Bagaimana cara mencegah spam registrasi (pendaftaran pengguna palsu) di WordPress?

Cara mencegah spam registrasi di WordPress: matikan pendaftaran jika tidak dibutuhkan. Jika dibutuhkan, batasi pendaftaran per IP setiap jam, pasang batas seluruh situs yang menahan akun baru untuk ditinjau, blokir email sekali pakai, dan tambahkan honeypot tak terlihat. Di WooCommerce, jangan pernah memblokir checkout. Perlindungan Pendaftaran ada di Hushfort Pro, add- on berbayar untuk Hushfort Security, plugin keamanan WordPress gratis.

Mengapa ini penting

Beberapa akun palsu tidak berbahaya. Banjir akun palsu lain cerita. Kami membangun lapisan ini setelah satu situs menerima sekitar 10.000 permintaan pendaftaran dalam satu jam dan akhirnya dipenuhi puluhan ribu akun palsu. Di situs lain, email sambutan yang dikirim ke akun palsu menghabiskan kuota email, sehingga email pesanan yang asli berhenti terkirim.

Pendaftaran palsu juga merugikan dengan cara yang lebih diam-diam: tabel pengguna yang membengkak, layar admin yang makin lambat, daftar pelanggan dan laporan email yang tercemar, serta reputasi server email yang turun setiap kali email sambutan terpental dari alamat yang tidak ada.

Kesalahan umum

• Membiarkan pendaftaran terbuka tanpa sengaja. "Setiap orang dapat mendaftar" kadang diaktifkan saat penyiapan lalu terlupakan.
• Peran bawaan yang terlalu kuat. Pengguna baru seharusnya Pelanggan (Subscriber) atau Customer, jangan pernah Penulis atau di atasnya.
• Hanya membatasi per IP. Banjir pendaftaran sering datang dari banyak alamat dalam jaringan yang sama. Batasi per jaringan juga.
• Menutup pendaftaran saat banjir datang. Itu justru mengunci pelanggan asli di luar, persis seperti yang diinginkan penyerang. Menahan akun baru sebagai tertunda membuat pintu tetap terbuka selama banjir berlalu.
• Memblokir di checkout. Toko tidak boleh kehilangan pesanan gara-gara filter spam.
• Menghapus tanpa cadangan. Penghapusan massal bersifat permanen. Lihat pratinjaunya dulu dan simpan salinannya.

Tanpa plugin

1. Matikan pendaftaran jika Anda tidak membutuhkannya: Pengaturan → Umum → hapus centang "Setiap orang dapat mendaftar". Untuk WooCommerce, di WooCommerce → Pengaturan → Akun & Privasi, hapus centang pembuatan akun di halaman Akun Saya.
2. Jaga peran bawaan tetap rendah: Pengaturan → Umum → Peran Pengguna Baru Standar → Pelanggan.
3. Tambahkan honeypot ke formulir WordPress dengan dua hook kecil:

<?php
add_action( 'register_form', function () {
    echo '<p style="position:absolute;left:-9999px" aria-hidden="true">'
       . '<input type="text" name="hp_company" tabindex="-1" autocomplete="off"></p>';
} );
add_filter( 'registration_errors', function ( $errors ) {
    if ( ! empty( $_POST['hp_company'] ) ) {
        $errors->add( 'spam', 'Registration failed.' );
    }
    return $errors;
} );

Cara ini hanya mencakup formulir bawaan WordPress, bukan WooCommerce atau formulir pendaftaran lain, dan tidak punya batas laju, batas seluruh situs, maupun pembersihan. Saat banjir pendaftaran sedang berlangsung, langkah-langkah ini membantu tetapi tidak akan menghentikannya.

Jika terjadi masalah

• Pelanggan asli tidak bisa mendaftar. Periksa log dalam mode Pantau, dan lihat apakah jaringan kantor atau acara Anda mencapai batas per jaringan. Naikkan batasnya atau masukkan IP tersebut ke daftar izin.
• Akun tertunda menumpuk. Akun itu dibersihkan otomatis setelah 7 hari. Setujui yang asli sebelum itu.
• Pelanggan tidak menerima email sambutan. Jika batas seluruh situs terlampaui, akun yang ditahan tidak menerima email sampai disetujui. Itu memang disengaja.

Dengan Hushfort

Perlindungan Pendaftaran adalah bagian dari Hushfort Pro, add-on yang dipasang di atas plugin gratis.

Perlindungan Pendaftaran dari Hushfort mencakup pendaftaran WordPress dan WooCommerce, ditambah formulir pendaftaran lain:

• Secara bawaan, 3 pendaftaran per jam per IP (IPv6 /64) dan 10 per jam per jaringan (/24, IPv6 /48).
• Batas seluruh situs 50 per jam dengan pemutus sirkuit yang tetap aktif selama 60 menit. Secara bawaan, pemutus ini menahan akun baru sebagai tertunda tanpa email; Anda bisa memilih untuk menutup pendaftaran sebagai gantinya.
• Pemblokiran email sekali pakai dan deteksi variasi Gmail (titik, +tag, googlemail).
• Honeypot tak terlihat di pendaftaran WordPress dan WooCommerce.
• Pembatasan email sambutan, agar pendaftaran palsu tidak menghabiskan kuota email Anda.
• Wizard pembersihan dengan pratinjau dan cadangan yang dapat dipulihkan selama 30 hari.
• Akun tertunda dihapus otomatis setelah 7 hari.

Checkout tidak pernah diblokir. Anda bisa menjalankannya dalam mode Pantau terlebih dahulu, sehingga Anda melihat dampaknya sebelum modul ini bertindak.