¿Cómo acabo con el spam en los comentarios de WordPress o desactivo los comentarios?

Por qué importa

El spam en los comentarios hace algo más que llenar tu cola de moderación. Los enlaces spam que se cuelan apuntan desde tu web a sitios que nunca recomendarías. Los comentarios pendientes se acumulan en la base de datos. Y en una tienda, las valoraciones falsas pueden aparecer junto a las reales y hacer que toda la sección de valoraciones parezca poco fiable.

Lo que pocos dicen es que muchas webs no necesitan comentarios. Una web corporativa, un portfolio o el blog de una tienda suelen recibir más spam que conversación. Cerrar los comentarios ahí no es rendirse; es quitar una puerta que nadie usa.

Donde los comentarios sí importan, funcionan las mismas comprobaciones invisibles que frenan el spam en formularios: los bots rellenan campos ocultos, envían demasiado rápido, repiten desde la misma IP y pegan enlaces.

Una forma rápida de decidir, superficie a superficie:

Errores habituales

• Cerrar los comentarios solo en las entradas nuevas. El ajuste de Comentarios no toca las entradas antiguas, y las entradas antiguas son el objetivo de los bots.
• Ocultar el formulario de comentarios y dejar abierto el endpoint. Los bots no necesitan tu formulario. Publican directamente en wp-comments-post.php.
• Tratar las valoraciones como comentarios. Cerrarlo todo para frenar el spam del blog puede eliminar también las valoraciones y las estrellas de los productos de una tienda.
• Dejar los pingbacks activados. Son un goteo constante de spam a cambio de casi nada.
• Borrar automáticamente todo lo sospechoso. Retén los comentarios dudosos; no los tires.

Sin plugin

Para cerrar los comentarios en todas partes a mano:

1. Ajustes → Comentarios: desmarca "Permitir notificaciones de enlaces desde otros blogs (pingbacks y trackbacks)" y "Permitir que se publiquen comentarios en las entradas nuevas".
2. Entradas → Todas las entradas: selecciónalas todas, elige Editar en Acciones en lote y pon Comentarios en "No permitir" y Pings en "No permitir".
3. Si quieres, cierra los comentarios en las entradas con más de cierto número de días, en Ajustes → Comentarios.

Después rechaza las publicaciones directas en el endpoint de comentarios, por ejemplo en un plugin de uso obligatorio (must-use):

<?php
add_filter( 'comments_open', '__return_false', 20 );
add_filter( 'pings_open', '__return_false', 20 );
add_action( 'pre_comment_on_post', function () {
    wp_die( 'Comments are closed.', 403 );
} );

Funciona, pero lo cierra todo, incluidas las valoraciones de productos si usas WooCommerce, y no elimina el menú Comentarios ni los endpoints REST de comentarios. Si quieres comentarios abiertos pero filtrados, vuelves a tener que añadir campos trampa y límites a mano, o a usar un servicio en la nube.

Si algo sale mal

• No aparecen comentarios reales. Mira primero en el registro (y, con Pro, en la cuarentena). Si estás en modo Bloquear, cambia a Supervisión unos días y revisa el registro.
• Han desaparecido las valoraciones de productos. Probablemente cerraste las valoraciones junto con los comentarios. Vuelve a poner Valoraciones de productos en "Protegido".
• El spam continúa después de cerrar los comentarios. Vacía la caché de página; las páginas en caché pueden seguir mostrando el formulario antiguo. Los bots que publican directamente se rechazan igualmente.

Con Hushfort

El Escudo antispam de Hushfort Security, el plugin de seguridad gratuito para WordPress, trata cada superficie por separado. Para los comentarios de las entradas y para las valoraciones de productos de WooCommerce eliges:

• Protegido: abierto, con los bots filtrados por un campo trampa, una comprobación del tiempo de cumplimentación y un token firmado (Pro añade un límite de enlaces y límites por IP);
• Desactivado: elimina el formulario de comentarios, la lista de comentarios, los endpoints REST y el menú Comentarios del área de administración, y rechaza a los bots que publican directamente en wp-comments-post.php;
• No tocar: Hushfort no interviene.

Los pingbacks y trackbacks se pueden desactivar en la misma pantalla, y un modo Supervisión te permite comprobarlo antes de que bloquee. Con Pro tienes además límites por IP y por correo electrónico, un límite de enlaces, listas de palabras y de bloqueo, y cuarentena con aprendizaje mediante "No es spam". No se envía nada a ningún servicio externo.