Spämmi tõkestamine WordPressi vormides: reCAPTCHA, Turnstile, honeypot

Kui kontaktivormist tuleb iga päev kümneid pakkumisi SEO-teenuste ja krüptoinvesteeringute kohta, WooCommerce’i poodi tekib kasutajaid, kes pole kunagi midagi ostnud, ja wp-login.php lehte taob öö läbi mõni bot, siis on tegu tavalise WordPressi spämmiprobleemiga. See ummistab postkasti ja varjab ära päris päringud. Võltsregistreerumistele saadetud tervituskirjad kahjustavad ka Sinu domeeni saatja mainet.

Paneme igale vormile sobiva kaitse, koristame olemasoleva spämmi ja kontrollime, et päris kliendid ikka läbi saavad. Eesmärk ei ole kõige rangem lukk, vaid tasakaal: bot jääb ukse taha, inimene ei märka midagi.

Mida töö sisaldab

• Vormide ülevaatus ja kaitse valik. Vaatame kõik saidi vormid üle – kontakt, päring, registreerumine, kassa, sisselogimine, kommentaarid – ja valime igaühele sobiva kaitse: nähtavatele vormidele Cloudflare Turnstile või Google reCAPTCHA v3, lihtsamatele honeypot-väli ja ajakontroll, kommentaaridele Akismet.
• Turnstile’i või reCAPTCHA paigaldus. Loome võtmed, seome need vormiplugina (Contact Form 7, WPForms, Gravity Forms vm) ja WooCommerce’iga ning kontrollime, et skript laeb ainult vormiga lehtedel. Vaikimisi soovitame Turnstile’i: see ei saada külastaja andmeid Google’ile ja koormab lehte vähem.
• Honeypot ja ajakontroll. Vormile lisatakse inimesele nähtamatu väli, mille bot ikkagi ära täidab, ja mõõdetakse, kui kiiresti vorm pärast lehe avamist ära saadeti.
• WooCommerce’i registreerumine, kassa ja sisselogimine. Kaitse Minu konto registreerumisvormile, kassale ja wp-login.php lehele. Kassa puhul jälgime eraldi, et kaitse ei lööks maksmist katki ega aeglustaks ostu.
• Ühekordsete e-posti domeenide ja botimustrite blokeerimine. Registreerumine ühekordse e-posti teenuse aadressiga lükatakse tagasi. Lisaks blokeerime ilmsed mustrid: ainult linkidest koosnevad sõnumid, URL-id nimeväljas, sama IP korduvad katsed.
• Sagedusepiirang. Kui sait on Cloudflare’i taga, seadistame sisselogimise ja kassa reeglid otse seal; muidu veebiserveri tasemel (nginx limit_req, fail2ban) või sisselogimiskatsete piiramise pluginaga. Sulgeme ka XML-RPC liidese, kui seda ei kasutata.
• Olemasoleva spämmi koristamine. Kustutame võltskasutajad, kellel pole ühtegi tellimust, ning spämmikommentaarid ja -tellimused. Enne võtame varukoopia ja vaatame kahtlased juhtumid koos Sinuga üle.
• Test päris kliendi vaatest. Saadame vormid läbi telefonist mobiilivõrgus ja teisest võrgust, külalisena ja sisselogituna, et veenduda, et kaitse ei blokeeri inimesi. Mobiilivõrkudes jagab sama IP-aadressi palju inimesi, seega IP-põhine blokeering peab jääma leebeks.
• Küpsisenõusoleku sobivus. reCAPTCHA laeb Google’i skripti ja seab küpsiseid, mistõttu see peab Sinu küpsisebänneriga kokku sobima – vastasel juhul ei saa nõusolekust keeldunud külastaja vormi üldse ära saata. Turnstile’iga on see pool lihtsam. Vajadusel kohandame banneri seadeid koos küpsisenõusoleku lahendusega.

Tüüpilised olukorrad

Kontaktivormist tuleb päevas kümneid müügikirju ja päris päring läheb nende vahel kaduma. WooCommerce’i poodi on tekkinud sadu juhuslike nimedega kasutajaid ühekordsete e-posti aadressidega, kellest ükski pole ostnud, ja iga uus registreerumine saadab tervituskirja, mis halvendab e-kirjade kohalejõudmist. Kassasse tulevad paari euro suurused tellimused võõraste kaartidega – bot testib varastatud kaardinumbreid ja makseteenus saadab hoiatusi. Blogis on tuhanded modereerimata kommentaarid. Või ei saa osa külastajaid pärast küpsisebänneri lisamist reCAPTCHA-ga vormi enam ära saata.

Mida me sinult vajame

• WordPressi administraatori ligipääs ja vajadusel ligipääs serverile või Cloudflare’i kontole.
• Google’i või Cloudflare’i konto võtmete loomiseks – või loome need Sinu nimel.
• Nimekiri vormidest, mis saidil olulised on, ja info, kust spämm praegu tuleb.
• Otsus, kas kahtlased kasutajad ja kommentaarid võib kohe kustutada või tahad need enne ise üle vaadata.
• Pärast tööd teade, kui mõni päris klient ei saa vormi saata.

Mis jääb tööst välja

• Pahavara eemaldamine, kui spämm on tingitud häkitud saidist (sait ise saadab spämmi või sinna tekib võõraid lehti) – see on eraldi töö.
• Serveri ja WordPressi tuuma laiem turvaülevaatus.
• E-kirjade kohalejõudmise korrastamine (SPF, DKIM, DMARC kirjed) – eraldi teenus.
• Pidev jälgimine ja reeglite hooldus kuust kuusse – see kuulub kuupõhise kodulehe hoolduse alla.
• Uue vormi või vormiplugina ehitamine.

Kellele see sobib

Sobib igale WordPressi saidile või WooCommerce’i poele, kus vormid, registreerumine või kommentaarid on spämmi täis ja tahad selle ühe korraga korda saada. Kui kahtlustad, et sait on lisaks ka häkitud või aeglane, alusta pigem tervise- ja turvaauditist. Kui tahad, et keegi hoiaks reeglid ja pluginad ka edaspidi korras, sobib paremini kuupõhine hooldus.