Detener el spam en los comentarios de WordPress con Akismet y reCAPTCHA

Los bots pueden publicar miles de comentarios con enlaces, texto automático o contenido fraudulento aunque no utilices un formulario de contacto. WordPress permite frenarlos combinando moderación, Akismet y, si el volumen lo requiere, una prueba reCAPTCHA.

Ajustar la moderación de comentarios

En Ajustes > Comentarios:

• Puedes exigir nombre y correo, pero eso no verifica que el autor controle esa dirección.
• Mantén los comentarios pendientes de moderación cuando incluyan enlaces.
• Activa la aprobación previa para autores nuevos.
• Cierra automáticamente comentarios en entradas antiguas si ya no necesitas conversación.
• Desactiva pingbacks y trackbacks si generan ruido.

Si la web no utiliza comentarios, desactívalos globalmente y revisa las entradas antiguas, porque cambiar el ajuste predeterminado no siempre cierra los ya abiertos.

Configurar Akismet

Akismet analiza cada comentario y separa el spam sin obligar a todos los visitantes a resolver un desafío. Instala o activa el plugin, conecta una clave adecuada al tipo de proyecto y revisa periódicamente la carpeta Spam para detectar falsos positivos.

Marca como legítimos solo los comentarios que hayas revisado; esa información ayuda a corregir la clasificación. Vacía el spam después de comprobarlo para reducir el tamaño de la base de datos.

Añadir reCAPTCHA

Si Akismet y la moderación no bastan, instala un plugin de reCAPTCHA compatible con tu formulario de comentarios y la versión de WordPress. Crea las claves para el dominio exacto y activa la protección solo en los formularios necesarios.

Prueba en una ventana privada antes de darlo por terminado. Una configuración incorrecta puede impedir comentar a visitantes legítimos o bloquear llamadas AJAX usadas por el tema.

Si el spam continúa

1. Actualiza WordPress, tema y plugins.
2. Comprueba si los mensajes llegan por comentarios, formulario de contacto, registro de usuarios o reseñas de WooCommerce.
3. Revisa las URL atacadas y desactiva el formulario que no utilices.
4. Bloquea patrones o países solo cuando la evidencia sea clara; una lista amplia puede excluir usuarios y buscadores legítimos.

El spam de formularios de contacto tiene un origen diferente. Para ese caso consulta Spam masivo desde formularios de aplicaciones.

Comprobar antes de darlo por resuelto

Envía un comentario legítimo desde una sesión sin autenticar y revisa si queda pendiente, se publica o va a Spam como esperabas. Comprueba también entradas antiguas y reseñas si las utilizas: sus ajustes pueden ser independientes.

Con reCAPTCHA, prueba que el servidor rechaza una petición sin validación correcta antes de guardar el comentario. La clave secreta no debe aparecer en el HTML. Revisa las condiciones del plan de Akismet para tu tipo de proyecto y no presupongas que el uso comercial es gratuito.

Guarda la configuración anterior y revisa falsos positivos antes de endurecer el filtro. Bloquear países completos no sustituye la identificación del formulario que está recibiendo el abuso.