Como desativar os comentários no WordPress ou acabar com o spam nos comentários?

Por que isso importa

O spam nos comentários faz mais do que entulhar sua fila de moderação. Os links de spam que escapam apontam do seu site para lugares que você jamais recomendaria. Os comentários pendentes se acumulam no banco de dados. E, em uma loja, avaliações de produtos falsas podem ficar ao lado das reais e fazer toda a seção de avaliações parecer pouco confiável.

A verdade silenciosa é que muitos sites nem precisam de comentários. Um site institucional, um portfólio ou o blog de uma loja muitas vezes recebem mais spam do que conversa. Fechar os comentários nesses casos não é desistir; é remover uma porta que ninguém usa.

Onde os comentários importam, as mesmas verificações invisíveis que barram o spam em formulários funcionam aqui também: os bots preenchem campos ocultos, enviam rápido demais, se repetem a partir do mesmo IP e colam links.

Um jeito rápido de decidir, por superfície:

Erros comuns

• Fechar os comentários só para os novos posts. A configuração de Discussão não mexe nos posts antigos, e é neles que os bots miram.
• Esconder o formulário de comentários, mas deixar o endpoint aberto. Os bots não precisam do seu formulário. Eles enviam direto para o wp-comments-post.php.
• Tratar avaliações como comentários. Fechar tudo para acabar com o spam do blog também pode remover as avaliações de produtos e as estrelas de classificação de uma loja.
• Deixar os pingbacks ligados. Eles são um fluxo constante de spam, quase sem benefício.
• Excluir automaticamente tudo o que for suspeito. Retenha os comentários duvidosos; não os jogue no lixo.

Sem plugin

Para fechar os comentários em todo lugar na mão:

1. Configurações → Discussão: desmarque "Permitir avisos de links de outros blogs (pingbacks ou trackbacks) em novos posts" e "Permitir que pessoas enviem comentários em novos posts".
2. Posts → Todos os posts: selecione todos, escolha Editar em Ações em massa e defina Comentários como "Não permitir" e Pings como "Não permitir".
3. Opcionalmente, feche os comentários em posts com mais de certo número de dias, em Configurações → Discussão.

Depois, rejeite os envios diretos para o endpoint de comentários, por exemplo em um plugin obrigatório (must-use):

<?php
add_filter( 'comments_open', '__return_false', 20 );
add_filter( 'pings_open', '__return_false', 20 );
add_action( 'pre_comment_on_post', function () {
    wp_die( 'Comments are closed.', 403 );
} );

Funciona, mas fecha tudo, inclusive as avaliações de produtos se você usa o WooCommerce, e não remove o menu Comentários nem os endpoints REST de comentários. Se você quer os comentários abertos, mas filtrados, volta à estaca zero: adicionar honeypots e limites na mão ou usar um serviço em nuvem.

Se algo der errado

• Comentários reais não estão aparecendo. Olhe primeiro o registro (e, com o Pro, a quarentena). Se você está no modo Bloquear, mude para Monitorar por alguns dias e confira o registro.
• As avaliações de produtos sumiram. Você provavelmente fechou as avaliações junto com os comentários. Volte as Avaliações de produtos para "Protegido".
• O spam continua depois de fechar os comentários. Limpe o cache de página; as páginas em cache ainda podem mostrar o formulário antigo. Os bots que enviam direto são rejeitados de qualquer forma.

Com o Hushfort

O Escudo Antispam do Hushfort Security, o plugin de segurança gratuito para WordPress, trata cada superfície separadamente. Para os comentários de posts e para as avaliações de produtos do WooCommerce, você escolhe:

• Protegido: aberto, com os bots filtrados por um honeypot, verificação do tempo de preenchimento e token assinado (o Pro acrescenta limite de links e limites por IP);
• Desativado: remove o formulário de comentários, a lista de comentários, os endpoints REST e o menu Comentários do painel, e rejeita os bots que enviam direto para o wp-comments-post.php;
• Não mexer: o Hushfort fica de fora.

Pingbacks e trackbacks podem ser desligados na mesma tela, e há um modo Monitorar para você conferir antes que ele bloqueie. Com o Pro, você também tem limites por IP e por e-mail, limite de links, listas de palavras e de bloqueio, e quarentena com aprendizado "Não é spam". Nada é enviado a serviços externos.