Comment désactiver les commentaires sur WordPress, ou stopper le spam dans les commentaires ?

Pourquoi c’est important

Le spam dans les commentaires ne se contente pas d’encombrer votre file de modération. Les liens de spam qui passent entre les mailles pointent depuis votre site vers des endroits que vous ne recommanderiez jamais. Les commentaires en attente s’accumulent dans la base de données. Et sur une boutique, de faux avis produits peuvent côtoyer les vrais et rendre toute la section des avis peu digne de confiance.

La vérité, c’est que beaucoup de sites n’ont pas du tout besoin de commentaires. Un site d’entreprise, un portfolio ou le blog d’une boutique reçoivent souvent plus de spam que de conversations. Y fermer les commentaires n’est pas un renoncement ; c’est supprimer une porte que personne n’utilise.

Là où les commentaires comptent, les mêmes contrôles invisibles qui stoppent le spam des formulaires fonctionnent aussi : les robots remplissent les champs cachés, envoient trop vite, reviennent depuis la même IP et collent des liens.

Une façon rapide de décider, surface par surface :

Erreurs courantes

• Fermer les commentaires uniquement pour les nouveaux articles. Le réglage de la page Commentaires ne touche pas les anciens articles, et ce sont justement eux que visent les robots.
• Masquer le formulaire de commentaire en laissant le point d’accès ouvert. Les robots n’ont pas besoin de votre formulaire. Ils envoient directement vers wp-comments-post.php.
• Traiter les avis comme des commentaires. Tout fermer pour stopper le spam du blog peut aussi supprimer les avis produits et les notes en étoiles d’une boutique.
• Laisser les pingbacks activés. Ils apportent un filet continu de spam pour un bénéfice quasi nul.
• Supprimer automatiquement tout ce qui est suspect. Retenez les commentaires douteux ; ne les jetez pas.

Sans extension

Pour fermer les commentaires partout à la main :

1. Réglages → Commentaires : décochez « Autoriser les notifications de liens provenant des autres blogs (pings et rétroliens) » et « Autoriser les commentaires sur les nouvelles publications ».
2. Articles → Tous les articles : sélectionnez tout, choisissez Modifier dans les actions groupées, réglez Commentaires sur « Ne pas autoriser » et Pings sur « Ne pas autoriser ».
3. Éventuellement, fermez les commentaires des articles plus anciens qu’un certain nombre de jours, dans Réglages → Commentaires.

Rejetez ensuite les envois directs vers le point d’accès des commentaires, par exemple dans une extension indispensable (must-use) :

<?php
add_filter( 'comments_open', '__return_false', 20 );
add_filter( 'pings_open', '__return_false', 20 );
add_action( 'pre_comment_on_post', function () {
    wp_die( 'Comments are closed.', 403 );
} );

Cela fonctionne, mais tout est fermé, y compris les avis produits si vous utilisez WooCommerce, et cela ne supprime ni le menu Commentaires ni les points d’accès REST des commentaires. Si vous voulez des commentaires ouverts mais filtrés, vous voilà revenu à l’ajout manuel de champs pièges et de limites, ou à un service dans le cloud.

En cas de problème

• De vrais commentaires n’apparaissent pas. Regardez d’abord dans le journal (et, avec Pro, dans la quarantaine). Si vous êtes en mode Bloquer, passez en mode Surveillance pendant quelques jours et consultez le journal.
• Les avis produits ont disparu. Vous avez probablement fermé les avis en même temps que les commentaires. Remettez Avis produits sur « Protégé ».
• Le spam continue après la fermeture des commentaires. Videz votre cache de page ; les pages en cache affichent peut-être encore l’ancien formulaire. Les robots qui envoient directement sont rejetés dans tous les cas.

Avec Hushfort

Hushfort Security, l’extension de sécurité WordPress gratuite, inclut le Bouclier anti-spam de base ; Hushfort Pro ajoute le reste. Le Bouclier anti-spam de Hushfort traite chaque surface séparément. Pour les commentaires des articles comme pour les avis produits WooCommerce, vous choisissez :

• Protégé : ouvert, avec les robots filtrés par un champ piège, un contrôle du temps de remplissage et un jeton signé (Pro ajoute une limite de liens et des limites par IP) ;
• Désactivé : supprime le formulaire de commentaire, la liste des commentaires, les points d’accès REST et le menu Commentaires de l’administration, et rejette les robots qui envoient directement vers wp-comments-post.php ;
• Ne pas toucher : Hushfort n’intervient pas.

Les pingbacks et trackbacks peuvent être désactivés depuis le même écran, et un mode Surveillance vous permet de vérifier avant tout blocage. Avec Pro, vous avez aussi des limites par IP et par e-mail, une limite de liens, des listes de mots et de blocage, et une quarantaine avec apprentissage « Pas un spam ». Rien n’est envoyé à un service externe.