Skydda WordPress-formulär med SilentShield

Det officiella tillägget ”SilentShield – Captcha & Anti-Spam” lägger in skriptet och kontrollerar varje inskickning på din server — utan egen kod. Den här guiden tar bara upp det vi själva har testat med tillägget.

Visa tillägget i WordPress-katalogen

Krav

• WordPress 5.2 eller senare och PHP 7.4 eller senare (enligt tilläggets uppgifter i WordPress-katalogen).
• Din webbplats körs över https. Utan en säker kontext tillhandahåller webbläsaren inga Web Crypto-funktioner, ingen nonce skapas och skyddade formulär kan inte skickas.
• Ett SilentShield-konto med en nyckel för din domän. Underdomäner som www. eller staging. ingår.

Vilka formulär som kan skyddas

Testat 2026-10-07 med tillägg 2.15.14 och WordPress 7.1.2: en människa kommer igenom och bekräftas på servern, en inskickning utan webbläsare avvisas.

Installation

1. Öppna ”Tillägg → Lägg till nytt” i WordPress och sök efter ”SilentShield”.
2. Installera och aktivera ”SilentShield – Captcha & Anti-Spam for WordPress”.
3. Menyn har nu ett alternativ ”SilentShield”.

Ange nyckeln och slå på formulär

1. Skapa en nyckel för din domän i SilentShield-instrumentpanelen och kopiera den.
2. Öppna ”SilentShield → API / SilentShield” i WordPress, klistra in nyckeln under ”API Key” och klicka på ”Validate”.
3. Slå på ”Activate API” och klicka på ”Save”.
4. Öppna ”SilentShield → Forms” och slå på skyddet för varje formulärtillägg som står som ”Fungerar” i tabellen ovan.

Tillägget använder webbplatsnyckeln både i webbläsaren och för kontrollen på din server. Ingen servernyckel behövs för detta.

Servernyckel för pluginet f12-security

Pluginet f12-security kan som tillval utbyta tips om bottar med SilentShield: det rapporterar fingeravtryck från kända bottar och hämtar en signerad lista för ditt konto. Dessa anrop görs av din server, inte av besökarnas webbläsare. För detta behöver pluginet din domäns servernyckel, inte den vanliga webbplatsnyckeln som finns i källkoden på dina sidor.

1. Öppna ”API-nycklar” i SilentShield-panelen och välj nyckeln för din domän.
2. Gå till sidan ”Säkerhet” och klicka på ”Skapa servernyckel” i avsnittet ”Servernyckel”.
3. Kopiera värdet direkt. Det visas bara en gång och vi sparar ingen kopia.
4. Ange det i f12-security i fältet som är märkt servernyckel och spara.

Servernyckeln hör bara hemma i inställningarna på din server, aldrig på en sida eller i ett skript som levereras till besökare. Om du har tappat bort den skapar du en ny i panelen; den gamla slutar då att gälla.

Kontrollera att det fungerar

En äkta inskickning

Öppna sidan med formuläret i ett privat fönster, fyll i det för hand och skicka det. Du ser formulärets vanliga bekräftelse, och inskickningen visas med sin bedömning i SilentShield-instrumentpanelen.

En avvisad inskickning

Skicka samma sak utan webbläsare, till exempel en kommentar via curl till ett inlägg med öppna kommentarer. Byt ut adressen och inläggets ID:

curl -i -X POST https://example.com/wp-comments-post.php \
  -d "comment_post_ID=1&author=Test&[email protected]&comment=Test"

Förvänta dig ett avvisande med tilläggets meddelande, på en engelskspråkig webbplats ”Captcha not correct: Behavior check”. Med Contact Form 7 visar formuläret ”Behavior check”.

Felsökning

Ingenting händer när du klickar på ”Skicka”.

Levereras sidan över http i stället för https? Då visar webbläsarkonsolen varningen ”[SilentShield] Web Crypto fehlt im Worker …” (meddelandet är på tyska). Leverera sidan över https.

Contact Form 7 rapporterar ”There was an error trying to send your message”.

Kontrollen har godkänts; det som misslyckades är WordPress utskick av e-posten. Kontrollera e-postinställningarna (till exempel SMTP), inte botskyddet.

Riktiga besökare får ”Behavior check”.

Den vanligaste orsaken är ett optimeringstillägg som fördröjer eller slår ihop JavaScript — se anmärkningen nedan. Kontrollera också att nyckeln hör till sidans domän.

Ett WPForms-formulär skickas inte, eller blockkassan avvisar varje beställning.

Uppdatera SilentShield-tillägget till version 2.15.14 eller senare. Vi mätte båda problemen med version 2.15.12; med 2.15.14 uppstår de inte längre.

Du vill se vad skriptet gör.

Lägg till ?silentshield-debug i sidans adress. Webbläsarkonsolen visar då varje steg i kontrollen.

client.js
behavior-captcha
silentshield

Begränsningar

• Bara de formulärtillägg som du slår på under ”SilentShield → Forms” är skyddade.
• Vi anger bara testade versioner. Tillägget känner igen fler formulärtillägg; om de fungerar med SilentShield har vi inte testat.
• Tillägget har egna kontroller (som honeypot och tidsmätning) och visar egna meddelanden för dem, till exempel ”JavaScript check”.
• SilentShield skyddar formulär mot botar. Det ersätter inte en brandvägg för webbapplikationer eller DDoS-skydd.

Drift

• Du uppdaterar tillägget via WordPress som vilket annat tillägg som helst. Skriptet i webbläsaren kommer alltid från oss i aktuell version.
• Varje inskickning räknas två gånger mot kvoten: en gång för rapporten från webbläsaren och en gång för kontrollen på din server.
• Du ser bedömningar och avvisade inskickningar i SilentShield-instrumentpanelen.

Se priser och kvoter

Utan tillägget: egen integration

För egna formulär, eller utan tillägget, lägger du själv in skriptet och kontrollerar varje inskickning på din server. Utan den kontrollen skyddar skriptet inte: det stoppar inte en förfrågan som skickas direkt.

1. Lägg till scriptet

Lägg till den här koden i ditt temas functions.php eller använd ett plugin som 'Insert Headers and Footers':

// functions.php
function silentshield_enqueue() {
    wp_enqueue_script(
        'silentshield',
        'https://api.silentshield.io/client.js?k=YOUR_API_KEY',
        array(),
        null,
        true
    );
}
add_action('wp_enqueue_scripts', 'silentshield_enqueue');

2. Verifiering på serversidan

Lägg till nonce-verifiering i din formulärhanterare. För anpassade formulär, lägg till detta i din bearbetningsfunktion:

function verify_silentshield_nonce() {
    $nonce = sanitize_text_field($_POST['behavior_nonce'] ?? '');
    if (empty($nonce)) {
        wp_die('Missing verification', 'Error', array('response' => 422));
    }

    $response = wp_remote_post('https://api.silentshield.io/api/v1/captcha/verify-nonce', array(
        'headers' => array(
            'Content-Type' => 'application/json',
            'X-Api-Key' => SILENTSHIELD_API_KEY,
        ),
        'body' => wp_json_encode(array('nonce' => $nonce)),
        'timeout' => 5,
    ));

    if (is_wp_error($response)) {
        return; // fail open
    }

    $body = json_decode(wp_remote_retrieve_body($response), true);
    if (($body['ok'] ?? false) !== true || ($body['verdict'] ?? '') !== 'human') {
        wp_die('Bot detected', 'Forbidden', array('response' => 403));
    }
}

// wp-config.php
define('SILENTSHIELD_API_KEY', 'your-api-key-here');

Observera AI-agenter

Utöver formulärskyddet kan WordPress också registrera vilka AI-crawlers (GPTBot, ClaudeBot, PerplexityBot, …) som läser din webbplats — idag via en liten must-use-pluginfil; en kommande pluginuppdatering bygger in detta.

Läs mer: Observera AI-agenter →