旅宿询问表单的垃圾邮件防护｜与AI安全设置与确认的方法

旅宿主人与AI拦截询问表单的垃圾提交，让正常询问进入收件箱的插画 AI 网站管理

旅宿的询问表单有时会收到推销消息、看不懂的文字，或相同内容的连续提交。数量一多，就可能漏看真正的住宿咨询。

但垃圾邮件防护太强，也可能挡住客人的询问。旅宿网站重要的不是让垃圾提交归零，而是在维持能收到真实询问的状态下减轻负担。

本文说明不熟悉IT的旅宿经营者，如何请Codex或Claude Code协助调查，依顺序安全采取措施。

结论：不要一开始就增加插件

请依以下顺序进行。

  1. 记录哪个表单收到多少垃圾提交
  2. 确认目前表单与既有垃圾邮件防护
  3. 变更前先备份并测试正常提交
  4. 只新增一种措施
  5. 使用PC、智能手机及不同电子邮件地址重新测试
  6. 持续一段时间确认误判与询问件数

若同时新增多个插件、CAPTCHA及禁用词，就无法知道是哪一项挡住了正常询问。

先统计垃圾邮件情况

先用大约1周，只记录以下项目。不需要将正文或电子邮件地址贴给AI。

确认项目 记录范例
目标表单 询问、预约咨询、征才
垃圾提交件数 每1天约10件
集中时段 深夜较多
相同内容连续提交 有、无
疑似真实询问被误判 有、无、不明
目前措施 不明、Akismet、Turnstile等

数量少却导入复杂机制，有时只会增加维护对象。先统计现况，再决定需要的强度。

确认目前使用的表单

WordPress的Contact Form 7、Jetpack表单、WPForms等，各自设置位置及支持的垃圾邮件防护不同。先请AI不做变更，调查以下内容。

  • 建立表单的插件名称与版本
  • 询问表单所在的URL
  • 已启用的垃圾邮件防护
  • 是否在WordPress内保存提交内容
  • 给旅宿的通知地址，以及是否有给客人的自动回复
  • 隐私政策目前的内容

若提供管理画面截图，要遮蔽电子邮件地址、API密钥、询问正文及预约者信息。

从三个层次思考防护

1. 人不容易看见的简单陷阱

若自动提交程序填入人通常不会输入的字段，就拒绝该提交，这种机制一般称为蜜罐。它不太会增加客人的操作，但无法阻止全部自动提交。

只有目前的表单功能正式支持时，才列为候选措施。不要把来源不明的代码直接贴进主题。

2. 判断提交内容的服务

Akismet等会根据提交内容判断垃圾提交。依表单插件而定，可能需要额外设置，也要确认合同条件及数据处理方式。

是否有检视误判的画面、是否能把正常询问恢复为「不是垃圾消息」，也是选择条件。

3. 同时在浏览器与服务器确认的机制

Cloudflare Turnstile、Google reCAPTCHA等，也会在服务器端验证浏览器端发出的确认信息。Cloudflare官方资料说明，即使网站没有使用Cloudflare作为CDN，也能使用Turnstile。

只在画面显示元件，并不表示防护完成。请透过兼容插件的官方程序或验证环境，确认有执行服务器端验证。

选择Turnstile时的确认事项

Turnstile使用公开的sitekey，以及不能向外揭露的secret key。不要把secret key放进文章、聊天、Git或浏览器端代码。

导入前确认以下内容。

  • 目前表单插件是否正式支持
  • 是否能分开正式与验证环境的设置
  • 是否已限制目标域名
  • 是否在服务器端验证令牌
  • 暂时通信故障时，是否能清楚告知
  • 智能手机与旧设备是否也能提交

Cloudflare官方说明，令牌在5分钟后失效，且只能验证一次。填写表单花较久时间时的重试，也是测试对象。

谨慎使用禁用词与IP地址封锁

拒绝特定词语或来源的功能很方便，但若登记短而常见的词，也会挡住真实询问。旅客使用的移动网络或共用网络，不宜只凭IP地址就广泛拒绝。

使用禁用词时，记录新增原因、批准者、新增日期、误判时的移除方法及预计重新评估日期。可请AI整理候选词，但实际登记由人确认。

测试是否挡住正常询问

变更前后进行相同测试。

  1. 从PC提交简短的日文询问
  2. 从智能手机的移动网络提交
  3. 提交较长的文字
  4. 确认给旅宿的通知
  5. 确认给客人的自动回复
  6. 若在WordPress内保存，确认记录
  7. 也确认垃圾邮件判定画面

测试正文写上「功能确认、不需回复」，不要使用真实客人的信息。为避免无法提交时失去联系管道，页面应提供电话等其他方式。不要在错误画面显示内部信息或详细判定原因。

保留发现误判的机制

导入垃圾邮件防护后，也要持续查看被判定的内容。

  • 导入后最初1周每天确认
  • 稳定后仍定期确认垃圾判定
  • 疑似住宿咨询的内容由人判断
  • 若有恢复误判的功能，正确恢复
  • 决定保存期间，不持续保留不必要的个人信息

Contact Form 7的垃圾判定与邮件寄送失败，有时会出现相似的错误显示。不要只看显示就断言原因，应确认可用日志与测试结果。

也确认隐私政策

新增外部判定服务，可能改变表单提交时处理的信息或传送对象。确认服务的官方隐私信息，必要时更新自己网站的隐私政策。

WordPress可指定隐私政策页面并编辑内容，但自动产生的文字不一定足够。请依旅宿实际使用的表单、流量分析及垃圾邮件防护确认。需要法律判断时，向专家咨询。

AI可以做的工作与由人判断的工作

适合交给AI的工作包括：调查使用中的功能及官方资料、比较措施、建立测试项目、统计去除个人信息的件数，以及整理可能原因与恢复方法。

外部服务签约、个人信息处理、secret key发行与保管、正式套用的批准，以及真实询问的判断与回复，由人负责。不需要一开始就把WordPress管理员权限或外部服务全部权限交给AI。

可复制使用的AI委托内容

先不变更，只调查

旅宿WordPress询问表单的垃圾邮件增加了。
请先不要变更设置。

请以只读方式确认使用中的表单功能、目前有效的垃圾邮件防护、
询问保存位置、正常提交的确认方法，
以及官方资料。

不要输出秘密信息、询问正文或电子邮件地址，
不明项目不要推测，请标示「不明」。

比较措施

请针对目前表单架构，比较蜜罐、Akismet、
Cloudflare Turnstile及Google reCAPTCHA等候选措施。

依官方资料确认对正常询问的影响、支持情况、费用、个人信息、维护负担、
误判确认方法，以及恢复原状的方法。
请先不要安装或变更设置。

只导入一种并验证

请在验证环境只设置一种已批准的垃圾邮件防护。
先列出变更前备份、变更位置、秘密信息保存位置及恢复方法。

设置后，使用PC与智能手机验证正常提交、自动回复、旅宿通知，
以及误判确认方法。不要变更正式环境。

旅宿经营者检查清单

  • [ ] 已掌握垃圾邮件件数与目标表单
  • [ ] 已确认表单功能与既有措施
  • [ ] 已保留变更前正常提交结果
  • [ ] 已确认备份与恢复方法
  • [ ] 每次只新增一种措施
  • [ ] 没有在画面分享或与AI的对话中放入secret key
  • [ ] 已确认服务器端验证是否有效
  • [ ] 已使用PC与智能手机测试
  • [ ] 已确认旅宿通知与自动回复两者
  • [ ] 已决定误判确认负责人与频率
  • [ ] 已确认隐私政策
  • [ ] 已提供电话等替代联系方式

邮件收不到的问题，可参考确认WordPress询问邮件发件、收件与验证的方法。设置变更前的判断，可参考正式公开前检查清单；故障初步应变可参考WordPress故障后的最初30分钟。

参考信息

总结

旅宿询问表单，需要同时兼顾减少垃圾邮件及接收真实询问。

先统计现况、确认使用中的表单、取得备份，只新增一种措施。之后，使用不同设备与网络确认正常提交，并定期重新评估误判。AI可协助调查、比较、测试与记录，但秘密信息、个人信息及真实询问的判断，请由旅宿自行管理。

已复制标题与网址