Come blocco le registrazioni spam e gli utenti falsi in WordPress?

Perché è importante

Per bloccare le registrazioni spam in WordPress e WooCommerce servono limiti per IP e per ora, non un CAPTCHA sul checkout. Qualche account falso è innocuo. Un'ondata no. Abbiamo creato questo livello dopo che un sito ha ricevuto circa 10.000 richieste di registrazione in una sola ora e si è ritrovato con decine di migliaia di account falsi. Su un altro sito, le email di benvenuto inviate agli account falsi hanno esaurito la quota di posta, e le email degli ordini veri hanno smesso di partire.

Le registrazioni false hanno anche costi meno visibili: una tabella utenti gonfia, schermate di amministrazione più lente, elenchi clienti e report email inquinati, e una reputazione del server di posta che cala ogni volta che un'email di benvenuto rimbalza su un indirizzo inesistente.

Errori comuni

• Lasciare la registrazione aperta per sbaglio. "Chiunque può registrarsi" a volte viene attivato durante la configurazione e poi dimenticato.
• Un ruolo predefinito troppo potente. I nuovi utenti dovrebbero essere Sottoscrittore o Cliente, mai Autore o superiore.
• Solo limiti per IP. Le ondate arrivano spesso da molti indirizzi della stessa rete. Limita anche per rete.
• Chiudere la registrazione quando arriva un'ondata. Così chiudi fuori i clienti veri, ed è proprio ciò che vuole un attaccante. Mettere i nuovi account in attesa tiene la porta aperta mentre l'ondata passa.
• Bloccare al checkout. Un negozio non dovrebbe mai perdere un ordine per colpa di un filtro antispam.
• Eliminare senza backup. L'eliminazione in blocco è definitiva. Prima guarda l'anteprima e tieni una copia.

Senza plugin

1. Disattiva la registrazione se non ti serve: Impostazioni → Generali → togli la spunta a "Chiunque può registrarsi". Per WooCommerce, in WooCommerce → Impostazioni → Account e privacy, togli la spunta alla creazione dell'account nella pagina Il mio account.
2. Tieni basso il ruolo predefinito: Impostazioni → Generali → Ruolo predefinito nuovi utenti → Sottoscrittore.
3. Aggiungi un honeypot al modulo di WordPress con due piccoli hook:

<?php
add_action( 'register_form', function () {
    echo '<p style="position:absolute;left:-9999px" aria-hidden="true">'
       . '<input type="text" name="hp_company" tabindex="-1" autocomplete="off"></p>';
} );
add_filter( 'registration_errors', function ( $errors ) {
    if ( ! empty( $_POST['hp_company'] ) ) {
        $errors->add( 'spam', 'Registration failed.' );
    }
    return $errors;
} );

Questo copre solo il modulo base di WordPress, non WooCommerce né altri moduli di registrazione, e non ha limiti di frequenza, tetto o pulizia. Durante un'ondata in corso, questi passaggi aiutano ma non la fermano.

Se qualcosa va storto

• I clienti veri non riescono a registrarsi. Controlla il registro in modalità Monitoraggio e verifica se la rete del tuo ufficio o di un evento sta raggiungendo il limite per rete. Alzalo o aggiungi l'IP alla lista consentiti.
• Gli account in attesa si sono accumulati. Vengono eliminati automaticamente dopo 7 giorni. Approva quelli veri prima di allora.
• Un cliente non ha ricevuto l'email di benvenuto. Se il tetto è scattato, gli account trattenuti non ricevono email finché non vengono approvati. È voluto.

Con Hushfort

La Protezione registrazioni fa parte di Hushfort Pro, il componente aggiuntivo a pagamento che si installa sopra Hushfort Security, il plugin di sicurezza gratuito per WordPress.

La Protezione registrazioni di Hushfort copre la registrazione di WordPress e WooCommerce, oltre ad altri moduli di registrazione:

• Per impostazione predefinita, 3 registrazioni all'ora per IP (IPv6 /64) e 10 all'ora per rete (/24, IPv6 /48).
• Un tetto di 50 all'ora per l'intero sito, con un interruttore automatico che resta aperto per 60 minuti. Per impostazione predefinita mette i nuovi account in attesa, senza email; in alternativa puoi scegliere di chiudere la registrazione.
• Blocco delle email usa e getta e rilevamento delle varianti Gmail (punti, +tag, googlemail).
• Honeypot invisibili sulla registrazione di WordPress e WooCommerce.
• Rallentamento delle email di benvenuto, così le registrazioni false non bruciano la tua quota di posta.
• Una procedura di pulizia con anteprima e un backup ripristinabile per 30 giorni.
• Gli account in attesa vengono rimossi automaticamente dopo 7 giorni.

Il checkout non viene mai bloccato. Puoi usarla prima in modalità Monitoraggio, così vedi l'effetto prima che intervenga.