PHPのメール送信のセキュリティ対策を完全解説！初心者でもわかる安全な送信方法

1. PHPのメール送信とは？

1. PHPのメール送信とは？

PHPのメール送信とは、Webサイトから自動でメールを送る仕組みです。お問い合わせフォームや会員登録確認メールなどで使われます。PHPにはmail()という関数があり、これを使うと簡単にメール送信ができます。

しかし、便利な反面、セキュリティ対策をしないと不正利用される危険があります。セキュリティとは「安全を守る対策」のことです。家の鍵と同じで、対策をしないと誰でも入れてしまう状態になります。

2. メールヘッダインジェクション対策

2. メールヘッダインジェクション対策

メールヘッダインジェクションとは、悪意ある文字を入力されることで勝手に別のメールを送られてしまう攻撃です。インジェクションとは「注入」という意味です。

対策として、改行コードを削除します。改行があると不正なヘッダが追加される可能性があります。

$name = $_POST['name'];
$name = str_replace(["\r", "\n"], '', $name);

$to = "test@example.com";
$subject = "お問い合わせ";
$message = "名前: " . $name;

mail($to, $subject, $message);

このように改行を削除することで、安全性が高まります。

3. 入力値のバリデーションとサニタイズ

3. 入力値のバリデーションとサニタイズ

バリデーションとは「正しい形式か確認すること」です。サニタイズとは「危険な文字を無害化すること」です。例えばメールアドレスが正しい形式か確認します。

$email = $_POST['email'];

if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
  echo "正しいメールアドレスを入力してください";
  exit;
}

このように確認することで、不正なデータ送信を防げます。

4. CSRF対策で不正送信を防ぐ

4. CSRF対策で不正送信を防ぐ

CSRFとは、他人のサイトから勝手に送信させられる攻撃です。対策としてトークンを使います。トークンとは一度きりの合言葉のようなものです。

session_start();
$_SESSION['token'] = bin2hex(random_bytes(32));

フォームに埋め込みます。

<input type="hidden" name="token" value="<?php echo $_SESSION['token']; ?>">

送信時に確認します。

session_start();
if ($_POST['token'] !== $_SESSION['token']) {
  exit('不正なアクセスです');
}

5. SMTP認証を使った安全な送信

5. SMTP認証を使った安全な送信

SMTPとはメール送信の仕組みです。認証を行うことで、安全性が向上します。認証とは本人確認のことです。パスワードを使って正しい利用者だけが送信できるようにします。

外部ライブラリを使う方法もありますが、基本は認証付きのメールサーバーを利用することが重要です。これにより迷惑メール対策にもなります。

6. HTTPS通信で情報を守る

6. HTTPS通信で情報を守る

HTTPSとは暗号化通信のことです。暗号化とは、内容を読めない形に変えることです。これにより、入力されたメールアドレスや内容が盗み見されるのを防ぎます。

ブラウザのアドレスバーに鍵マークが表示されていればHTTPS通信です。SSL証明書を設定することで利用できます。

7. 送信ログの管理とスパム対策

7. 送信ログの管理とスパム対策

メール送信ログを残すことで、不正利用があった場合に確認できます。また、reCAPTCHAなどの仕組みを使うことで自動送信ボット対策も可能です。

セキュリティ対策は一つだけでは不十分です。入力チェック、トークン確認、認証設定、暗号化通信など複数の対策を組み合わせることが重要です。