Arrêter le spam dans les commentaires WordPress avec Akismet et reCAPTCHA

Les bots peuvent publier des milliers de commentaires avec des liens, du texte automatique ou du contenu frauduleux, même si vous n'utilisez pas de formulaire de contact. WordPress permet de les freiner en combinant modération, Akismet et, si le volume l'exige, un test reCAPTCHA.

Régler la modération des commentaires

Dans Réglages > Discussion :

• Vous pouvez exiger un nom et une adresse e-mail, mais cela ne vérifie pas que l'auteur contrôle cette adresse.
• Gardez en attente de modération les commentaires qui contiennent des liens.
• Activez l'approbation préalable pour les nouveaux auteurs.
• Fermez automatiquement les commentaires sur les anciens articles si la discussion n'est plus utile.
• Désactivez les pingbacks et les trackbacks s'ils génèrent du bruit.

Si le site n'utilise pas les commentaires, désactivez-les globalement et vérifiez les anciens articles, car modifier le réglage par défaut ne ferme pas toujours ceux qui sont déjà ouverts.

Configurer Akismet

Akismet analyse chaque commentaire et met le spam de côté sans obliger tous les visiteurs à résoudre un test. Installez ou activez le plugin, associez une clé adaptée au type de projet et consultez régulièrement le dossier Indésirables pour repérer les faux positifs.

Ne marquez comme légitimes que les commentaires que vous avez vérifiés ; cette information aide à corriger le classement. Videz les indésirables après vérification pour réduire la taille de la base de données.

Ajouter reCAPTCHA

Si Akismet et la modération ne suffisent pas, installez un plugin reCAPTCHA compatible avec votre formulaire de commentaires et votre version de WordPress. Créez les clés pour le domaine exact et activez la protection uniquement sur les formulaires nécessaires.

Testez dans une fenêtre privée avant de considérer le travail terminé. Une mauvaise configuration peut empêcher des visiteurs légitimes de commenter ou bloquer des appels AJAX utilisés par le thème.

Si le spam continue

1. Mettez à jour WordPress, le thème et les plugins.
2. Vérifiez si les messages arrivent par les commentaires, le formulaire de contact, l'inscription des utilisateurs ou les avis WooCommerce.
3. Examinez les URL attaquées et désactivez le formulaire que vous n'utilisez pas.
4. Ne bloquez des motifs ou des pays que lorsque les preuves sont claires ; une liste large peut exclure des utilisateurs et des moteurs de recherche légitimes.

Le spam des formulaires de contact a une autre origine. Dans ce cas, consultez Spam massif depuis les formulaires d'applications.

Vérifier avant de considérer le problème résolu

Envoyez un commentaire légitime depuis une session non connectée et vérifiez qu'il reste en attente, est publié ou part dans les indésirables comme prévu. Vérifiez aussi les anciens articles et les avis si vous les utilisez : leurs réglages peuvent être indépendants.

Avec reCAPTCHA, vérifiez que le serveur rejette une requête sans validation correcte avant d'enregistrer le commentaire. La clé secrète ne doit pas apparaître dans le HTML. Consultez les conditions de l'offre Akismet pour votre type de projet et ne supposez pas que l'usage commercial est gratuit.

Gardez la configuration précédente et vérifiez les faux positifs avant de durcir le filtre. Bloquer des pays entiers ne remplace pas l'identification du formulaire qui reçoit l'abus.