Por qué spam protection no-negociable 2026
Sin protección: 50-500+ form submissions spam/día. Consecuencias: 1) Time wasted reviewing fake leads, 2) Email database contaminada (Mailchimp te bloquea por bounce rate), 3) Conversion analytics distorted, 4) Posible blacklist IP servidor, 5) Server overload. Bien implementado: 95-99% spam bloqueado, 0-2% false positives.
Paso 1: Honeypot fields
Cómo funciona:
Campo HTML invisible para humanos (CSS hidden) pero bots detectan + llenan. Si campo tiene valor: rechazado silently.
Plugins:
- WPForms: default ON
- Fluent Forms: Settings → Security → Honeypot
- Gravity Forms: Advanced → Anti-spam honeypot
Efectividad: bloquea 60-80% bots básicos. Combinar con reCAPTCHA para 95%+.
Paso 2: reCAPTCHA v3
- google.com/recaptcha/admin
- Register site: Label tu-sitio.com, Type v3
- Get Site Key + Secret Key
- Plugin forms → reCAPTCHA settings → pegar keys
Funcionamiento v3:
- Score-based 0.0-1.0
- Threshold typical 0.5
- Sin challenges
- UX invisible
Paso 3: Cloudflare Bot Fight Mode
- Cloudflare → tu sitio
- Security → Bots
- Bot Fight Mode ON
Detect known bad bots via signatures + Challenge sospechosos + Block confirmed malicious. Pre-protection antes de llegar a sitio.
Paso 4: Akismet
- Install plugin (built-in WordPress core)
- API key: Personal free, Plus $10/mes commercial, Pro $25/mes
- Activate
Protege: comentarios blog (primary), formularios contact (con plugins integrados). 95%+ spam bloqueado combinado con honeypot + reCAPTCHA.
Paso 5: Rate limiting
Wordfence (free):
- Install Wordfence
- Firewall → All Firewall Options → Rate Limiting
- Throttle: 60 page views/minute
- Block: 5 failed logins
- Block: 10 form submissions/minute
Paso 6: Double opt-in
Beneficios:
- Reduce 80-95% spam emails
- Database legítima → mejor deliverability
- Compliance LFPDPPP/GDPR
Setup:
- Mailchimp: default activado
- Brevo: Settings → Subscription confirmation → enable
- ActiveCampaign: List → Confirm subscribers
Paso 7: Country/IP blocking
Cuándo aplica:
- Sitio solo México/LATAM
- Spam histórico predominante de país específico
Cloudflare WAF Free:
- Security → WAF → Custom rules
- Field: Country, Operator: not equals, Value: México, USA, Canadá, Action: Block
Paso 8: Monitoreo
| Métrica | Meta |
|---|---|
| Spam blocked | Trending up = funcionando |
| Legitimate submissions | No debe bajar (false positives) |
| False positive rate | <2% |
| Email bounce rate | <5% |
Adjust si problemas:
- False positives altos: lower reCAPTCHA threshold
- Spam getting through: agregar capa adicional
Single solution NO suficiente. Stack óptimo: Cloudflare Bot Fight (edge) + honeypot (server) + reCAPTCHA v3 (intelligent) + Akismet (content) + rate limiting (frequency). Cada capa bloquea vectores distintos. Stack completo: 95-99% spam stopped + 0-2% false positives. Setup 60-90 minutos.
En Weblindrome ofrecemos desarrollo web para ayudarte con esta y otras implementaciones. Solicita una cotización personalizada.