合わせ。項目の追加や必須・任意を設定できます。
例：法人向けは会社名を必須に。採用向けは書類添付を追加。
保存先・通知先の組み合わせ
DB・CSV・Google Sheets・kintone・Notionへの保存と、ビジネスチャットへの通知を組み合わせられます。
例：DBに保存し、kintoneに登録、Slackへ通知。
外部サービスとの項目対応
フォームの各入力項目と、kintoneのフィールド・Notionのプロパティを対応付け。既存の業務管理に合わせて登録できます。
例：フォームの「会社名」をkintoneの顧客情報へ。
資料の出し分け・配布条件
複数ファイルや回答内容による配布資料の出し分けに対応。トークンの有効期限・ダウンロード回数も設定できます。
例：選んだ製品に応じて、対応するカタログを案内。
受付番号・メール・完了画面
受付番号はランダム・連番を切り替え。完了画面と自動返信メールの文面をフォームごとにカスタマイズできます。
例：資料請求と一般問い合わせで返信案内を変更。
言語・フォームごとの構成
フォームを言語ごとに複製・切り替え。共通ライブラリを使いながら、項目や文面はそれぞれの用途に合わせて設定できます。
例：日本語・英語の問い合わせ窓口を用意。
GUI + CONFIG画面で組み立てる。
画面で組み立てる。
設定ファイルで調整する。
config.phpは直接記述しても、ウィザードから生成しても利用できます。UIで出力したファイルをあとから手作業で調整することも可能。パスワードやAPIトークンはsecret.phpで別管理します。
config.php / 保存・通知の組み合わせ例
// DBとkintoneに同時保存
define('STORAGE_DRIVER', ['db', 'kintone']);// DB保存に加え、Slack・Chatworkへ通知
define('STORAGE_DRIVER', ['db', 'slack', 'chatwork']);用途に合う設定例をいずれか1つ選びます。各連携先の認証情報や項目の対応付けは別途設定します。
資料配布まで、ひと続き。
フォーム送信後に、期限・回数制限付きのトークンURLで資料を配布。複数ファイルや回答内容による出し分けにも対応。
伝わるフォームを、言語ごとに。
フォーム単位で複製・切り替えが可能。完了画面や自動返信メールの文面も、それぞれカスタマイズできます。
フォームが増えても、基盤はひとつ。
共通ライブラリを使い回し、フォームごとに設定を追加。受付番号もランダム・連番から選択できます。
MORE FORMS. SAME PRICE.フォームが増えても、
フォームが増えても、
価格はそのまま。
同一サイト内なら、複数フォームを同じ価格で運用。
フォーム数に応じた追加ライセンス費用はかかりません。
必要な窓口を、必要なだけ用意できます。
フォーム追加によるライセンス費用¥0
1つの共通ライブラリで、複数フォームに対応。
お問い合わせ
一般窓口・製品ごとのご相談に
資料請求
回答に応じたカタログ配布に
採用エントリー
応募者情報・書類の受付に
見積もり依頼
会社情報・要望のヒアリングに
アンケート
選択項目・自由記述の回答収集に
イベント申し込み
参加希望者の情報受付に
用途に合わせて、項目を変える。
会社名を必須にした問い合わせ、ファイル添付付きの採用受付、資料を出し分ける請求フォーム。設定とテンプレートで、さまざまな用途に対応できます。
共通基盤で、まとめて守る。
フォームごとに処理を作り直す必要はありません。同じライブラリのセキュリティ機能を共有しながら、項目・文面・連携先は個別に設定できます。
同一サイト内での複数フォーム運用についてのご案内です。個別の設置・設定・デザイン作業や外部サービスの利用料は別途。複数サイト・ドメインへの適用範囲はお問い合わせください。
料金プランを見る →04 / CONNECT YOUR WORKFLOW受け取る。その先の
受け取る。その先の
業務までつながる。
保存先と通知先を、自由に組み合わせ。
データベースを使わない運用も選べます。
外部連携を有効にした場合、選択したサービスへデータを送信します。認証情報・連携先の設定が別途必要です。
MySQLCSV
Google Sheets
kintone
Notion
Chatwork
Slack
Google Chat
Microsoft Teamsconfig.php
// DB保存とSlack通知を同時に
define('STORAGE_DRIVER', ['db', 'slack']);NOTICE IT. ACT ON IT.いつものチャットに届く。
いつものチャットに届く。
問い合わせに、早く気づく。
メール通知に加えて、チームが普段使う
メッセージツールにも通知。
確認の入口を増やし、見逃しを減らします。
FORM SUBMITTED新しいお問い合わせを受信
SlackChatworkGoogle ChatMicrosoft Teams
お問い合わせ受付チャンネル
通知イメージ
ContactForm PD
新しいお問い合わせが届きました
- フォーム
- 製品のお問い合わせ
- 会社名
- 株式会社サンプル
- 内容
- 導入について相談したい
通知の見え方・表示内容は、連携先と設定によって異なります。
複数の通知先を組み合わせ。
メールに加え、SlackとChatworkなど複数のメッセージツールへの通知も設定できます。
窓口ごとに、適した連携を。
問い合わせ・資料請求・採用など、フォームごとの設定で、業務に合った保存先・通知先を選べます。
記録も残して、確認しやすく。
DBやkintone等への保存と通知を併用。チャットで気づき、保存したデータをもとに対応する運用につなげられます。
各サービスの認証情報やWebhook等の設定が必要です。通知の確認しやすさは各サービスの通知設定にも左右されます。外部連携を有効にすると、選択したサービスへデータを送信します。
導入から公開まで、
迷わず進める3ステップ。
サーバーに設置
ファイルをFTPでアップロード。対応するレンタルサーバーでも利用できます。
フォームを設定
共通の基本設定を済ませ、フォーム用のconfig.phpとテンプレートを設置。設定ファイルは直接編集・UI生成のどちらも選べます。
チェックして公開
設定チェッカーで環境・設定を診断。警告やエラーを確認・修正して公開します。
FREE ENVIRONMENT CHECKER導入前の「動くかな？」を、
導入前の「動くかな？」を、
無料チェッカーで確認。
無料配布本体インストール不要
ContactForm PDの動作検証チェッカーを無料で配布しています。
ご利用予定のサーバーにチェック用ファイルを設置するだけで、必須要件と推奨要件を確認できます。
何が確認できる？
- 必須要件
- PHP 8.2以上 / openssl拡張 / .htaccess対応のWebサーバー
- 推奨要件
- 外部通信に関する設定 / exec・shell_exec / ZipArchive / phar / pdo_mysql
- 結果の見方
- 必須要件を満たさない場合は環境の調整が必要です。推奨要件は、未対応でも利用できる場合がありますが、一部機能が制限されます。
使い方はシンプル。
- チェック用ファイルを入手下の窓口から無料チェッカーの配布についてお問い合わせください。
- 対象サーバーにアップロードContactForm PD本体のインストールは不要です。
- ブラウザで開いて結果を確認確認後はチェック用ファイルをサーバーから削除してください。
導入前の環境確認用ツールです。設置後の設定内容は、本体付属の設定チェッカーで別途確認します。フォーム送信や外部連携の実動作は、設置後に検証してください。
06 / PRICING開発も、維持も。
開発も、維持も。
圧倒的な低コストへ。
独自に開発し、保守し続ける工数を、共通の製品基盤へ。
全機能を使えるフリー版から、必要なライセンス・サポートを選べます。
フリー版
まずは機能を試したい方へ
¥0
クレジット表示必須
- すべての製品機能を利用可能
- 自社サーバーに設置
- 同一サイト内の複数フォームに対応
クレジット非表示
自社・クライアントのブランドで
¥98,000
買い切り・恒久ライセンス
- クレジット表示を非表示に
- 1回払いで利用可能
- フォーム数による追加料金なし
サポート・セキュリティ継続
継続的な運用を支える契約
¥58,000 / 年
新規契約 / 継続更新 ¥48,000 / 年
- 1クリック更新
- セキュリティデータ自動更新
- 設定・更新時のサポート窓口
クレジット非表示ライセンスと継続契約は独立しています。必要な契約のみ選択できます。
表示価格の税込・税別区分、適用範囲などの契約条件はお問い合わせください。
BUILD VS. ADOPTつくるのはフォーム。
つくるのはフォーム。
開発するのは、その裏側まで。
セキュリティ、データ保存、通知、診断、更新。
これらの基盤を個別に開発する工数を、製品を利用する選択で抑えられます。
BEYOND THE FORM
見える画面の、その先にある開発。
比較対象は、以下のような機能を備えた基盤と、3種類のフォームを独自開発するケースです。
セキュリティ基盤
CSRF・XSS対策、レート制限、IP拒否など
添付ファイルの保護
アップロード検証、ClamAV連携など
保存・メッセージ連携
DB・kintoneへの保存、チャット通知など
運用前の診断
設定・環境・セキュリティのチェック
更新を続ける仕組み
本体の更新、セキュリティデータの自動更新
フォーム実装・品質確認
お問い合わせ・資料請求・採用、要件整理とテスト
独自開発の参考試算と、製品・契約費の比較
独自開発を60〜70人日、単価を5〜8万円／人日と仮定した説明用の試算です。一般ベンダーの市場相場や確定見積もりを示すものではありません。ContactForm PD側はライセンス・継続契約のみで、設置・設定などの作業費は別途必要です。
60人日 × 5万円 〜 70人日 × 8万円
開発後の保守・セキュリティ対応費は別途
セキュリティ・連携・診断・更新機構まで開発する想定
買い切り98,000円 ＋ 継続契約58,000円
同一サイト内なら、複数フォームでも追加ライセンス費なし
共通の製品基盤を利用。導入・運用の作業費は別途
| 比較項目 | 類似基盤の独自開発 | ContactForm PD |
|---|---|---|
| 初期費用の考え方 | 基盤と3フォームを設計・実装・検証 300万〜560万円（仮定） | クレジット非表示ライセンス 98,000円（買い切り） |
| 保守・更新 | 保守体制・対応範囲に応じて別途見積もり 上記の初期開発試算には含みません | サポート・セキュリティ継続契約 初年度58,000円／更新年48,000円 |
| フォームの追加 | 共通化の設計と個別要件に応じて見積もり | 同一サイト内の追加ライセンス費 0円 個別の設定・制作作業は別途 |
| 導入・運用作業 | 要件に応じて見積もり 初期開発後の運用作業は試算対象外 | 設置・設定・更新適用・動作確認は別途 表示した製品・契約費には含みません |
製品・契約費は、初年度 15.6万円。
3年間でも 25.2万円。
3年間でも 25.2万円。
98,000円 ＋ 58,000円 ＋ 48,000円 × 2年。クレジット非表示のみなら買い切り98,000円、クレジット表示ありのフリー版は0円です。継続契約は独立して選択できます。
試算条件：1人日＝8時間。独自開発はセキュリティ対策、ファイル検証、保存・通知連携（利用する5種類程度）、診断・更新機構、3フォームの実装、要件整理・テストを含む類似基盤を想定した仮定です。全製品機能の再現や同等の品質を保証する工数ではありません。実際の費用は既存基盤の利用、要件、品質基準、運用体制により異なります。両者で費用範囲が異なるため、総費用の削減額・削減率は示していません。サーバー費・外部サービス費・個別デザイン・追加開発・障害対応費は含まず、税額は加算していません。
07 / QUESTIONS
よくあるご質問
導入前の気になることを、
ここで解決。
レンタルサーバーでも動きますか？＋
PHP 8.2以上、openssl拡張、.htaccessに対応したApache・LiteSpeed等のWebサーバーが必要です。Nginxのみの環境は現時点では対応対象外です。利用する機能によって追加の環境要件があります。
MySQLは必須ですか？＋
必須ではありません。CSV・Google Sheets・kintone等、データベースを使わない保存方法も選べます。利用したい機能に応じて必要な構成をご確認ください。
動作するか購入前に確認できますか？＋
無料配布の動作検証チェッカーで、購入前にサーバーの必須・推奨要件を確認できます。本体のインストールは不要です。チェッカーの配布案内・使い方を見る →
フリー版から有償版に切り替えられますか？＋
可能です。ライセンスキーを設定することで、既存のフォームをそのまま利用できます。
データは外部に送信されますか？＋
自社サーバー内のDB・CSVへの保存を選べます。kintoneやSlack等の外部連携を有効にした場合は、そのサービスへデータを送信します。メール配信やreCAPTCHA等も含め、社内方針に合わせて構成を選択してください。
START WITH CONFIDENCE次のフォームは、
次のフォームは、
信頼できる基盤から。
動作環境の確認から、ライセンス・導入のご相談まで。
お客様の運用に合った構成をご案内します。