Как защитить форму обратной связи в WordPress от спама без капчи?

Почему это важно

Защитить форму обратной связи в WordPress от спама можно без капчи: невидимое поле-ловушка (honeypot), минимальное время заполнения, токен, который переживает кэширование страниц, и лимиты на IP и email отсекают ботов, не мешая людям. Сомнительные сообщения лучше отправлять в карантин, а не удалять.

Спам в формах — в основном просто досадная помеха, пока не становится чем-то большим. Он хоронит настоящие обращения, приучает вас пробегать почту глазами и может испортить репутацию вашего почтового сервера, если форма отправляет автоответы. На нагруженных сайтах он ещё и отнимает ресурсы сервера, ведь каждая отправка проходит полную обработку в плагине форм.

Обычное решение — CAPTCHA — перекладывает издержки на посетителей. Они решают головоломки, кто-то сдаётся, а те, кто пользуется инструментами защиты приватности, застревают. Большинство сервисов CAPTCHA к тому же загружают сторонний код и отправляют данные посетителей за пределы вашего сервера.

Есть способ потише. Боты ведут себя не так, как люди, и это можно незаметно проверить:

• Они заполняют скрытые поля. Honeypot — это поле, скрытое от людей, но видимое в HTML. Человек оставляет его пустым, бот — заполняет.
• Они быстрые. Человеку на заполнение формы нужно несколько секунд, боту — миллисекунды.
• Они повторяются. Один IP или один email-адрес, с которого приходит десять сообщений в час, — не клиент.
• Они вставляют ссылки. Сообщение с кучей ссылок редко бывает настоящим обращением.

Частые ошибки

• Блокировать вместо карантина. Если проверка не уверена, сохраняйте сообщение для проверки. Удалить вопрос реального клиента хуже, чем прочитать один спам.
• Сразу переходить к блокировке. Начните с режима «только записывать» на несколько дней. Проверьте, что было бы заблокировано, прежде чем разрешать блокировку.
• Токены, которые ломаются из-за кэширования. Если антиспам-токен — часть кэшированной страницы, все посетители делят один просроченный токен. Используйте защиту, которая получает токен при загрузке страницы.
• Только одна проверка. Одно поле-ловушка останавливает лишь простых ботов. Добавьте проверку времени заполнения и лимиты.

Без плагина

В большинстве плагинов форм уже есть базовая версия такой защиты:

• Формы Elementor Pro: добавьте поле «Honeypot» из списка полей.
• Contact Form 7: honeypot добавляется через дополнение; CF7 также поддерживает Akismet, если вы согласны отправлять данные этому сервису.
• WPForms: есть встроенный антиспам-токен и необязательный honeypot в настройках каждой формы.

В любую форму, которую вы контролируете, можно вручную добавить простое поле-ловушку:

<div style="position:absolute;left:-9999px" aria-hidden="true">
  <label>Leave this empty <input type="text" name="website" tabindex="-1" autocomplete="off"></label>
</div>

<?php
if ( ! empty( $_POST['website'] ) ) {
    wp_die( 'Spam detected.', 403 );
}

Ограничения: каждый плагин форм делает это по-своему, общего лимита частоты для всех форм обычно нет, нет карантина для исправления ошибок и ничего нет для комментариев и отзывов. В итоге вы настраиваете одну и ту же идею пять раз.

Если что-то пошло не так

• Перестали приходить настоящие сообщения. Переключите «Защиту от спама» в режим наблюдения, отправьте тестовое сообщение и посмотрите в журнале, какая проверка его поймала.
• Формы не работают только у части посетителей. После включения защиты один раз очистите кэш страниц.
• Спам всё равно проходит. Уменьшите лимит ссылок, добавьте слова или домены в чёрный список или включите строгий режим для форм, которые должны принимать только известные почтовые сервисы.

С Hushfort

«Защита от спама» в Hushfort Security — бесплатном плагине безопасности для WordPress — защищает комментарии и отзывы WooCommerce в бесплатном плагине. Для плагинов форм нужен Hushfort Pro: он добавляет на тот же экран шесть популярных (Elementor Pro, Contact Form 7, WPForms, Gravity Forms, Fluent Forms, Forminator).

• Невидимое поле-ловушка, минимальное время заполнения и подписанные токены, которые переживают кэширование страниц. Токен выдаёт крошечный скрипт размером около 2 КБ без cookie.
• Pro: по умолчанию лимиты на IP (5 в час) и на email (3 в час); сообщения, в которых больше 2 ссылок, попадают в карантин.
• Pro: список примерно из 9 900 доменов одноразовой почты, ваши собственные чёрные списки и фильтры слов.
• Pro: карантин с обучением по кнопке «Не спам».
• Есть режим наблюдения: вы видите, что модуль заблокировал бы, ещё до того, как он начнёт блокировать.

Никакой CAPTCHA, никаких внешних API, и данные форм никогда не покидают ваш сервер.