クリエイティブWeb - IT業界

問い合わせフォームは「無料の小機能」ではない — CMSのフォームが抱える構造的な問題

2026-07-10T09:00:00+09:00

7年ぶりのブログ更新です。このサイトは長く ASP.NET Core で動かしていましたが、このたび全ページを静的HTMLに作り直しました。その作業で一番考えさせられたのが「問い合わせフォーム」でした。サイト制作では当たり前のように付ける部品ですが、実はサイトの中で一番危ない場所です。今日はその話を書きます。

フォームはサイトで一番狙われる場所

WordPress サイトへの侵入経路は、本体よりもプラグインが大半を占めます。その中でも問い合わせフォームのプラグインは特別です。ほぼすべてのサイトに入っているからです。定番のフォームプラグインは数百万サイトで使われており、ひとつ脆弱性が見つかると、その数百万サイトが同時に攻撃対象になります。攻撃側から見れば、フォームは「外部の入力を受け取ってサーバーで処理する」機能そのものなので、探す価値が最も高い入口です。

スパム対策は「防御側だけがお金を払う」構造になりがち

フォームを置けばスパムが来ます。長年の定番だった CAPTCHA(画像認証)は、AI が実用レベルで突破できるようになりました。Google の reCAPTCHA は従量課金の Enterprise 版へ誘導が進んでいますが、これは判定(アセスメント)ごとの課金で、防御に成功した判定にも課金されます。つまり攻撃されるほど請求が増える。ボットは無料で殴り続けられるのに、防御側は殴られるたびに支払う——この構造自体がおかしいと思いませんか。

自動返信つきフォームは「踏み台」になる

意外に知られていない問題がもうひとつあります。メールアドレスを入力すると自動返信が飛ぶフォームは、他人のメールアドレスを大量に入力されると、迷惑メールの発信源になります(メールボム)。自分のドメインの送信評価が下がり、本来のメールまで届かなくなる。対策には送信頻度の制限や、制限に達しても攻撃側に悟らせない応答設計が必要ですが、そこまで作り込まれた問い合わせフォームはまれです。

放置されたフォームが一番危ない

そしてサイトは、作ったあとに放置されます。更新が止まった WordPress のフォームは、脆弱性が公表されても直されないまま公開され続けます。この「放置された WordPress に何が起きるか」は、当サイトの漫画の新シリーズ「WordPressの危険性編」で描いていますので、あわせてどうぞ。

それで、どうしたか

このサイトが選んだ答えは、公開サイトから動的な処理をなくすことでした。全ページを静的HTMLにすれば、フォームの脆弱性も、サーバーの侵入も、そもそも実行されるプログラムが無いので起きません。

問い合わせは、メールで受けることにしました。フォームと違って送信者の実アドレスで届くので、本人性の確認にもなります。スパムは受信側のフィルタで防ぎます——これは送信側(フォーム)の防御よりずっと枯れた、実績のある技術です。

静的サイトの配信は Cloudflare Pages の無料枠で足ります。デプロイ用には cf-publish という小さな CLI を作って PyPI に公開しました(pip install cf-publish)。ビルドしたフォルダを1コマンドで公開でき、失敗してもロールバックできます。このサイトも同じ方法で公開しています。

まとめ

問い合わせフォームは「無料の小機能」ではありません。継続的な防御・監視・スパム対策のランニングコストを伴う、サイトで一番危ない機能です。サイトを作る(作り直す)ときには、一度立ち止まって考えてみてください——そのフォーム、本当に必要ですか。メールではだめですか。

企業の人が知っておくべきインターネット広告のこと

2016-09-29T23:01:00+09:00

最近（2016年9月23日）、大手広告代理店電通が、インターネット広告で、虚偽報告など不正な取引があったことを認めたという事件がありました。

インターネット広告の闇とか書いている人がいますが、インターネット広告に闇なんてあるんでしょうか？単に企業の人がインターネット広告に無知なだけでないのでしょうか。日本では、企業が広告を掲載する時には、ネットメディアと直接取引をあまりせずに、電通など広告代理店が双方の中間に立って取引をしまうため、インターネット広告のことを知らなさすぎなだけではないでしょうか。

広告掲載のチェックについて

インターネット広告には、大きく分けてクリック課金タイプ、インプレッション課金タイプ、成果報酬タイプがあります。

成果報酬タイプは、実際に購入や契約など成果が合ったときに課金が発生するタイプです。これは誤魔化しようがありませんが、トヨタのように実店舗で購入する商品の場合は無理で、EC サイトを運営する企業向きです。

インプレッション課金タイプは、Webサイトの広告枠にバナーを掲載しますというようなもので、表示回数に応じて料金を支払います。

電通の不正があったのは、「運用型広告」と呼ばれるもので、その代表的なものが Google AdWords です。ウェブサイトやキーワード、トピック、ユーザー層を指定して、広告を表示させることができます。料金はクリック課金とインプレッション課金を選択できますが、クリック課金タイプの方が8割ぐらいを占めます。クリック課金の場合は、広告がクリックされると料金が発生します。

確認の方法ですが、管理画面を見れば簡単にわかりますが、広告代理店は管理画面を見せようとしない場合が多いと思います。でも、Google AdWords を使うのであれば、Google Analytics に Google AdWords のアカウントをリンクさせましょう。すごく便利です。

なぜ、Google AdWords が使われているのか？細かい分析が容易にできるからです。インターネット広告に闇があるなんてうそです。

Google AdWords 以外の運用型広告でも、Google Analytics を使えば、Google AdWords を使うほどは細かな分析はできなくても、広告掲載のチェックぐらいはできます。

なぜ不正がおこるのか

なぜ不正がおこるのかの前に、Google AdWords に広告を出すのは自分でもできます。なぜ、それを広告代理店に出すのでしょうか。電通の社員は、大ヒットをする広告を作りたくて入社しているわけで、インターネット広告のような手間のかかる作業をしたいとは思わないでしょう。それは、クライアント企業の広告担当者も同じだと思います。

自分が Google Adsense をしていて、気づいたことの一つが、下の図をみてください、3月はクリック単価が高くて、それも下旬になるほど高くなるということです。（注: 下の図はクリック単価ではなくて、RPM（表示回数 1,000 回あたりの見積もり収益額）ですが、クリック単価の影響が大きいです。）

日本では、3月末が決算なので、予算を使い切りたいか売り上げのノルマを達成したためではないでしょうか。3月に売り上げが増加するのならば理解できるのですが、そうとは思えないので、高い単価で広告を出すのは企業にとっては明らかに損をする行為です。それでもしてしまうのが広告マンです。

テレビや新聞の広告であれば、枠で料金が決まっているので予算の使い切りは簡単だし効果の説明も楽です。しかし、「運用型広告」では、クリック単価を決めて入札をする必要があり、相手のある話なので、自分の思い通りにはなりません。相手より単価が低ければ、広告が表示されないので予算が消化できません。広告の期間中はまんべんなく広告を表示したいと思ってもそれほど簡単なことではありません。

しかし、発注側の広告マンとしては格好をつけたいでしょう。広告代理店から細かい資料をもらうと説明が面倒なので、わかっていても単純な資料しか要求しないということもあるのでしょう。

雇用の流動性が必要

Google は、ソフトウェア開発者の会社です。Google AdWords にも Google Analytics にも API があります。コントロールパネルでちまちまと作業をしなくても、プログラムを書いて作業を自動化することができます。

また、インターネット広告からホームページに流入した見込み客が顧客になってくれるようなホームページを作成する必要があります。

こういう仕事を従来の広告マンに要求しても無理です。それよりも IT 系のエンジニアやデザイナーが向いている仕事です。例えば、マイクロソフトのエバンジェリストになったちょまどさんなんかは最適だと思います。彼女は、漫画家兼プログラマーです。

日本の場合は、企業の方は新卒一括採用で個性のある人をあまり雇用しようとしないし、エンジニアやデザイナーの方も新しいことをやりたがらない人が多いように思います。日本の IT 業界の従事者の待遇が世界で最低だという理由はこういう所にあるんだろうと思っています。

インターネット広告の分野でも、まだまだやれることはたくさん残されているので、チャレンジしてみたらいいと思います。

IT業界の労働環境が最悪な理由を知って正しく行動しよう

2016-09-06T11:51:00+09:00

ITエンジニアがどんな所で働いているか、その業務がどうなっているか書いてみます。そうすることで、なぜ日本のIT業界の労働環境が最悪なのかわかるし、若い人には、自分のキャリアーをどうしていったらいいのかを考えるいい契機になると思います。

ITエンジニアが働いている企業ですが、大きく分類すると、IT企業かそれ以外の企業か、IT企業の場合は、自社開発をしている企業か、受託開発（元請け・下請け）をしている企業かに分かれると思います。それぞれの、業務の内容と特徴は以下のようになります。

自社開発系企業のエンジニア

自社でパッケージ・ソフトウェア、SaaS（Software as a Service）、IT サービス、アプリ、ゲーム等を開発・運営している企業です。例を挙げると Google、Microsoft、DeNA、クックパッド等が当たります。これらは、大企業ですが、自社開発の企業にはスタートアップ企業も多く、新しい企業がひっきりなしに起ち上げられています。

自社開発では、ユーザーに高レベルのサービスを提供するため、常に新しい技術を導入する必要があるので、日々自分のスキルを研鑽していく必要があります。若い世代のエンジニアも活躍している業界であり、若くても自分の意思で自由に仕事をすることができます。その一方で、新しいサービスを企画・制作・運営し、ビジネスとして軌道に乗せるというのはかなり大変なことで、高い能力が要求されます。

スタートアップ企業を除いては、比較的収益性が高い企業が多く、社員の待遇がいい企業が多くなっています。

また、スタートアップ企業というと、安定性に欠けると思われるかもしれませんが、ソフトウェア開発者であれば、スタートアップに失敗したとしても、製品をオープンソースで公開し、ソースを GitHubで公開することで、技術力の高さを実証することができるので、有力企業への就職の道が開かれる可能性が高くなります。したがって、技術力に自信がある人には勧めれる道だし、欧米では優秀な人ほど卒業後就職をせずにベンチャー企業を作るケースが多くなっているそうです、

利点：待遇のいい企業が多い。新しい技術にチャレンジできる。

欠点：高い能力が必要。

SIer のエンジニア

企業や官公庁から依頼を受けてシステム開発をするのが SIer（システムインテグレーター）です。

例えば、みずほ銀行では次期システムを開発していますがそういう銀行のシステムやマイナンバーのカードの発行システムは障害で話題になりましたがそのような企業や官公庁のシステムを注文を受けて作るのが SIer の仕事です。

SIer で代表的な企業と言えば、NTTデータ、富士通、日本電機、日立等があります。

日本の企業は、その企業専用に特化したカスタムメイドのソフトウェアの開発を SIer に発注する傾向が強く、特に官公庁においては丸投げは顕著です。そのため、日本でIT企業と言うと、SIer がまだまだ主流となっています。

しかし、SIer は、開発に必要なエンジニアをすべて抱えている訳ではなく、企業から発注があって契約したとき時に、下請けに分割して仕事を発注します。なんでそんなことをするのかというと、SIerは必要なエンジニアをすべて抱えるとその人件費がバカににならないためで、注文があって必要な時だけお金を出して下請けに仕事をさせます。

それで、SIer のエンジニアは、主に大規模開発において開発者全体をまとめるプロジェクトマネージャーとしての役割を務めます。大手の SIer の社員は、入社後早い時期にプログラミングをするよりも、ユーザーとやりとりしたり、下請をマネジメントする業務を任されるような仕事に就く場合が多くなります。

ユーザーとやりとりして設計をすることやスケジュール、人員を管理することが得意な人には向いていますが、自分でプログラミングをし続けたい人、仕事で新しい技術を使いたい人にはあまり向いていないことが多いです。

利点：会社の営業力が強く社会的な評価も高い。新卒であればプログラミング経験がなくても入社しやすい。

欠点：エンジニアとしての仕事よりマネジメントの仕事が多くなる場合が多い。新しい技術を取得することが難しい。

受託開発の下請企業のエンジニア

下請企業は上記のSIerから業務を受注して開発を行います。システムを作る実働部隊ということになります。下請けにも階層があって、SIer が分割して発注する先が二次請けで、二次請けが分割して三次請けへ発注、三次受けがまた下へという多重構造になっています。

下請企業では、二次請け、三次請けと下請けになればなるほど中抜きが発生し、末端のエンジニアの給料は安く、待遇は悪くなります。そのため慢性的にエンジニア不足になっている企業もあり、入社は比較的簡単です。

開発では、プロジェクトの末端として配置されるので、技術力が低くても作れるようなものになるので、その分仕事を通して高い技術力を身につけられることは少なくなります。また、配属されるプロジェクトが炎上したときには、不眠不休の連日の徹夜「デスマーチ」になることもあります。

利点：プログラミング経験が少なくても入社しやすい。

欠点：労働環境が悪い。新しい技術を習得することが難しい。

一般企業の社内エンジニア

いわゆる社内SEと呼ばれていて、企業内の基幹システムの運用を主要な業務にしているエンジニアが多いですが、製造業の組み込み系のような仕事もあって、企業によって仕事の内容にはばらつきがあります。

官公庁の場合は、専門職を採用しているケースは少ないですが、優秀な公務員は、日経コンピュータ等を読んで、いかにもコンピュータの知識があるかのように話をします。しかし、開発者の仕事ができるわけではないので、開発も運用も SIer に丸投げするケースが殆どです。そして、問題が発生したときには、委託先の責任にしてしまいます。

ベネッセで個人情報流出事件が発生したときも、委託先がどうのこうのといって、ベネッセは被害者のような顔をしていましたが、企業でも、社内システムの開発・運用を子会社に放りだし、子会社は実際の開発・運用を下請けに出すという多重下請け構造で運用しているところが多いです。

日本の企業は、情報システムを合理的に考えて開発・運用行せずに、面倒なことは下請けにさせてしまえという傾向があります。これらのことから発生する問題については、ITProの昨日の記事「1人で作れるものを1万人で作る、日本のIT業界の恐るべきムダ」に詳しく書かれているのでそちらをみてください。

一方で、その記事にもあるように、今後は、「第4次産業革命」を担うITエンジニアの採用が増えてくると思われます。企業の IoT の期待は大きいと思います。

また、最近は OSS の進展が著しく、大手の SIer のノウハウよりも OSS を使った方が遙かにいいというケースが多くなってきています。OSS と SaaS を組み合わせることにより少人数でも規模の大きいシステムが効率的に作れる時代になってきています。

利点：企業による。

欠点：企業による。

まとめ

こうやって纏めると、日本の IT エンジニアの待遇がよくない理由がよくわかると思います。一般の企業や官公庁がソフトウェア開発者を直接雇用せずに SIer に丸投げしてしまうということが最も大きい理由だと思います。

こうなった原因として、SIer が過去に成功を収めたいうような歴史的背景や日本の企業の体質の問題もあると思います。特に、ITエンジニアの職業が変化に対応し続けていないいけないという職業なので、日本の企業の「正社員」の制度になじまないという面も大きいと思います。

現状を直ぐに改善できるとは思っていませんが、「第4次産業革命」を担うITエンジニアのように、現状を打開する道は開けつつあります。

それで、自分の個性や能力にあわせて、消耗してないで行動したらいいと思います。受託開発の下請企業にも、よりましな企業はあるわけで、そういう所への転職も一つの手段です。企業にこき使われてばかりしてないで、もう少し企業を上手に利用しましょう。

消耗してないで行動しよう

2016-09-04T14:20:00+09:00

今年（2016年）の6月に経済産業省から「IT人材の最新動向と将来推計に関する調査結果」が出されていますが、その調査の一環として、「IT人材に関する各国比較調査」が実施され、IT人材の属性や実態について他国との比較をしています。

それによると、IT関連職の人気が日本だけ異常に低い数値になっています。

なぜ、こういう結果になるのか自分なりに分析してみました。

自分がシステム開発を始めて経験したのは、1990年のことでした。バブル景気の頃で、日本は半導体分野ではDRAMを始めとして世界を席巻していました。また、メインフレームの分野では富士通やNECが頑張り、パソコンは NEC の PC-9801、ワープロソフトは一太郎という時代で日本のソフトウェア産業もそれなりには元気でした。

自分はその当時は公務員だったので発注者側で、受託したのは「マイナンバー」のシステムを開発した「大手5社連合」のうちの1社でした。SIer の開発担当者は、優秀で勤勉だったのでシステム開発は比較的スムーズに進んで、内部調整の方にかなり苦労しました。その当時にこういう調査をすれば、ここまでIT関連職の人気が低い数値にはならなかったと思います。

その後のシステム開発がどうなっていったかというと、日本では、SIer のエンジニアがあまりにも勤勉過ぎたので、ユーザー企業の情シス（情報システム部門）がSIerに依存してしまったように思います。

その後、パッケージや Salesforce のような SaaS タイプのサービスを利用すればシステム開発経費はかなり抑えられるという状況になってきたのですが、日本では、そういう方向にはあまり進んでいません。パッケージや SaaS の場合、利用するためには設定やカスタマイズをする必要がありそれなりの技術力が必要になります。また、SIer に発注するようにはシステムをカスタマイズできないので、組織のやり方を変える必要がありますが、そのための内部調整は結構疲れる作業なので、そいうことを嫌ったためだと思います。要するに情シスが面倒なことはしたくなくて、SIerに投げてしまっているというのが実態ではないでしょうか。それにもかかわらず経費節約で開発費は下がっているのではないでしょうか。

経産省の調査からのデータですが、日本だけが受託情報システム開発・システムインテグレーションの従事者が極端に多くなっています。

欧米の企業では、重要だと思う業務はシステムも内製するし、そうでない業務だと業務ごとアウトソーシングしてしまいます。同じ処理をするプログラムを各社毎に作るのは非効率的です。例えば、人事・給与をアウトソーシングしている会社は多いと思います。調査結果ではアメリカはその他IT関連サービスに従事する人が多くなっていますのはそういう理由からです。

日本の SE（システムエンジニア）の仕事は、ユーザーとやりとりしたり、下請や部下をマネジメントすることであって、アプリケーションを作ることではありません。こういう仕事を上流工程といって誇らしげにしていますが、現在では開発ツールが進化してそういうツールを使えば不要な工程にもかかわらず、伝言ゲームをしているようなもので非効率です。海外では、SE という言葉自体が死語です。

前回のブログに書いた10年前のシステム開発の事例では、スタンドアローンに近い環境で運用することを想定したシステムを100人以上が同時に使う環境にそのまま持ってきたのが原因です。よく使う重い処理のキャッシュが全くできていませんでした。その PM は、プレゼンは上手でしたが、プログラム能力は全くありませんでした。SIerの中でも面倒なことは下請や部下に投げているようです。

日本の場合は、ユーザー企業の情シスの能力が低いので、SIerが不要になることはないし、SE の必要性も直ぐになくなることはないと思います。だから、現状に満足している人はそのままでいいと思います。

しかし、給与・報酬に対する満足度は世界最低じゃないですか。効率の悪いところに高い給料は払えないし、最近の日本の企業は、経費削減ばかりに熱心なので当然の結果です。

給与に不満がある場合、冷静に自分がその会社で10年後、20年後どうなっているか想像してみてください。人間には自分だけはと楽観的に考えるところがあるので、10歳年上の先輩、20歳年上の先輩の現実の姿をよく調べてください。

そうすれば、多くの場合は黙っていては、待遇がよくなる見込みなんてなくて、逆に使い捨てられる恐れもあるというのがわかるでしょう。そういう場合には、どうしたらいいのかというと、自分の技術レベルを上げて転職するしかないと思います。転職には次のような選択肢があると思います。

転職エージェント等を利用してよりましな企業に転職する。
プログラミングの能力が高ければ、英語の勉強をして、GitHubでOSSのソフトにコミットして自分の能力を認めてもらい、LinkedIn で新しい職場を探す。この方法は、世界的にはオーソドックスな方法です。ただし、日本では、LinkedIn はあまり使われていないので、コミュニティ活動をするのもいいと思います。
独立して自分で稼ぐようにする。独立すると一人で何でもしないといけないのでソフトウェア開発者、Web開発者のタイプが向いていて、チームで開発する SE や PG は向いていません。SE や PG の場合は、設計からプログラムまで一人でできるように事前に訓練する必要がありますが、そうすることで開発効率は少なくとも3倍ぐらいよくなります。
IT関連の職種に向かないと思ったら、早く別の業種に転職する。年がいってからの転職は大変だということを考えてください。

経産省の調査では、2030年にはIT人材が78.9万人不足するという推計結果になっていますが、実際は効率化で十分対応出来ると思います。今後、人工知能が発達してシステム開発がより効率的にできるようになることを考えれば尚更です。今回のブログは、これぐらいで終わりにして次回以降もう少し重要なポイントを詳しく説明していきたいと思っています。

IT業界は現場が劣化している

2016-09-02T16:14:00+09:00

自分が約10年前まだ地方公務員だった時に、システム開発を担当したことがありました。発注側だったのですが、工期も終わりに近づいた頃、実機でテストするとレスポンスが余りにも悪いので、PM(プロジェクトマネージャー)に負荷試験をして改善するように言ったら、試験をした結果問題はありませんでしたと試験結果をつけて持ってきました。その後どうなったかは長い話になるので今回は省略しますが、このシステムを請け負った業者は、地元企業ではなく、東証1部上場の企業でした。

その時は、運が悪かったぐらいに思っていましたが、マイナンバーカードのシステムで同じような障害を起こしているではないですか。1月始めから不具合が発生しているのに、3月の時点では原因不明。そしてサーバーの台数を増やせばいけるとして、サーバーを追加購入させているのは大したものです。マイナンバーという国の重要施策で醜態をさらすようになっては状況の深刻さが思いはかられます。

参考資料

ITPro マイナンバーシステム障害を総括、「住基ネット安定稼働への過信」が背景に

イザマイナンバー　システムが危機に直面！　障害１カ月連続発生

個人事業税の件をFacebookの「40歳以上ですがコード書いてます会」というグループに投稿したときには、18個もAngryがつけられ、コメントに「いい大人」なんだから騒ぐとどうのこうのと書いた人もいました。10年前の時も業者の担当からはそのように言われましたが、最初に嘘をついておいて、それがバレたら圧力をかけてもみ消そうとし、本来は迅速にすべき原因の究明をしないというのはどうにかしています。

こういうことをみていると、「日本は現場が強い」というのはIT業界では間違いなく神話になってしまっているようです。過去は確かに「強い現場」だったかもしれませんが、ここ20年ぐらいで劣化してしまった所が多いと思います。

そういう現場では、部下や下請けに理不尽な対応をして劣悪な労働環境にしてしまうPMは相当数いるように思います。

現状に満足しているなら別ですが、そのような現場にたまたま配属され不満な場合、特にプログラムやデザインやライティングができる人は、我慢しないで早く転職しましょう。若いときの1年間を無駄に過ごすというのは犠牲が大きすぎます。ちょまどさんを見てください。大手SIerにSEとして新卒入社してコードを書かない事務処理のお仕事に回されたら、たった4ヶ月で転職しています。

エンジニアの場合は正社員での転職も可能だし、また、正社員でなくなることを恐れる人は多いですが、フリーランスでも結構いい給料でいくらでも仕事はあるし、自分のように人に雇われるのが嫌だったら、Google AdSenseやアプリの課金で稼ぐという方法もあります。

今回の記事はこれで終わりにしますが、言うだけだと不親切だと思うで、時間ができたら転職事情がどうなっているかを調べてブログに書いてみたいと思っています。

まだIT業界で消耗してるの？

2016-09-01T16:14:00+09:00

個人事業税が誤って課税される件があって、その時は怒っていましたが、落ち着いて考えてみると、Google AdSense だけで事業者と間違えられるだけの収入を上げられるようになったということを素直に喜ぶべきではないのかと思います。

それに人はよく過ちを犯すものだから気持ちよく許してあげた方が精神的はいいはずです。もちろんミスが蔓延している社会は嫌ですが、ミスを許さない社会は非常に窮屈です。

日本の IT 業界の従事者は、デジタル土方とかいわれ劣悪過酷な労働環境に置かれている人が多く、IT業界離れまでおきています。

しかし、ソフトウェア開発者というのは需要に供給が追いついておらず仕事はいくらでもあるので、本来は収入面でも恵まれ精神的にも気楽な職業のはずです。海外では実際にそういう職業です。

業界がどうのこうのは別にして、少し自分で考えて自分で行動すれば、個人としては消耗しなくてもすむと思います。現に、自分はGoogle AdSense で普通の収入を上げて気楽に暮らすことができています。

日本は窮屈なことが多く、そういう経験を何度もしたことがあるので書きたいことは山程あります。それで、このブログのタイトルをイケダハヤトの真似をして「まだIT業界で消耗してるの？」というタイトルにしました。文章を書く能力では明らかに彼に負けますが、どこまでユーザーを集められるか試してみたいと思います。