Wie stoppe ich Spam-Registrierungen in WordPress?

Warum das wichtig ist

Ein paar Spam-Registrierungen sind harmlos. Eine Flut ist es nicht. Wir haben diese Ebene gebaut, nachdem eine Website in einer einzigen Stunde rund 10.000 Registrierungsanfragen erhalten hatte und am Ende Zehntausende Fake-Konten hatte. Auf einer anderen Website verbrauchten die Willkommens-E-Mails an Fake-Konten das Mail-Kontingent, sodass echte Bestell-E-Mails nicht mehr verschickt wurden.

Fake-Registrierungen kosten dich auch auf leisere Weise: eine aufgeblähte Benutzertabelle, langsamere Admin-Seiten, verunreinigte Kundenlisten und E-Mail-Berichte und ein Ruf deines Mailservers, der jedes Mal sinkt, wenn eine Willkommens-E-Mail an einer nicht existierenden Adresse abprallt.

Häufige Fehler

• Die Registrierung versehentlich offen lassen. „Jeder kann sich registrieren“ wird manchmal bei der Einrichtung aktiviert und dann vergessen.
• Eine zu mächtige Standardrolle. Neue Benutzer sollten Abonnent oder Kunde sein, niemals Autor oder höher.
• Nur Limits pro IP. Fluten kommen oft von vielen Adressen aus demselben Netzwerk. Begrenze auch pro Netzwerk.
• Die Registrierung schließen, wenn eine Flut kommt. Damit sperrst du echte Kunden aus – genau das, was ein Angreifer will. Neue Konten als ausstehend zurückzuhalten lässt die Tür offen, während die Flut vorüberzieht.
• An der Kasse blockieren. Ein Shop sollte nie eine Bestellung an einen Spamfilter verlieren.
• Ohne Backup löschen. Massenlöschung ist endgültig. Sieh dir vorher die Vorschau an und behalte eine Kopie.

Ohne Plugin

1. Schalte die Registrierung ab, wenn du sie nicht brauchst: Einstellungen → Allgemein → Haken bei „Jeder kann sich registrieren“ entfernen. Bei WooCommerce entfernst du unter WooCommerce → Einstellungen → Konten & Datenschutz den Haken für die Kontoerstellung auf der Seite „Mein Konto“.
2. Halte die Standardrolle niedrig: Einstellungen → Allgemein → Standardrolle eines neuen Benutzers → Abonnent.
3. Füge dem WordPress-Formular einen Honeypot hinzu – mit zwei kleinen Hooks:

<?php
add_action( 'register_form', function () {
    echo '<p style="position:absolute;left:-9999px" aria-hidden="true">'
       . '<input type="text" name="hp_company" tabindex="-1" autocomplete="off"></p>';
} );
add_filter( 'registration_errors', function ( $errors ) {
    if ( ! empty( $_POST['hp_company'] ) ) {
        $errors->add( 'spam', 'Registration failed.' );
    }
    return $errors;
} );

Das deckt nur das WordPress-Standardformular ab, nicht WooCommerce oder andere Registrierungsformulare, und es gibt keine Limits, keine Obergrenze und kein Aufräumen. Bei einer laufenden Flut helfen diese Schritte, stoppen sie aber nicht.

Wenn etwas schiefgeht

• Echte Kunden können sich nicht registrieren. Prüfe das Protokoll im Beobachtungsmodus und sieh nach, ob dein Büro- oder Veranstaltungsnetzwerk an das Limit pro Netzwerk stößt. Erhöhe es oder setze die IP auf die Zulassungsliste.
• Ausstehende Konten haben sich angehäuft. Sie werden nach 7 Tagen automatisch entfernt. Gib die echten vorher frei.
• Ein Kunde hat keine Willkommens-E-Mail bekommen. Wurde die Obergrenze ausgelöst, erhalten zurückgehaltene Konten keine E-Mails, bis sie freigegeben werden. Das ist Absicht.

Mit Hushfort

Der Registrierungsschutz gehört zu Hushfort Pro, dem kostenpflichtigen Add-on zu Hushfort Security, dem kostenlosen WordPress-Sicherheitsplugin.

Der Registrierungsschutz von Hushfort deckt die Registrierung bei WordPress und WooCommerce ab, dazu weitere Registrierungsformulare:

• Standardmäßig 3 Registrierungen pro Stunde pro IP (IPv6 /64) und 10 pro Stunde pro Netzwerk (/24, IPv6 /48).
• Eine Obergrenze von 50 pro Stunde für die ganze Website mit einem Notschalter, der 60 Minuten lang ausgelöst bleibt. Standardmäßig hält er neue Konten als ausstehend zurück, ohne E-Mails; wahlweise kannst du die Registrierung stattdessen schließen.
• Blockieren von Wegwerf-E-Mail-Adressen und Erkennen von Gmail-Varianten (Punkte, +Tags, googlemail).
• Unsichtbare Honeypots bei der Registrierung in WordPress und WooCommerce.
• Drosselung von Willkommens-E-Mails, damit Fake-Registrierungen nicht dein Mail-Kontingent verbrauchen.
• Ein Aufräum-Assistent mit Vorschau und einem 30 Tage lang wiederherstellbaren Backup.
• Ausstehende Konten werden nach 7 Tagen automatisch entfernt.

Der Checkout wird nie blockiert. Du kannst ihn zuerst im Beobachtungsmodus laufen lassen und so die Wirkung sehen, bevor er eingreift.