Come disabilito i commenti in WordPress, o come blocco i commenti spam?

Perché è importante

Per i commenti spam in WordPress ci sono due strade: disabilitare i commenti ovunque, oppure lasciarli aperti con filtri invisibili. Lo spam nei commenti non si limita a intasare la coda di moderazione. I link spam che passano collegano il tuo sito a posti che non consiglieresti mai. I commenti in attesa si accumulano nel database. E in un negozio, le recensioni false possono finire accanto a quelle vere e rendere inaffidabile l'intera sezione recensioni.

La verità, detta piano, è che molti siti non hanno affatto bisogno dei commenti. Un sito aziendale, un portfolio o il blog di un negozio spesso ricevono più spam che conversazioni. Chiudere i commenti lì non è una resa: è togliere una porta che nessuno usa.

Dove i commenti contano davvero, funzionano anche qui gli stessi controlli invisibili che fermano lo spam nei moduli: i bot compilano i campi nascosti, inviano troppo in fretta, si ripetono dallo stesso IP e incollano link.

Un modo rapido per decidere, superficie per superficie:

Errori comuni

• Chiudere i commenti solo per i nuovi articoli. L'impostazione in Discussione non tocca gli articoli vecchi, ed è proprio lì che puntano i bot.
• Nascondere il modulo dei commenti ma lasciare aperto l'endpoint. Ai bot il tuo modulo non serve. Inviano direttamente a wp-comments-post.php.
• Trattare le recensioni come commenti. Chiudere tutto per fermare lo spam del blog può rimuovere anche le recensioni dei prodotti e le valutazioni a stelle di un negozio.
• Lasciare attivi i pingback. Sono un flusso costante di spam per un beneficio quasi nullo.
• Eliminare automaticamente tutto ciò che è sospetto. Trattieni i commenti dubbi; non cestinarli.

Senza plugin

Per chiudere a mano i commenti ovunque:

1. Impostazioni → Discussione: togli la spunta a "Permetti le notifiche di link da altri blog (pingback e trackback)" e a "Permetti che si possano inviare commenti ai nuovi articoli".
2. Articoli → Tutti gli articoli: seleziona tutto, scegli Modifica in Azioni di gruppo, imposta Commenti su "Non permettere" e Ping su "Non permettere".
3. Facoltativamente, chiudi i commenti sugli articoli più vecchi di un certo numero di giorni, in Impostazioni → Discussione.

Poi rifiuta gli invii diretti all'endpoint dei commenti, per esempio con un plugin must-use:

<?php
add_filter( 'comments_open', '__return_false', 20 );
add_filter( 'pings_open', '__return_false', 20 );
add_action( 'pre_comment_on_post', function () {
    wp_die( 'Comments are closed.', 403 );
} );

Funziona, ma chiude tutto, comprese le recensioni dei prodotti se usi WooCommerce, e non rimuove il menu Commenti né gli endpoint REST dei commenti. Se vuoi i commenti aperti ma filtrati, torni ad aggiungere a mano honeypot e limiti, o a usare un servizio cloud.

Se qualcosa va storto

• I commenti veri non compaiono. Guarda prima nel registro (e, con Pro, nella quarantena). Se sei in modalità Blocca, passa a Monitoraggio per qualche giorno e controlla il registro.
• Le recensioni dei prodotti sono sparite. Probabilmente hai chiuso le recensioni insieme ai commenti. Reimposta Recensioni dei prodotti su "Protetto".
• Lo spam continua dopo aver chiuso i commenti. Svuota la cache delle pagine; le pagine in cache potrebbero mostrare ancora il vecchio modulo. I bot che inviano direttamente vengono rifiutati in ogni caso.

Con Hushfort

Hushfort Security è un plugin di sicurezza gratuito per WordPress; Hushfort Pro è il componente aggiuntivo a pagamento che si installa sopra.

Lo Scudo antispam di Hushfort tratta ogni superficie separatamente. Per i commenti agli articoli e per le recensioni dei prodotti WooCommerce scegli tu:

• Protetto: aperto, con i bot filtrati da honeypot, controllo del tempo di compilazione e token firmato (Pro aggiunge un limite di link e limiti per IP);
• Disattivato: rimuove il modulo dei commenti, l'elenco dei commenti, gli endpoint REST e il menu Commenti nell'amministrazione, e rifiuta i bot che inviano direttamente a wp-comments-post.php;
• Non toccare: Hushfort non interviene.

Pingback e trackback si possono disattivare nella stessa schermata, e una modalità Monitoraggio ti permette di controllare prima che blocchi. Con Pro hai anche limiti per IP e per email, un limite di link, liste di parole e di blocco, e la quarantena con apprendimento tramite "Non è spam". Nulla viene inviato a servizi esterni.