ロリポップのPHPメールフォームにスパム投稿が来る時のTurnstile確認順番

<script src="https://challenges.cloudflare.com/turnstile/v0/api.js" async defer></script>

<form action="/contact-submit.php" method="post">
  <label>お名前</label>
  <input type="text" name="name" required>

  <label>メールアドレス</label>
  <input type="email" name="email">

  <label>お問い合わせ内容</label>
  <textarea name="message" required></textarea>

  <div class="cf-turnstile" data-sitekey="YOUR_SITE_KEY"></div>

  <button type="submit">送信する</button>
</form>

<?php
$turnstile_secret = 'YOUR_SECRET_KEY';
$turnstile_token = $_POST['cf-turnstile-response'] ?? '';

$verify_response = file_get_contents(
  'https://challenges.cloudflare.com/turnstile/v0/siteverify',
  false,
  stream_context_create([
    'http' => [
      'method' => 'POST',
      'header' => "Content-Type: application/x-www-form-urlencoded\r\n",
      'content' => http_build_query([
        'secret' => $turnstile_secret,
        'response' => $turnstile_token,
        'remoteip' => $_SERVER['REMOTE_ADDR'] ?? null,
      ]),
      'timeout' => 10,
    ],
  ])
);

$turnstile_result = json_decode($verify_response, true);

if (empty($turnstile_result['success'])) {
  exit('セキュリティ確認に失敗しました。時間をおいて再度お試しください。');
}

// ここから先でメール送信処理を行う
?>

ロリポップのPHPメールフォームにスパム投稿が来るため、Cloudflare Turnstileを入れています。

フォームURL:

起きている症状:
例: Turnstileを入れたのにスパムが届く / 正常送信も失敗する / tokenがPOSTされない

HTML側で確認したこと:
- api.jsを読み込んでいるか:
- cf-turnstileのdivが表示されるか:
- site keyが正しいか:

PHP側で確認したこと:
- cf-turnstile-responseが届いているか:
- siteverifyへPOSTしているか:
- successがtrueの時だけメール送信しているか:
- error-codes:

ログに残した内容:

追加対策:
- honeypot:
- URL数チェック:
- 文字数制限:
- 連投制限:

secret key、管理画面URL、個人情報は伏せています。
初心者向けに、次に見る順番を教えてください。