Защита формы WordPress: как поставить капчу и остановить спам

Какую защиту формы WordPress выбрать: reCAPTCHA, Turnstile, скрытое поле или Akismet#

Все варианты защищают формы от автоматической отправки. На вход в консоль они действуют слабо: подбор паролей останавливает лимит попыток, а он описан в разборе защиты WordPress от взлома.

Как подключить Cloudflare Turnstile к комментариям WordPress без плагина#

1. Создайте виджет Turnstile в панели Cloudflare, укажите домен сайта и скопируйте ключ сайта (site key) и секретный ключ (secret key).
2. Впишите ключи в wp-config.php выше строки с wp-settings.php, так секретный ключ не попадёт в код темы.
3. Добавьте код в functions.php дочерней темы или в собственный плагин.
4. Проверьте работу: откройте запись в окне инкогнито и отправьте комментарий. Без пройденной проверки он не должен уйти.

define( 'TURNSTILE_SITE_KEY', 'ключ_сайта' );
define( 'TURNSTILE_SECRET_KEY', 'секретный_ключ' );

Теперь сам код для functions.php. Он подключает скрипт, выводит виджет в форме комментариев для гостей и проверяет токен перед сохранением комментария:

add_action( 'wp_enqueue_scripts', function () {
    if ( is_singular() ) {
        wp_enqueue_script( 'turnstile', 'https://challenges.cloudflare.com/turnstile/v0/api.js', array(), null, true );
    }
} );

add_action( 'comment_form_after_fields', function () {
    echo '<div class="cf-turnstile" data-sitekey="' . esc_attr( TURNSTILE_SITE_KEY ) . '"></div>';
} );

add_filter( 'preprocess_comment', function ( $data ) {
    if ( is_user_logged_in() || ! in_array( $data['comment_type'], array( '', 'comment' ), true ) ) {
        return $data;
    }
    $token = isset( $_POST['cf-turnstile-response'] ) ? sanitize_text_field( wp_unslash( $_POST['cf-turnstile-response'] ) ) : '';
    $reply = wp_remote_post( 'https://challenges.cloudflare.com/turnstile/v0/siteverify', array(
        'body' => array( 'secret' => TURNSTILE_SECRET_KEY, 'response' => $token ),
    ) );
    $result = is_wp_error( $reply ) ? array() : json_decode( wp_remote_retrieve_body( $reply ), true );
    if ( empty( $result['success'] ) ) {
        wp_die( 'Проверка не пройдена. Вернитесь назад и повторите отправку.', 'Проверка', array( 'back_link' => true ) );
    }
    return $data;
} );

Вопросы о защите форм WordPress#

Что посмотреть дальше