Protezione Spam in WPForms: reCAPTCHA, hCaptcha e Honeypot
Lo spam nei moduli di contatto è uno dei problemi più fastidiosi per chi gestisce un sito WordPress. Ogni giorno, bot automatizzati scansionano il web alla ricerca di form da bombardare con messaggi pubblicitari, link malevoli e contenuti indesiderati. Oltre a intasare la tua casella email, lo spam può sovraccaricare il server e compromettere l’affidabilità dei dati raccolti. WPForms offre diverse soluzioni anti-spam che possono essere combinate per creare una difesa stratificata contro i bot. In questa guida analizzeremo tutte le opzioni disponibili e come configurarle al meglio.
Il Problema dello Spam nei Form WordPress
Per comprendere come proteggersi efficacemente, è utile capire come funziona lo spam nei moduli web. Esistono fondamentalmente due tipi di spam:
Spam automatizzato (bot): è il tipo più comune e rappresenta oltre il 90% dello spam. I bot sono programmi automatici che visitano migliaia di siti al giorno, individuano i moduli e li compilano automaticamente con contenuti predefiniti. Questi bot sono spesso piuttosto semplici: cercano campi con nomi come name, email, message e li riempiono con testo generico o link a siti fraudolenti.
Spam manuale: è meno comune ma più difficile da bloccare. Persone reali (o operatori di content farm) compilano manualmente i moduli con messaggi promozionali o link. Essendo compilati da esseri umani, superano facilmente la maggior parte delle protezioni anti-bot.
WPForms offre strumenti efficaci contro entrambi i tipi di spam, con un approccio a più livelli che ti permette di scegliere il giusto equilibrio tra sicurezza e usabilità.
Protezione Honeypot Integrata
La protezione honeypot è la prima linea di difesa di WPForms ed è attiva per impostazione predefinita su tutti i moduli. Non richiede alcuna configurazione aggiuntiva e, cosa più importante, è completamente invisibile per gli utenti reali.
Come Funziona il Honeypot
Il concetto è ingegnosamente semplice: WPForms aggiunge al modulo un campo nascosto tramite CSS che gli utenti reali non vedono e non possono compilare. I bot automatizzati, invece, non interpretano il CSS e vedono il campo come un normale campo del form, compilandolo automaticamente. Quando WPForms riceve un invio con questo campo nascosto compilato, sa che si tratta di un bot e scarta silenziosamente la richiesta.
La bellezza del honeypot è che non richiede alcuna azione da parte dell’utente: nessun puzzle da risolvere, nessuna casella da spuntare, nessuna immagine da selezionare. L’esperienza dell’utente reale è completamente inalterata. Per questa ragione, il honeypot dovrebbe essere sempre attivo come base di protezione.
Verificare che il Honeypot sia Attivo
Per verificare (o attivare) la protezione honeypot su un modulo specifico, apri il modulo nel form builder e vai su Impostazioni → Protezione spam e Sicurezza. Assicurati che l’opzione Abilita protezione anti-spam sia attiva. Nella stessa sezione trovi anche le opzioni per WPForms’ built-in anti-spam protection che puoi configurare.
Limitazioni del Honeypot
Il honeypot è efficace contro i bot più semplici, ma i bot più sofisticati possono essere programmati per riconoscere e ignorare i campi nascosti. Per una protezione più robusta, è consigliabile combinare il honeypot con una delle soluzioni CAPTCHA descritte di seguito.
Google reCAPTCHA
Google reCAPTCHA è il sistema anti-spam più conosciuto e utilizzato al mondo. WPForms supporta tre versioni di reCAPTCHA, ognuna con caratteristiche diverse.
reCAPTCHA v2 (Checkbox)
Questa è la versione classica con la casella Non sono un robot. L’utente deve cliccare sulla casella e, se il sistema sospetta che sia un bot, gli viene mostrata una sfida visiva (selezionare immagini con semafori, autobus, strisce pedonali, ecc.).
Vantaggi: è molto efficace e gli utenti lo conoscono già. Svantaggi: aggiunge un passaggio alla compilazione del form e le sfide visive possono essere frustranti, soprattutto su mobile. Può anche presentare problemi di accessibilità per utenti con disabilità visive.
reCAPTCHA v2 (Invisible)
Funziona come il v2 Checkbox ma è invisibile nella maggior parte dei casi. La sfida visiva viene mostrata solo quando il sistema rileva un comportamento sospetto. Per la maggior parte degli utenti reali, la verifica avviene in background senza alcuna interazione.
Vantaggi: esperienza utente migliore rispetto al v2 Checkbox. Svantaggi: occasionalmente mostra la sfida visiva, che può confondere gli utenti che non se l’aspettano.
reCAPTCHA v3 (Score-Based)
La versione più recente e avanzata. Funziona interamente in background, analizzando il comportamento dell’utente sul sito (movimenti del mouse, tempo di permanenza, pattern di navigazione) e assegnando un punteggio da 0.0 (sicuramente bot) a 1.0 (sicuramente umano). Non richiede mai alcuna interazione da parte dell’utente.
Vantaggi: esperienza utente perfetta, nessuna interruzione. Svantaggi: può generare falsi positivi (bloccare utenti reali) se la soglia del punteggio è troppo alta. Richiede un’attenta calibrazione. Inoltre, aggiunge un badge di Google visibile nell’angolo della pagina (può essere nascosto via CSS, ma Google richiede che venga inclusa una nota nella privacy policy).
Come Configurare reCAPTCHA in WPForms
La configurazione di reCAPTCHA in WPForms richiede due passaggi: ottenere le chiavi API da Google e inserirle nelle impostazioni del plugin.
- Vai su google.com/recaptcha/admin e accedi con il tuo account Google
- Registra il tuo sito inserendo il nome, selezionando la versione di reCAPTCHA desiderata e aggiungendo il dominio del tuo sito
- Google ti fornirà una Site Key e una Secret Key
- In WordPress, vai su WPForms → Impostazioni → CAPTCHA
- Seleziona reCAPTCHA come provider
- Scegli la versione (v2 Checkbox, v2 Invisible o v3)
- Incolla la Site Key e la Secret Key nei campi corrispondenti
- Salva le impostazioni
Dopo la configurazione globale, devi attivare reCAPTCHA su ogni singolo modulo. Apri il form nel builder e trascina il campo reCAPTCHA nell’area del modulo (lo trovi nella sezione Campi Standard). Vedrai un indicatore che conferma l’attivazione.
hCaptcha: L’Alternativa Privacy-Friendly
hCaptcha è un’alternativa a Google reCAPTCHA che sta guadagnando popolarità grazie al suo approccio più rispettoso della privacy degli utenti. A differenza di reCAPTCHA, hCaptcha non traccia gli utenti per scopi pubblicitari e si conforma al GDPR senza necessità di ulteriori configurazioni.
Perché Scegliere hCaptcha
- Privacy: non raccoglie dati personali per scopi pubblicitari
- Conformità GDPR: nativamente conforme alle normative europee sulla privacy
- Indipendenza da Google: se preferisci non dipendere dall’ecosistema Google per il tuo sito
- Compensazione: i proprietari dei siti possono guadagnare un piccolo compenso per le verifiche effettuate (opzionale)
Come Configurare hCaptcha in WPForms
La procedura è simile a quella di reCAPTCHA:
- Registrati su hcaptcha.com e ottieni la Site Key e la Secret Key
- In WordPress, vai su WPForms → Impostazioni → CAPTCHA
- Seleziona hCaptcha come provider
- Inserisci le chiavi e salva
- Attiva hCaptcha nei singoli moduli dal form builder
Cloudflare Turnstile
WPForms supporta anche Cloudflare Turnstile, una soluzione anti-bot relativamente nuova sviluppata da Cloudflare. Turnstile è progettato per essere un’alternativa non invasiva ai CAPTCHA tradizionali, verificando gli utenti senza mai mostrare sfide visive.
Turnstile analizza il comportamento del browser e utilizza sfide crittografiche in background per distinguere umani e bot. L’utente vede al massimo un widget con un’animazione di caricamento che dura pochi secondi. È completamente gratuito e non richiede un account Cloudflare per il CDN (basta registrarsi per ottenere le chiavi API).
Filtro per Paese e per Parole Chiave
Oltre alle soluzioni CAPTCHA, WPForms Pro offre strumenti di filtraggio aggiuntivi nelle impostazioni anti-spam di ogni modulo:
Filtro Parole Chiave
Puoi creare una lista di parole o frasi che, se presenti nel messaggio, causeranno il rifiuto automatico dell’invio. È utile per bloccare spam ricorrente con pattern riconoscibili, come link a siti specifici, parole in lingue diverse dalla tua o frasi tipiche dello spam.
Filtro per Paese
Se il tuo business è locale o rivolto a un mercato specifico, puoi bloccare gli invii provenienti da determinati paesi (basandosi sull’indirizzo IP). Ad esempio, se operi esclusivamente in Italia, potresti bloccare gli invii da paesi noti per l’invio massivo di spam.
La Strategia Anti-Spam Consigliata
Non esiste una soluzione unica che funzioni perfettamente in tutti i casi. La nostra raccomandazione è adottare un approccio stratificato:
- Honeypot sempre attivo: è la base, non ha controindicazioni e blocca i bot più semplici
- reCAPTCHA v3 o Cloudflare Turnstile: come secondo livello, per i bot più sofisticati. Entrambi sono invisibili e non impattano l’esperienza utente
- Filtro parole chiave: per bloccare pattern di spam ricorrenti specifici del tuo sito
- Monitoraggio regolare: controlla periodicamente le entries per identificare eventuali spam che sfuggono ai filtri e aggiorna le regole di conseguenza
Se nonostante tutto continui a ricevere spam, o se hai bisogno di una configurazione anti-spam personalizzata per il tuo sito WordPress, contatta il nostro team. Possiamo implementare soluzioni avanzate su misura per le tue esigenze.
Migliora il Tuo Sito WordPress
Scopri le nostre guide complete sugli altri plugin essenziali per WordPress: