Spam in Contact Form 7 gericht verminderen

Welk probleem heeft u?

Drie gevallen lijken op elkaar, maar hebben verschillende oorzaken:

• Er komt spam binnen. Uw inbox loopt vol met reclame, links of zinloze tekst. Het formulier laat bots door.
• Het formulier meldt een fout. Bezoekers zien “There was an error trying to send your message. Please try again later.” (op Nederlandstalige sites vertaald). Dat kan de spambescherming zijn of een probleem met het verzenden van e-mail.
• Echte aanvragen ontbreken. Niemand klaagt, maar er komt ook niets binnen. Dan weigert de bescherming mogelijk mensen, of bereiken de e-mails uw inbox niet.

Stel eerst vast om welk geval het gaat, voordat u bescherming toevoegt. Hoe dat werkt, leest u in de sectie “E-mailverzending of botbescherming?”.

Wat Contact Form 7 zelf meebrengt

Contact Form 7 heeft verschillende maatregelen tegen spam ingebouwd (gecontroleerd met versie 6.1.7):

• Blokkeerlijst. CF7 controleert elke inzending aan de hand van de lijst onder “Instellingen → Discussie” (“Disallowed Comment Keys”). Een treffer telt als spam. Dat helpt tegen terugkerende woorden en domeinen, niet tegen nieuwe teksten.
• Quizveld. Met de tag [quiz] stelt het formulier een vraag die u zelf bepaalt. Bots die elk willekeurig formulier invullen, falen; bots die het specifiek op uw site gemunt hebben, niet.
• Akismet. Met de Akismet-plugin en een Akismet-sleutel controleert CF7 naam, e-mailadres en tekst via de Akismet-dienst.
• reCAPTCHA v3. CF7 laadt het script van Google en weigert inzendingen onder een scoredrempel.
• Cloudflare Turnstile. CF7 integreert Turnstile; het script komt van Cloudflare.

De blokkeerlijst en de quiz werken zonder externe dienst. Akismet, reCAPTCHA en Turnstile sturen de gegevens van uw bezoekers naar de betreffende aanbieder, en dat hoort in uw privacyverklaring.

Wanneer extra botbescherming zinvol is

Speciale botbescherming loont als

• er ondanks de blokkeerlijst en de quiz spam blijft binnenkomen,
• u geen scripts van Google of Cloudflare wilt laden,
• u bij elke geweigerde inzending wilt zien waarom die werd geweigerd.

Is de quiz voldoende voor uw formulier, dan heeft u niets meer nodig. Bescherming die niemand nodig heeft, is alleen nog een extra bron van fouten.

SilentShield instellen voor Contact Form 7

De officiële plugin “SilentShield – Captcha & Anti-Spam” beschermt Contact Form 7 zonder eigen code. We hebben hem getest met Contact Form 7 6.1.7 en WordPress 7.0.

1. Installeer en activeer de plugin uit de WordPress-pluginmap.
2. Voer onder “SilentShield → API / SilentShield” uw sleutel in, klik op “Validate”, zet “Activate API” aan en sla op.
3. Zet onder “SilentShield → Forms” Contact Form 7 aan.

De site moet via https draaien, anders kan het formulier niet worden verzonden. Alle stappen en de geteste formulierplugins vindt u in de WordPress-handleiding. Elke inzending telt mee voor het quotum, zie prijzen en quota.

Echte inzendingen en mislukte pogingen testen

Een echte inzending: Open de pagina in een privévenster, vul het formulier met de hand in en verstuur het. Verwacht de bevestiging van CF7 met een groene rand.

Een mislukte poging: Stuur hetzelfde formulier zonder browser naar de CF7-interface. Het formulier-ID en de waarde voor _wpcf7_unit_tag vindt u in de paginabron, in de verborgen velden van het formulier.

curl -X POST "https://example.com/?rest_route=/contact-form-7/v1/contact-forms/123/feedback" \
  -F "_wpcf7=123" -F "_wpcf7_unit_tag=wpcf7-f123-p45-o1" -F "_wpcf7_container_post=45" \
  -F "your-name=Test" -F "[email protected]" -F "your-message=Test"

Verwacht een antwoord met "status":"spam". Met SilentShield luidt de melding “Behavior check”.

E-mailverzending of botbescherming?

In Contact Form 7 hebben “spam” en “de e-mail kon niet worden verzonden” dezelfde standaardtekst. U kunt ze op twee plaatsen onderscheiden:

• Randkleur van de melding: oranje betekent spam, rood betekent dat het verzenden van de e-mail is mislukt, zolang uw thema de kleuren van CF7 niet overschrijft.
• Antwoord in de browser: In de ontwikkelaarstools (tabblad Netwerk) bevat het antwoord op feedback de status, ofwel spam ofwel mail_failed.

Is het mail_failed, dan heeft de botbescherming de inzending doorgelaten; het probleem ligt bij het verzenden van e-mail door WordPress. Controleer dan de e-mailinstellingen, bijvoorbeeld met een SMTP-plugin. Is het spam, dan heeft een beschermingsmaatregel de inzending geweigerd. Met SilentShield noemt de melding de reden, zoals “Behavior check”.

Grenzen

• Geen enkele bescherming houdt spam tegen die een mens met de hand schrijft.
• Zonder JavaScript in de browser wordt een inzending naar een beschermd formulier geweigerd.
• SilentShield beschermt formulieren tegen bots. Het vervangt geen webapplicatiefirewall of DDoS-bescherming.

Formulierbescherming instellen