お問い合わせフォームのスパム対策として、2026年から変更になる「reCAPTCHA v3」から、「Cloudflare Turnstile」へ乗り換えるケースが増えています。
Contact Form 7プラグインも「Cloudflare Turnstile」への乗り換えを勧めており、その設定を進めていたところ、エックスサーバー環境下で「WordPress管理画面へのアクセスが拒否されました」という謎のエラーに遭遇しました。
CloudflareやWAFの設定を疑い試行錯誤しましたが、最終的な原因は「Contact Form 7の追加ヘッダーにおけるBccの記述順序」という、非常に意外なものでした。
1. 発生したトラブル:設定保存時に「アクセス拒否」
事の発端は、Contact Form 7(以下CF7)の設定変更でした。 インテグレーション設定で「reCAPTCHA v3」から「Turnstile」に変更し、フォームを確認したところ、Turnstileのチェックボックスが無事に表示されました。
しかし、デフォルトの状態ではチェックボックスがフォームの最上部に表示されてしまいます。一般的なCAPTCHAのように「送信ボタンの直上」に配置したかったため、CF7のフォームテンプレート編集画面を開きました。
[turnstile]というタグを送信ボタンの上に追記1し、いざ「保存」ボタンを押すと……。
続きを読む →



