Abres el correo el lunes y tienes 40 mensajes del formulario de tu sitio. Ninguno es un cliente. Son ofertas de posicionamiento en Google, enlaces raros y textos en ruso. Entre tanto ruido, la cotización real que llegó el sábado se te pasa.
Eso es spam de formularios. No significa que te hackearon. Significa que un programa automático encontró tu formulario y lo está usando para mandar basura. Tiene arreglo, y casi nunca hace falta quitar el formulario.
De dónde sale tanto mensaje basura
Hay programas (bots) que recorren internet buscando formularios de contacto. Cuando encuentran uno, lo llenan solos, miles de veces al día, en miles de sitios. No eligieron tu negocio. Les da igual si eres una ferretería en Querétaro o un despacho contable en Guadalajara.
Tu sitio es un blanco fácil si:
- El formulario no tiene ninguna verificación anti-bots.
- Usas un plugin de formularios muy conocido con la configuración de fábrica.
- Tienes los comentarios del blog abiertos aunque nunca los uses.
Por qué no conviene ignorarlo
El costo más obvio es el tiempo. Alguien en tu equipo revisa mensajes basura todos los días. El costo real es otro: cuando la bandeja se llena de ruido, la gente deja de revisarla con cuidado y los prospectos reales se pierden.
Hay un riesgo menos visible. Si tu formulario manda una respuesta automática ("Gracias, te contactamos pronto"), cada mensaje falso hace que tu sitio envíe un correo a una dirección que nadie pidió. Con suficiente volumen, los servidores de correo empiezan a ver tu dominio como fuente de spam. Eso afecta también los correos normales de tu empresa. Si ya notas que tus mensajes llegan a la carpeta de no deseados, revisa cómo funcionan SPF, DKIM y DMARC.
Las capas que sí funcionan
Ninguna medida sola detiene todo. Lo que funciona es combinar dos o tres. Van de la más sencilla a la más completa.
1. Campo trampa (honeypot)
Es un campo oculto en el formulario. Una persona no lo ve y lo deja vacío. Un bot llena todo lo que encuentra, incluido ese campo, y el mensaje se descarta. Tu cliente no nota nada. Muchos plugins de formularios lo traen como una casilla que solo hay que activar.
2. Verificación invisible
Son servicios como Google reCAPTCHA o Cloudflare Turnstile. Revisan en segundo plano si quien llena el formulario se comporta como persona. Las versiones actuales casi nunca piden marcar semáforos o bicicletas, así que no molestan a quien escribe desde el celular. Se configuran con dos claves que generas en la cuenta del servicio y pegas en el plugin.
3. Filtro de contenido
Herramientas como Akismet revisan el texto del mensaje contra una base de spam conocida. Sirven para lo que logra pasar las dos capas anteriores, sobre todo mensajes que escribió una persona pagada para mandar spam a mano.
4. Reglas propias
Algunos plugins permiten bloquear mensajes que contengan ciertas palabras o más de un enlace. Un cliente que pide cotización de tornillería casi nunca pega tres enlaces en el mensaje. Úsalo con cuidado: si bloqueas palabras muy comunes, vas a tirar mensajes buenos.
Ajustes que reducen el daño
- Quita la respuesta automática o hazla corta y sin copiar el texto que escribió el visitante. Así tu dominio no termina reenviando el spam a otros.
- Guarda los envíos en el sitio, no solo en el correo. Si un mensaje real cae en spam o el correo falla, lo puedes recuperar desde el panel de WordPress.
- Cierra los comentarios si tu blog no los usa. En WordPress está en Ajustes, Comentarios. Es una puerta menos para los bots.
- Actualiza el plugin del formulario. Las versiones viejas a veces tienen fallas que permiten mandar correo desde tu sitio sin pasar por el formulario.
Lo que no te recomendamos
Poner tu correo en texto en lugar del formulario. Los mismos bots leen las páginas buscando direcciones. Cambias spam del formulario por spam directo a tu buzón, y ese no lo puedes filtrar desde el sitio.
Instalar cinco plugins anti-spam a la vez. Se estorban entre sí, hacen lento el sitio y a veces bloquean a clientes reales. Uno de formularios con honeypot más una verificación invisible suele bastar. Si dudas qué tanto instalar, lee cuántos plugins de WordPress son demasiados.
Pedir captchas difíciles. Si a tu cliente le cuesta tres intentos mandar un mensaje desde el celular, se va con la competencia.
Cómo saber que no bloqueaste a nadie
Después de cualquier cambio, haz esta prueba:
- Desde tu celular, con datos y no con el wifi de la oficina, llena el formulario como si fueras cliente.
- Confirma que el mensaje llegó al correo y que aparece guardado en WordPress.
- Pide a alguien de fuera que haga lo mismo desde su teléfono.
- Durante la primera semana, revisa la carpeta de spam del plugin o de Akismet por si algo bueno cayó ahí.
Si vas a mover configuraciones del formulario en una tienda que vende todos los días, conviene hacerlo primero en una copia. Explicamos cómo en staging en WordPress.
Cuándo es señal de algo más
El spam en formularios es molesto pero normal. Preocúpate si ves correos enviados desde tu dominio que nadie de tu equipo escribió, páginas que no creaste o avisos de tu proveedor por envío masivo de correo. Eso ya no es un bot llenando un formulario. Revisa las señales de malware en WordPress.
Revisar estos ajustes una vez cada pocos meses evita que el problema regrese cuando un plugin se actualiza o cambia su configuración. En koode.mx el mantenimiento de WordPress administrado puede incluir esa revisión junto con el resto del sitio, si prefieres no estar al pendiente tú.