Защита форм WordPress от спама: reCAPTCHA, Turnstile и honeypot

Если с контактной формы каждый день приходят десятки предложений SEO-услуг и криптоинвестиций, в магазине WooCommerce появляются пользователи, которые ничего не покупали, а по странице wp-login.php всю ночь стучит какой-то бот, то это обычная проблема спама в WordPress. Он отнимает время, засоряет почту и прячет настоящие запросы. В худшем случае приветственные письма, отправленные фальшивым регистрациям, портят ещё и репутацию отправителя Вашего домена.

Мы ставим на каждую форму подходящую защиту, вычищаем накопившийся спам и проверяем, что настоящие клиенты по-прежнему проходят. Цель не в самой строгой защите, а в балансе: бот остаётся за дверью, человек ничего не замечает.

Что входит в работу

• Обзор форм и выбор защиты. Смотрим, какие формы есть на сайте – контакт, запрос, регистрация, оформление заказа, вход, комментарии – и подбираем каждой подходящую защиту: Cloudflare Turnstile или Google reCAPTCHA v3 для видимых форм, honeypot-поле и проверку времени для форм без лишнего трения, Akismet для комментариев.
• Установка Turnstile или reCAPTCHA. Создаём ключи, подключаем их к плагину форм (Contact Form 7, WPForms, Gravity Forms, Fluent Forms и т. п.) и к WooCommerce, следим, чтобы скрипт загружался только на страницах с формой. По умолчанию рекомендуем Turnstile: он не передаёт данные посетителя в Google и меньше нагружает страницу.
• Honeypot и проверка времени. В форму добавляется невидимое для человека поле, которое бот всё равно заполняет, и измеряется, как быстро форма была отправлена после открытия страницы. Для посетителя ни одного лишнего шага.
• Регистрация, оформление заказа и вход в WooCommerce. Защита формы регистрации в «Моём аккаунте», страницы оформления заказа и wp-login.php. На оформлении заказа отдельно следим, чтобы защита не ломала оплату и не замедляла покупку.
• Блокировка одноразовых e-mail-доменов и шаблонов ботов. Регистрация с адресом одноразового почтового сервиса отклоняется. Дополнительно блокируем очевидные шаблоны: сообщения из одних ссылок, URL в поле имени, повторные попытки с одного IP.
• Ограничение частоты запросов. Если сайт стоит за Cloudflare, настраиваем правила для входа и оформления заказа прямо там; иначе на уровне веб-сервера (nginx limit_req, fail2ban) или плагином ограничения попыток входа. Также закрываем интерфейс XML-RPC, если он не используется.
• Очистка накопившегося спама. Удаляем фальшивых пользователей без заказов, спам-комментарии и спам-заказы. Перед этим делаем резервную копию, а сомнительные случаи разбираем вместе с Вами.
• Проверка глазами настоящего клиента. Отправляем формы с телефона в мобильной сети и из другой сети, как гость и как вошедший пользователь, чтобы убедиться, что защита не блокирует людей. В мобильных сетях один IP-адрес делят многие пользователи, поэтому блокировка по IP должна оставаться мягкой.
• Совместимость с согласием на cookies. reCAPTCHA загружает скрипт Google и ставит cookies, поэтому она должна быть согласована с Вашим баннером cookies – иначе посетитель, отказавшийся от согласия, вообще не сможет отправить форму. С Turnstile эта сторона проще. При необходимости корректируем настройки баннера вместе с решением для согласия на cookies.

Типичные ситуации

С контактной формы приходят десятки рекламных писем в день, и настоящий запрос теряется среди них. В магазине WooCommerce накопились сотни пользователей со случайными именами и одноразовыми адресами, ни один из которых ничего не купил, а каждая новая регистрация отправляет приветственное письмо, что ухудшает доставляемость Ваших писем. На оформление заказа приходят заказы на пару евро с чужими картами – бот проверяет украденные номера карт, и платёжный сервис присылает предупреждения. В блоге тысячи непроверенных комментариев, среди которых давно никто не искал настоящие. Или reCAPTCHA уже установлена, но после добавления баннера cookies часть посетителей больше не может отправить форму.

Что нам понадобится от Вас

• Доступ администратора WordPress и при необходимости доступ к серверу или аккаунту Cloudflare.
• Аккаунт Google или Cloudflare для создания ключей – или мы создадим их от Вашего имени.
• Список форм, которые важны для сайта, и информация о том, откуда сейчас идёт спам.
• Решение, можно ли удалять подозрительных пользователей и комментарии сразу или Вы хотите сначала их просмотреть.
• Немного внимания в первый день после работы: если какой-то настоящий клиент не может отправить форму, сразу сообщите нам.

Что не входит в работу

• Удаление вредоносного кода, если спам вызван взломом сайта (сайт сам рассылает спам или на нём появляются чужие страницы) – это отдельная работа.
• Более широкий аудит безопасности сервера и ядра WordPress.
• Настройка доставляемости писем (записи SPF, DKIM, DMARC) – отдельная услуга.
• Постоянный мониторинг и поддержание правил из месяца в месяц – это часть ежемесячного обслуживания сайта.
• Создание новой формы или установка нового плагина форм.

Кому это подходит

Подходит любому сайту на WordPress или магазину WooCommerce, где формы, регистрация или комментарии завалены спамом и Вы хотите разобраться с этим за один раз. Если Вы подозреваете, что сайт ещё и взломан или стал медленным, лучше начать с аудита состояния и безопасности, который проверяет весь сайт целиком; а если нужно, чтобы кто-то и дальше следил за правилами и плагинами, больше подойдёт ежемесячное обслуживание.