WordPress'te iletişim formu spam'ini CAPTCHA kullanmadan nasıl engellerim?

Neden önemli

Form spam'i, öyle olmayana kadar çoğunlukla sadece can sıkıcıdır. Gerçek talepleri gömer, gelen kutuna göz gezdirmeye alıştırır ve formun otomatik yanıt gönderiyorsa posta sunucunun gönderim itibarını düşürebilir. Yoğun sitelerde sunucu zamanını da yer; çünkü her gönderim form eklentisinin tüm işlem sürecini çalıştırır.

Alışılmış çözüm olan CAPTCHA, maliyeti ziyaretçilerine yükler. Bulmaca çözerler, bazıları vazgeçer, gizlilik araçları kullananlar takılıp kalır. Çoğu CAPTCHA servisi ayrıca üçüncü taraf kod yükler ve ziyaretçi verilerini sunucunun dışına gönderir.

Daha sessiz bir yol var. Botlar, sessizce kontrol edebileceğin şekillerde insanlardan farklı davranır:

• Gizli alanları doldururlar. Gizli tuzak alan (honeypot), insanlardan gizlenen ama HTML'de görünen bir alandır. İnsan onu boş bırakır; bot doldurur.
• Hızlıdırlar. Bir insanın formu doldurması birkaç saniye sürer. Bir bota milisaniyeler yeter.
• Tekrar ederler. Saatte on mesaj gönderen tek bir IP ya da tek bir e-posta adresi müşteri değildir.
• Bağlantı yapıştırırlar. Yığınla bağlantı içeren bir mesaj nadiren gerçek bir taleptir.

Sık yapılan hatalar

• Karantinaya almak yerine engellemek. Bir kontrol emin değilse mesajı inceleme için tut. Gerçek bir müşterinin sorusunu silmek, bir spam okumaktan daha kötüdür.
• Doğrudan Engelle'ye geçmek. Birkaç gün yalnızca kaydeden bir modda başla. Engellemesine izin vermeden önce neyin engelleneceğine bak.
• Önbellekle bozulan belirteçler. Spam önleme belirtecin önbelleğe alınmış bir sayfanın parçasıysa tüm ziyaretçiler süresi dolmuş tek bir belirteci paylaşır. Belirtecini sayfa yüklenirken alan bir koruma kullan.
• Tek bir kontrol. Gizli tuzak alan tek başına basit botları durdurur. Bir doldurma süresi kontrolü ve sınırlar ekle.

Eklentisiz

Çoğu form eklentisinde bunun temel bir sürümü yerleşik olarak bulunur:

• Elementor Pro formları: alan listesinden bir "Honeypot" alanı ekle.
• Contact Form 7: bir eklenti aracılığıyla gizli tuzak alan ekle; verileri o servise göndermeyi kabul ediyorsan CF7 Akismet'i de destekler.
• WPForms: yerleşik bir spam önleme belirteci ve her formun ayarlarında isteğe bağlı bir gizli tuzak alan sunar.

Kontrol ettiğin herhangi bir forma elle basit bir gizli tuzak alan da ekleyebilirsin:

<div style="position:absolute;left:-9999px" aria-hidden="true">
  <label>Leave this empty <input type="text" name="website" tabindex="-1" autocomplete="off"></label>
</div>

<?php
if ( ! empty( $_POST['website'] ) ) {
    wp_die( 'Spam detected.', 403 );
}

Sınırları şunlar: her form eklentisi bunu farklı yapar, formlar arasında genellikle ortak bir hız sınırı yoktur, hataları yakalayacak bir karantina yoktur ve yorumlar ya da değerlendirmeler için hiçbir şey yoktur. Sonunda aynı fikri beş kez ayarlamış olursun.

Bir şeyler ters giderse

• Gerçek mesajlar gelmez oldu. Spam Kalkanı'nı deneme moduna al, bir test gönder ve hangi kontrolün onu yakaladığını görmek için kayda bak.
• Formlar yalnızca bazı ziyaretçilerde başarısız oluyor. Korumayı açtıktan sonra sayfa önbelleğini bir kez temizle.
• Spam hâlâ geçiyor. Bağlantı sınırını düşür, yasak listeye kelime ya da alan adı ekle veya yalnızca bilinen e-posta sağlayıcılarını kabul etmesi gereken formlar için sıkı modu aç.

Hushfort ile

Ücretsiz WordPress güvenlik eklentisi Hushfort Security'nin Spam Kalkanı yorumları ve WooCommerce değerlendirmelerini korur. Form eklentileri için Hushfort Pro gerekir; Pro aynı ekrana altı popüler form eklentisini (Elementor Pro, Contact Form 7, WPForms, Gravity Forms, Fluent Forms, Forminator) ekler.

• Görünmez tuzak alan, en kısa doldurma süresi ve sayfa önbelleğinden etkilenmeyen imzalı belirteçler. Belirteç, çerez kullanmayan, yaklaşık 2 KB'lık minik bir betikten gelir.
• Pro: varsayılan olarak IP başına (saatte 5) ve e-posta başına (saatte 3) sınırlar; 2'den fazla bağlantı içeren mesajlar karantinaya gider.
• Pro: yaklaşık 9.900 tek kullanımlık e-posta alan adından oluşan bir liste, kendi yasak listelerin ve kelime filtreleri.
• Pro: "Spam değil" ile öğrenen karantina.
• Bir deneme modu var; engellemeden önce neyi engelleyeceğini görebilirsin.

CAPTCHA yok, harici API yok ve hiçbir form verisi sunucundan çıkmaz.