Jak wyłączyć komentarze w WordPressie lub zatrzymać spam w komentarzach?

Dlaczego to ważne

Spam w komentarzach to coś więcej niż bałagan w kolejce moderacji. Linki, które się prześlizgną, prowadzą z Twojej witryny w miejsca, których nigdy byś nie polecił. Oczekujące komentarze zalegają w bazie danych. A w sklepie fałszywe opinie mogą stać obok prawdziwych i sprawić, że cała sekcja opinii wygląda niewiarygodnie.

Mało kto o tym mówi, ale wiele witryn w ogóle nie potrzebuje komentarzy. Witryna firmowa, portfolio czy blog sklepu często dostaje więcej spamu niż rozmów. Zamknięcie tam komentarzy to nie kapitulacja, tylko usunięcie drzwi, z których nikt nie korzysta.

Tam, gdzie komentarze są ważne, działają te same niewidoczne testy, które zatrzymują spam w formularzach: boty wypełniają ukryte pola, wysyłają za szybko, powtarzają się z tego samego IP i wklejają linki.

Szybka ściągawka dla każdego miejsca:

Typowe błędy

• Zamykanie komentarzy tylko dla nowych wpisów. Ustawienie w Dyskusji nie dotyczy starych wpisów, a to właśnie w nie celują boty.
• Ukrycie formularza komentarzy przy otwartym endpoincie. Boty nie potrzebują Twojego formularza. Wysyłają dane prosto do wp-comments-post.php.
• Traktowanie opinii jak komentarzy. Zamknięcie wszystkiego, żeby zatrzymać spam na blogu, może też usunąć ze sklepu opinie o produktach i oceny w gwiazdkach.
• Pozostawienie włączonych pingbacków. To stały strumień spamu przy niemal zerowych korzyściach.
• Automatyczne usuwanie wszystkiego, co podejrzane. Wątpliwe komentarze wstrzymuj, nie wyrzucaj.

Bez wtyczki

Aby ręcznie zamknąć komentarze wszędzie:

1. Ustawienia → Dyskusja: odznacz „Zezwól innym blogom na powiadamianie o zamieszczeniu odnośnika (pingbacki i trackbacki) do nowo dodanych wpisów” oraz „Zezwól na komentowanie nowych wpisów”.
2. Wpisy → Wszystkie wpisy: zaznacz wszystkie, w Działaniach masowych wybierz Edytuj, ustaw Komentarze na „Nie zezwalaj” i Pingi na „Nie zezwalaj”.
3. Opcjonalnie w Ustawienia → Dyskusja włącz „Automatycznie zamknij komentowanie starych wpisów” i podaj liczbę dni.

Następnie odrzucaj bezpośrednie wysyłki do endpointu komentarzy, np. we wtyczce obowiązkowej (must-use):

<?php
add_filter( 'comments_open', '__return_false', 20 );
add_filter( 'pings_open', '__return_false', 20 );
add_action( 'pre_comment_on_post', function () {
    wp_die( 'Comments are closed.', 403 );
} );

To działa, ale zamyka wszystko, łącznie z opiniami o produktach, jeśli używasz WooCommerce, i nie usuwa menu Komentarze ani endpointów REST komentarzy. Jeśli chcesz mieć komentarze otwarte, ale filtrowane, wracasz do ręcznego dodawania pól-pułapek i limitów albo do usługi w chmurze.

Jeśli coś pójdzie nie tak

• Prawdziwe komentarze się nie pojawiają. Najpierw zajrzyj do dziennika (a w Pro także do kwarantanny). Jeśli działasz w trybie Blokuj, przełącz się na kilka dni na tryb monitorowania i sprawdź dziennik.
• Zniknęły opinie o produktach. Prawdopodobnie zamknąłeś opinie razem z komentarzami. Ustaw Opinie o produktach z powrotem na „Chronione”.
• Spam nie ustaje po zamknięciu komentarzy. Wyczyść pamięć podręczną stron; strony z pamięci podręcznej mogą wciąż pokazywać stary formularz. Boty wysyłające dane bezpośrednio i tak są odrzucane.

Z Hushfort

Tarcza antyspamowa jest częścią Hushfort Security, darmowej wtyczki bezpieczeństwa WordPress; limit linków, limity na IP i kwarantanna wymagają Hushfort Pro.

Tarcza antyspamowa Hushfort traktuje każde miejsce osobno. Dla komentarzy do wpisów i dla opinii o produktach WooCommerce wybierasz:

• Chronione: otwarte, a boty są odfiltrowywane przez pole-pułapkę, test czasu wypełniania i podpisany token (Pro dodaje limit linków i limity na IP);
• Wyłączone: usuwa formularz komentarzy, listę komentarzy, endpointy REST i menu Komentarze w panelu oraz odrzuca boty wysyłające dane bezpośrednio do wp-comments-post.php;
• Nie ruszaj: Hushfort się nie wtrąca.

Pingbacki i trackbacki wyłączysz na tym samym ekranie, a tryb monitorowania pozwala sprawdzić działanie, zanim tarcza zacznie blokować. W Pro dostajesz też limity na IP i na e-mail, limit linków, listy słów i listy blokowanych oraz kwarantannę z uczeniem się przez „To nie spam”. Nic nie jest wysyłane do zewnętrznych usług.