¡Hola y hola querido lector! Ya estoy un día más por aquí para hablarte de cómo evitar el spam en tu WordPress.
Comentarios automáticos, formularios llenos de publicidad, registros falsos… el spam es de los problemas más habituales de cualquier web WordPress, y además de molesto, sobrecarga el servidor y te hace perder tiempo.
En este post verás de dónde viene, qué capas de protección funcionan y cómo combinarlas sin fastidiar a tus usuarios reales. ¡Al lío!
Resumen rápido
- El spam llega por comentarios, formularios, registros y pingbacks.
- La mejor protección combina varias capas: ajustes de WordPress, un filtro antispam y un campo trampa o captcha invisible.
- Si no usas comentarios, desactívalos: es la forma más eficaz de acabar con ese spam.
- Evita los captchas molestos siempre que puedas: frenan también a tus clientes.
¿Por dónde entra el spam en WordPress?
| Vía | Cómo se manifiesta |
|---|---|
| Comentarios | Mensajes automáticos con enlaces |
| Formularios de contacto | Ofertas de servicios, enlaces y mensajes sin sentido |
| Registros de usuarios | Cuentas falsas creadas en masa |
| Pingbacks y trackbacks | Avisos de webs que supuestamente te enlazan |
| Pedidos de WooCommerce | Compras falsas para probar tarjetas robadas |
| Buscador interno | Búsquedas con spam que generan URLs indexables |
Diseño tu página web en WordPress rápida y optimizada para SEO. Tu web pensada para convertir visitas en clientes
- Diseño web 100% personalizado. Nada de IA. 100% artesanal.
- Web rápida y lista para posicionar en Google.
- Diseño tu web en menos de 21 días. Firmado por contrato.
- Comunicación directa conmigo. Sin intermediarios.
¿Por qué conviene frenarlo?
- Consume recursos del servidor, sobre todo cuando llega de forma masiva.
- Te hace perder tiempo moderando y limpiando.
- Da mala imagen si los comentarios con enlaces basura se publican.
- Puede generar enlaces salientes a sitios dudosos, algo que conviene evitar, como explico en enlaces salientes.
- Puede esconder intentos de ataque, como pruebas de fuerza bruta o de inyección.
PD. El spam de comentarios no suele causar una penalización por sí solo, porque WordPress marca por defecto esos enlaces como
ugcynofollow. El problema aparece cuando se publica sin moderar a gran escala: mala experiencia, enlaces a sitios peligrosos y una web que parece abandonada.
Método 1: los ajustes de WordPress
Antes de instalar nada, revisa lo que trae WordPress de serie en Ajustes > Comentarios y Ajustes > Generales:
- Desactiva los comentarios si no los utilizas: es la solución más eficaz.
- Desactiva pingbacks y trackbacks, que apenas se usan hoy.
- Exige aprobación manual de los comentarios, al menos para autores nuevos.
- Retén los comentarios con más de uno o dos enlaces.
- Añade palabras a la lista de moderación que suelen aparecer en el spam de tu sector.
- Cierra los comentarios en posts antiguos, que son los que más spam reciben.
- Desactiva el registro de usuarios si tu web no lo necesita.
Te lo explico en detalle en comentarios en WordPress.
Diseño tu página web en WordPress rápida y optimizada para SEO. Tu web pensada para convertir visitas en clientes
- Diseño web 100% personalizado. Nada de IA. 100% artesanal.
- Web rápida y lista para posicionar en Google.
- Diseño tu web en menos de 21 días. Firmado por contrato.
- Comunicación directa conmigo. Sin intermediarios.
Método 2: un filtro antispam
Los plugins antispam analizan cada comentario o envío y apartan los sospechosos automáticamente.
| Plugin | Cómo funciona | A tener en cuenta |
|---|---|---|
| Akismet | Filtra comentarios y formularios con una base de datos global | De pago en webs comerciales; envía datos a un servicio externo |
| Antispam Bee | Filtro local, sin enviar datos fuera | Gratuito y respetuoso con la privacidad |
| CleanTalk | Filtro en la nube para comentarios, formularios y registros | De pago, muy completo |
| Plugins de seguridad | Algunos incluyen protección antispam | Útil si ya tienes uno instalado |
Si ya utilizas un plugin de seguridad, revisa si incluye esta función antes de instalar otro. Te lo cuento en el mejor antivirus para WordPress.
Método 3: campos trampa y captchas
Campo trampa (honeypot)
Es un campo oculto para las personas que los bots rellenan automáticamente. Si llega relleno, el envío se descarta. Es invisible para tus usuarios y muy eficaz contra el spam automático básico. La mayoría de plugins de formularios lo incluyen.
Captchas
| Tipo | Experiencia del usuario |
|---|---|
| Captcha invisible (reCAPTCHA v3, Turnstile) | No molesta: analiza el comportamiento en segundo plano |
| Casilla «No soy un robot» | Un clic, aceptable |
| Captcha de imágenes o texto | Molesto y peor para la accesibilidad |
PD. Si usas un captcha de un tercero, ten en cuenta la privacidad y el rendimiento: carga scripts externos, y algunos deben pasar por tu gestor de cookies. Cargarlo solo en las páginas con formulario ayuda a que no penalice la velocidad del resto de la web.
Diseño tu página web en WordPress rápida y optimizada para SEO. Tu web pensada para convertir visitas en clientes
- Diseño web 100% personalizado. Nada de IA. 100% artesanal.
- Web rápida y lista para posicionar en Google.
- Diseño tu web en menos de 21 días. Firmado por contrato.
- Comunicación directa conmigo. Sin intermediarios.
Método 4: protección a nivel de servidor
- Un cortafuegos de aplicación web, en tu hosting o con una CDN como Cloudflare, frena muchos bots antes de que lleguen a WordPress.
- Limita los intentos de acceso al panel de administración.
- Cambia la URL de acceso si recibes muchos ataques. Te lo explico en cómo cambiar la URL de acceso.
- Revisa los logs del servidor si notas picos de peticiones raros.
Casos concretos
Spam en formularios de contacto
- Activa el campo trampa de tu plugin de formularios.
- Añade un captcha invisible si el trampa no basta.
- Conecta Akismet o un filtro similar al formulario.
- Evita publicar tu email en texto plano, que los bots recogen.
Registros falsos
- Desactiva el registro si no lo necesitas.
- Añade verificación por email o aprobación manual si sí lo necesitas.
- Asigna el rol mínimo a los usuarios nuevos.
Pedidos falsos en WooCommerce
- Activa la protección antifraude de tu pasarela de pago.
- Añade un captcha invisible en el checkout.
- Limita los intentos de pago desde una misma IP.
Errores habituales
- Mantener comentarios abiertos que nadie modera.
- Instalar varios plugins antispam a la vez, que chocan entre sí.
- Captchas molestos que reducen las conversiones.
- Publicar comentarios sin revisar con enlaces a sitios dudosos.
- No vaciar la carpeta de spam, que engorda la base de datos.
- Olvidar que el registro de usuarios está activo sin necesitarlo.
Conclusiones
No existe un método único contra el spam: lo que funciona es combinar varias capas sencillas que se refuercen entre sí.
Mi recomendación: ajusta primero WordPress, añade un campo trampa y un filtro antispam, y reserva los captchas para cuando lo anterior no baste. Así frenas a los bots sin molestar a tus clientes.
Si prefieres olvidarte de estas tareas, puedo encargarme en mi servicio de mantenimiento web WordPress. Y si necesitas una web bien protegida desde el principio, te ayudo con mi servicio de diseño web WordPress.
Ahora te toca a ti, querido lector. ¿Por dónde te entra más spam? ¡Te leo en los comentarios!
Preguntas frecuentes sobre el spam en WordPress
¿Cómo evitar el spam en los comentarios de WordPress?
Desactivándolos si no se usan, exigiendo aprobación manual, reteniendo los comentarios con varios enlaces, cerrándolos en posts antiguos y añadiendo un filtro antispam como Akismet o Antispam Bee.
¿Cómo evitar el spam en el formulario de contacto?
Activando el campo trampa que incluyen la mayoría de plugins de formularios, añadiendo un captcha invisible si hace falta y conectando un filtro antispam al formulario.
¿Qué es un campo trampa o honeypot?
Es un campo oculto para las personas que los bots rellenan de forma automática. Si llega relleno, el envío se descarta. Resulta invisible para los usuarios y muy eficaz contra el spam automatizado.
¿Cuál es el mejor plugin antispam para WordPress?
Akismet es el más conocido, Antispam Bee es una alternativa gratuita que no envía datos a servicios externos y CleanTalk es una opción de pago muy completa. Conviene usar solo uno.
¿Afecta el spam al SEO?
De forma indirecta. WordPress marca los enlaces de comentarios como nofollow y ugc, pero el spam publicado sin moderar empeora la experiencia, genera enlaces a sitios dudosos y consume recursos del servidor.
¿Conviene poner un captcha en los formularios?
Solo si el campo trampa y el filtro antispam no bastan, y preferiblemente invisible. Los captchas de imágenes o texto molestan a los usuarios y pueden reducir las conversiones.
¿Debo desactivar los pingbacks y trackbacks?
En la mayoría de webs, sí. Apenas se utilizan hoy, generan peticiones innecesarias y son una fuente habitual de spam. Se desactivan desde los ajustes de comentarios.
