Hoe schakel ik reacties uit in WordPress, of hoe stop ik reactiespam?

Waarom het ertoe doet

Reactiespam doet meer dan je moderatiewachtrij vervuilen. Spamlinks die erdoor glippen, verwijzen vanaf jouw site naar plekken die je nooit zou aanraden. Reacties in afwachting stapelen zich op in de database. En in een webwinkel kunnen nepbeoordelingen naast echte staan, waardoor het hele beoordelingsgedeelte onbetrouwbaar oogt.

De stille waarheid is dat veel sites helemaal geen reacties nodig hebben. Een bedrijfssite, een portfolio of de blog van een webwinkel krijgt vaak meer spam dan gesprek. Reacties daar sluiten is geen opgeven; je haalt een deur weg die niemand gebruikt.

Waar reacties wel belangrijk zijn, werken dezelfde onzichtbare controles die formulierspam stoppen hier ook: bots vullen verborgen velden in, posten te snel, komen herhaaldelijk van hetzelfde IP en plakken links.

Een snelle manier om per onderdeel te beslissen:

Veelgemaakte fouten

• Reacties alleen voor nieuwe berichten sluiten. De instelling onder Discussie raakt oude berichten niet, en juist op oude berichten mikken bots.
• Het reactieformulier verbergen maar het endpoint openlaten. Bots hebben je formulier niet nodig. Ze posten rechtstreeks naar wp-comments-post.php.
• Beoordelingen behandelen als reacties. Alles sluiten om blogspam te stoppen, kan in een webwinkel ook productbeoordelingen en sterrenwaarderingen laten verdwijnen.
• Pingbacks aan laten staan. Ze leveren een constante stroom spam op voor vrijwel geen voordeel.
• Alles wat verdacht is automatisch verwijderen. Hou twijfelachtige reacties vast; gooi ze niet weg.

Zonder plugin

Zo sluit je reacties overal met de hand:

1. Instellingen → Discussie: vink "Sta link meldingen van andere blogs (pingbacks en trackbacks) op nieuwe berichten toe" en "Sta mensen toe reactie te geven op nieuwe berichten" uit.
2. Berichten → Alle berichten: selecteer alles, kies Bewerken bij Bulkacties en zet Reacties en Pings op "Niet toestaan".
3. Sluit eventueel reacties op berichten die ouder zijn dan een aantal dagen, onder Instellingen → Discussie.

Weiger daarna directe posts naar het reactie-endpoint, bijvoorbeeld in een must-use-plugin:

<?php
add_filter( 'comments_open', '__return_false', 20 );
add_filter( 'pings_open', '__return_false', 20 );
add_action( 'pre_comment_on_post', function () {
    wp_die( 'Comments are closed.', 403 );
} );

Dit werkt, maar het sluit alles, ook productbeoordelingen als je WooCommerce gebruikt, en het haalt het menu Reacties en de REST-endpoints voor reacties niet weg. Wil je reacties open maar gefilterd, dan zit je weer met het handmatig toevoegen van honeypots en limieten, of met een clouddienst.

Als er iets misgaat

• Echte reacties verschijnen niet. Kijk eerst in de log (en, met Pro, in de quarantaine). Sta je in de modus Blokkeren, schakel dan een paar dagen over naar Monitormodus en bekijk de log.
• Productbeoordelingen zijn verdwenen. Waarschijnlijk heb je beoordelingen samen met reacties gesloten. Zet Productbeoordelingen terug op "Beschermd".
• De spam gaat door nadat je reacties hebt gesloten. Leeg je paginacache; gecachte pagina's kunnen nog het oude formulier tonen. Bots die rechtstreeks posten, worden hoe dan ook geweigerd.

Met Hushfort

Het Spamschild van Hushfort Security, de gratis WordPress-beveiligingsplugin, behandelt elk onderdeel apart. Voor reacties bij berichten en voor WooCommerce-productbeoordelingen kies je:

• Beschermd: open, met bots eruit gefilterd door een honeypot, een invultijdcontrole en een ondertekend token (Pro voegt een linklimiet en limieten per IP toe);
• Uit: verwijdert het reactieformulier, de reactielijst, de REST-endpoints en het menu Reacties in het beheer, en weigert bots die rechtstreeks naar wp-comments-post.php posten;
• Niet aanraken: Hushfort blijft erbuiten.

Pingbacks en trackbacks kun je in hetzelfde scherm uitschakelen, en met de Monitormodus kun je controleren voordat er iets wordt geblokkeerd. Met Pro krijg je daarnaast limieten per IP en per e-mailadres, een linklimiet, woord- en blokkeerlijsten, en quarantaine die leert van "Geen spam". Er gaat niets naar een externe dienst.