Si tienes un sitio de WordPress, sabes que el spam es un problema realmente molesto, ya sea en formularios de contacto, comentarios de WordPress o registros de usuarios.
La buena noticia es que detener el spam en WordPress es mucho más fácil de lo que probablemente piensas, y tampoco necesitas herramientas caras.
Hemos pasado más de 16 años probando plugins y herramientas anti-spam, y refinando estrategias para mantener WPBeginner y nuestros otros sitios web de negocios a salvo de ataques diarios de spam.
En esta guía definitiva, te mostraremos cómo bloquear cada tipo de spam de WordPress, paso a paso, desde lo básico hasta la protección automatizada avanzada moderna contra el spam. Estos son los métodos exactos que estamos utilizando para proteger nuestros propios sitios web.
Cubrimos mucho terreno en esta guía definitiva, así que usa los enlaces rápidos a continuación para saltar directamente a la sección sobre la que deseas aprender primero:
- 1. Configuración integrada gratuita para activar primero
- 2. Configura protección moderna contra bots de spam impulsada por IA para WordPress
- 3. Consejos para usuarios avanzados para detener el spam en los comentarios de WordPress
- 4. Detener el spam en los formularios de contacto de WordPress (Mejores prácticas)
- 5. Detener el spam en los registros de usuarios de WordPress (Mejores prácticas)
- 6. Añadir un firewall de WordPress para todo el sitio
- 7. Limpiar el spam de WordPress y monitoreo continuo
- Preguntas frecuentes sobre la protección contra spam de WordPress
1. Configuración integrada gratuita para activar primero
WordPress viene con varias opciones anti-spam que pueden proteger tu sitio contra el spam. Estas opciones integradas no detendrán a todos los bots, pero eliminarán los objetivos más fáciles de inmediato.
Siempre recomendamos activar estas configuraciones primero, ya que no cuestan nada y solo toman unos minutos configurarlas.
Ajusta la configuración de discusión de tu WordPress
Para prevenir el spam en los comentarios, la configuración de discusión integrada en WordPress actúa como tu primera línea de defensa. Te permiten controlar quién puede publicar, qué tipo de enlaces están permitidos y cuánto control tienes sobre la conversación.
Para configurar estos controles anti-spam, ve a Ajustes » Discusión en tu panel de WordPress.
La herramienta más útil en esta pantalla es la cola de moderación de comentarios. Esta herramienta actúa como un área de espera que mantiene las publicaciones ocultas al público hasta que tengas la oportunidad de revisarlas.
Debido a que nada se publica automáticamente, el spam nunca llega a tus visitantes, incluso si logra pasar tus otros filtros.
Para activar esto, desplázate hacia abajo hasta la sección 'Antes de que aparezca un comentario' y marca la casilla junto a 'El comentario debe ser aprobado manualmente'.
Si lo deseas, también puedes habilitar 'El autor del comentario debe tener un comentario previamente aprobado'. Esto permite que los comentaristas recurrentes publiquen sin esperar la aprobación. Sin embargo, asegúrate de revisar tus comentarios publicados regularmente, ya que no aparecerán en tu cola de moderación.
Después de eso, desplázate hasta el cuadro 'Moderación de comentarios', donde encontrarás una configuración que limita los enlaces. Dado que los comentarios de spam casi siempre contienen direcciones web, WordPress puede retener automáticamente cualquier publicación que incluya demasiados enlaces.
El campo etiquetado 'Mantener un comentario en la cola si contiene [X] o más enlaces' se establece en 2 por defecto. Reducir ese número a 1 te ayudará a detectar aún más spam.
En la misma pantalla, puedes usar la lista negra de comentarios para filtrar automáticamente el contenido no deseado. Esta herramienta busca palabras específicas, nombres, direcciones de correo electrónico o direcciones web y envía cualquier comentario que coincida directamente a la papelera.
En el cuadro 'Claves de comentarios no permitidos', puedes pegar tus propias palabras desencadenantes, poniendo una en cada línea, y luego guardar tus cambios.
Requerir nombre y correo electrónico, y retener a los comentaristas por primera vez
Las discusiones saludables comienzan con personas reales. Requerir que los comentaristas ingresen un nombre y correo electrónico fomenta conversaciones más reflexivas y desalienta los comentarios anónimos y superficiales.
La mayoría de los visitantes genuinos no tendrán problema en proporcionar estos detalles, y ayuda a crear una comunidad más acogedora y confiable alrededor de tu sitio web.
Para habilitar esto, desplázate hasta la sección 'Otras configuraciones de comentarios' y marca la casilla junto a 'El autor del comentario debe completar el nombre y el correo electrónico'.
Si deseas dominar el proceso de revisión y administrar tu cola de manera eficiente, nuestra guía para principiantes sobre cómo moderar comentarios en WordPress cubre el flujo de trabajo completo.
Deshabilitar comentarios donde no los necesites
Dependiendo del tipo de sitio web que tengas, es posible que no necesites una sección de comentarios en absoluto. Si ese es el caso, puedes simplemente deshabilitar los comentarios por completo y eso eliminará el problema de spam de comentarios de WordPress de una vez por todas.
La opción más completa es el método de código, que deshabilita el soporte de comentarios en todo tu sitio a la vez. Es más seguro agregar el fragmento con un plugin gratuito de fragmentos de código como WPCode en lugar de editar los archivos de tu tema directamente, para que una actualización del tema no lo deshaga.
add_action('admin_init', function () {
// Redirect any user trying to access comments page
global $pagenow;
if ($pagenow === 'edit-comments.php') {
wp_safe_redirect(admin_url());
exit;
}
// Remove comments metabox from dashboard
remove_meta_box('dashboard_recent_comments', 'dashboard', 'normal');
// Disable support for comments and trackbacks in post types
foreach (get_post_types() as $post_type) {
if (post_type_supports($post_type, 'comments')) {
remove_post_type_support($post_type, 'comments');
remove_post_type_support($post_type, 'trackbacks');
}
}
});
// Close comments on the front-end
add_filter('comments_open', '__return_false', 20, 2);
add_filter('pings_open', '__return_false', 20, 2);
// Hide existing comments
add_filter('comments_array', '__return_empty_array', 10, 2);
// Remove comments page in menu
add_action('admin_menu', function () {
remove_menu_page('edit-comments.php');
});
// Remove comments links from admin bar
add_action('init', function () {
if (is_admin_bar_showing()) {
remove_action('admin_bar_menu', 'wp_admin_bar_comments_menu', 60);
}
});
Nuestra guía sobre cómo deshabilitar completamente los comentarios en WordPress explica ese fragmento junto con las otras opciones.
Si prefieres no hacerlo a nivel de todo el sitio, también puedes desactivar los comentarios en páginas individuales. Esto es útil cuando solo quieres que desaparezcan en páginas específicas, como tus páginas de Contacto o Acerca de, que rara vez necesitan una sección de comentarios.
Para hacer esto, abre la página en el editor de contenido de WordPress. Luego haz clic en la opción 'Discusión' en la barra lateral derecha y selecciona 'Cerrado'.
También puedes evitar que el spam se acumule en contenido antiguo sin tocar tus publicaciones más recientes. Si no esperas comentarios en publicaciones antiguas, entonces WordPress puede cerrarlas automáticamente después de un número determinado de días.
Esto le da a los bots de spam menos oportunidades de atacar tu contenido archivado.
Para configurar esto, ve a Ajustes » Discusión y busca la sección 'Otras configuraciones de comentarios'. Marca la casilla junto a 'Cerrar automáticamente los comentarios en las publicaciones de más de [X] días', luego establece un límite sensato como 30 o 90 días.
Deshabilita los trackbacks y pingbacks
Los trackbacks y pingbacks te notifican cuando otro sitio web afirma haber enlazado a una de tus publicaciones de blog.
Si bien originalmente fueron diseñados para ayudar a los bloggers a conectar conversaciones entre diferentes sitios web, ahora son comúnmente abusados por spammers para enviar notificaciones falsas de enlaces.
Desactivar esta función elimina por completo toda una categoría de notificaciones basura de tu panel.
Para deshabilitar estas notificaciones, ve a la pantalla Ajustes » Discusión en tu panel de WordPress. Aquí, desmarca la casilla junto a ‘Notificaciones de enlaces de otros blogs (pingbacks y trackbacks) en las entradas nuevas’.
Hecho esto, no olvides hacer clic en ‘Guardar Cambios’ al final de la pantalla.
Ten en cuenta que cambiar esta opción solo protege las entradas que publiques a partir de este momento. Si deseas limpiar el contenido que ya has publicado en el pasado, puedes seguir nuestra guía paso a paso sobre cómo deshabilitar trackbacks y pings en entradas existentes de WordPress.
2. Configura protección moderna contra bots de spam impulsada por IA para WordPress
En la era de la IA, donde el spam automatizado está aumentando, la mejor defensa contra él es una protección moderna contra spam para WordPress impulsada por IA.
Estas soluciones de filtrado de spam detectan y bloquean automáticamente el spam en los comentarios, formularios de contacto y registros de usuarios de tu WordPress sin el uso de CAPTCHA, lo que puede afectar las conversiones.
En WPBeginner, usamos ActiveLayer para esto. Está impulsado por IA y se ejecuta en el lado del servidor, por lo que detiene el spam de forma invisible, sin CAPTCHA y cumple con la GDPR.
En los últimos 30 días, ha bloqueado más de 25,739 comentarios de spam y envíos de formularios de contacto en nuestro sitio web. Incluso te muestra una puntuación de confianza y la razón detrás de cada envío que marca, no solo un veredicto de aprobado o fallido cuando miras sus registros.
El plan gratuito incluye 1,000 verificaciones de spam sin tarjeta de crédito, y los planes de pago comienzan alrededor de $4 por mes facturados anualmente.
Los otros dos plugins populares de filtrado de spam para WordPress que podrías probar son Akismet o CleanTalk.
Akismet es muy popular y sigue siendo una buena opción para blogs personales, donde su plan de "paga lo que quieras" puede ser gratuito para sitios no comerciales. Pero han aumentado significativamente sus precios para sitios comerciales, lo cual es bastante caro para empresas pequeñas. Para un sitio de negocios, te recomendaríamos ActiveLayer o CleanTalk.
Elijas la herramienta que elijas, quédate solo con una, ya que ejecutar dos filtros de spam a la vez puede generar conflictos y bloquear a visitantes reales. El beneficio de estos plugins de protección contra spam es que se integran con todos los demás plugins de formularios de contacto populares por defecto.
3. Consejos para usuarios avanzados para detener el spam en los comentarios de WordPress
Hasta ahora hemos configurado los ajustes de prevención de spam integrados en WordPress y un plugin de filtrado de spam automatizado para WordPress. La combinación de estos dos debería bloquear la mayor parte del spam.
Sin embargo, si no puedes configurar una protección moderna contra spam con IA debido a los costos u otra razón, puedes usar uno de estos consejos a continuación para combatir el spam de comentarios en WordPress.
Añadir un CAPTCHA gratuito a tu formulario de comentarios
CAPTCHA es una prueba sencilla que la mayoría de los visitantes humanos superan sin ningún esfuerzo, mientras que los scripts automatizados fallan. Recomendamos agregar Cloudflare Turnstile CAPTCHA a los comentarios de WordPress porque es gratuito y bastante fácil de configurar.
Para configurarlo, instala y activa el plugin gratuito Simple Cloudflare Turnstile. Se te pedirá que crees una cuenta gratuita en el sitio web de Cloudflare y la conectes con el plugin.
Una vez hecho esto, puedes desplazarte hasta la sección 'Habilitar Turnstile en tus formularios'. Simplemente marca las casillas para proteger todos tus formularios de WordPress y haz clic en 'Guardar Cambios'.
Aquí tienes nuestra guía detallada sobre cómo agregar Cloudflare Turnstile CAPTCHA en WordPress.
Google reCAPTCHA es otra opción, que puedes agregar con el plugin Advanced Google reCAPTCHA. Ya no lo recomendamos porque Google ha limitado su nivel gratuito a 10,000 evaluaciones por mes para toda tu organización, mientras que Cloudflare Turnstile se mantiene gratuito sin límites.
Limitar o Requerir Inicio de Sesión para Comentar
Otra forma muy eficaz de detener el spam en los comentarios de WordPress es controlar quién tiene permitido participar en los comentarios.
Si tu sección de comentarios está abierta a todos, los spammers pueden inundar continuamente tus formularios con enlaces automatizados. Restringir los comentarios a los titulares de cuentas registradas asegura que solo los usuarios verificados puedan publicar. Esto obliga a un nivel de responsabilidad que la mayoría de los bots no se molestarán en intentar eludir.
Debido a que requiere que los lectores den el paso adicional de crear e iniciar sesión en una cuenta, este enfoque es más adecuado para sitios de membresía, foros en línea y comunidades privadas.
Si tienes un blog abierto y público, te recomendamos usar un servicio de filtrado automatizado o un desafío para el lector, ya que estos añaden menos fricción.
Si decides activar esta restricción, ve a Ajustes » Discusión en tu panel de WordPress. En la sección 'Otras configuraciones de comentarios', marca la casilla junto a 'Los usuarios deben estar registrados e iniciados para comentar'.
Como siempre, no olvides guardar tus cambios.
Usa Antispam Bee para Filtrado Gratuito de Palabras Clave y Patrones
Algunos spams se escapan de las comprobaciones básicas al imitar la escritura humana. Aquí es donde un plugin de filtrado dedicado puede ayudar a proteger tu sitio.
Antispam Bee es un excelente plugin antispam gratuito y respetuoso con la privacidad que no requiere una clave API ni registro de cuenta. Instalar Antispam Bee te brinda un potente conjunto de reglas locales para analizar los datos de los comentarios antes de que lleguen a tu base de datos.
Una vez activado, puedes configurar tus reglas yendo a Ajustes » Antispam Bee.
Recomendamos habilitar las opciones para:
- Confiar en los comentaristas aprobados.
- Marcar como spam.
- No eliminar.
- Usar expresiones regulares (lo que permite al plugin buscar patrones de texto y enlaces conocidos).
También deberías marcar la casilla 'Buscar en la base de datos de spam local'. Esto permite a Antispam Bee comparar las nuevas entradas con el historial de spam anterior en tu sitio.
En 'Avanzado', puedes configurar Antispam Bee para eliminar el spam existente después de un número determinado de días, lo que mantiene tu base de datos ordenada sin ningún esfuerzo manual.
Recomendamos encarecidamente dejar las notificaciones por correo electrónico de spam desactivadas en esta sección. Un sitio web muy activo puede atraer cientos de envíos automatizados al día, y estas alertas inundarán rápidamente tu bandeja de entrada.
Si quieres probar un ajuste gratuito más, puedes eliminar el campo de la dirección del sitio web del formulario de comentarios.
Nuestra guía paso a paso sobre cómo eliminar el campo de la URL del sitio web del formulario de comentarios te muestra cómo hacerlo en solo unos pocos pasos rápidos.
4. Detener el spam en los formularios de contacto de WordPress (Mejores prácticas)
Los formularios de contacto y de clientes potenciales se encuentran entre las partes más atacadas de cualquier sitio de WordPress. Lo sabemos de primera mano porque una vez tuvimos que combatir más de 18.000 entradas de spam inundando un solo formulario.
Usamos WPForms para crear formularios en WPBeginner, y es un popular plugin constructor de formularios utilizado por más de 5 millones de sitios web. Su versión gratuita incluye protección inteligente contra spam, integraciones CAPTCHA con Google / Cloudflare Turnstile, y los planes de pago añaden las opciones de filtrado que cubrimos a continuación.
Otros constructores de formularios populares como Gravity Forms y Fluent Forms tienen configuraciones anti-spam similares, así que revisa las opciones del plugin constructor de formularios que utilices. Aquí mostraremos WPForms porque es lo que usamos y consideramos que es la mejor opción para principiantes.
Habilitar Token Anti-Spam Predeterminado (o HoneyPot Similar)
Para combatir el spam en los formularios de clientes potenciales, WPForms adjunta silenciosamente un token único y sensible al tiempo a tu formulario en cada carga de página. El token anti-spam bloquea los scripts automatizados, lo que significa que las entradas de spam se bloquean antes de que lleguen a tu bandeja de entrada.
Está activado por defecto para los formularios nuevos, pero vale la pena confirmarlo.
Abre tu formulario, ve a Ajustes » Protección contra Spam y Seguridad, y asegúrate de que 'Habilitar protección moderna contra spam' esté activado.
Esta es una versión moderna de la tecnología Honeypot que la mayoría de los plugins de formularios de WordPress incluyen, por lo que puede estar etiquetada como Honeypot en otra herramienta de formularios que puedas estar usando.
Habilitar un CAPTCHA en tu Formulario de Contacto
Los bots más agresivos imitan la navegación humana y se escabullen del token invisible. Añadir un campo CAPTCHA visible los detiene al forzar un desafío que no pueden leer o resolver.
WPForms tiene integrados tanto Cloudflare Turnstile como Google reCAPTCHA, y aquí usamos Turnstile por defecto. Es gratuito para todos y realiza sus comprobaciones en segundo plano, por lo que la mayoría de los visitantes reales pasan sin resolver un acertijo.
Para configurarlo, ve a WPForms » Ajustes » CAPTCHA y elige 'Cloudflare Turnstile'.
Luego, añade la Clave del Sitio y la Clave Secreta de tu cuenta de Cloudflare, y guarda tus ajustes.
Finalmente, añade el campo CAPTCHA a cada formulario que quieras proteger.
Para un recorrido completo, consulta nuestra guía sobre cómo añadir Cloudflare Turnstile CAPTCHA en WordPress.
Google reCAPTCHA también es seleccionable en la misma pantalla de WPForms » Configuración » CAPTCHA. Usamos Turnstile por defecto porque es gratuito y sin límites, pero reCAPTCHA sigue funcionando si lo prefieres.
Si prefieres no enviar datos de visitantes a Google o Cloudflare, entonces el campo Captcha Personalizado de WPForms (disponible en cualquier plan de pago) genera el desafío en tu propio servidor en su lugar.
Agrega el campo, luego configúralo como un problema matemático aleatorio o tu propia pregunta y respuesta.
Usa Verificaciones de Comportamiento Basadas en el Tiempo para Detener el Spam en Formularios de Contacto
Una persona real necesita varios segundos para leer una pregunta y completar un formulario, mientras que un bot lo envía en una fracción de segundo. Las verificaciones basadas en el tiempo marcan esas envíos imposibles de realizar rápidamente sin cambiar nada de lo que ve el visitante.
Con WPForms, la opción ‘Habilitar tiempo mínimo para enviar’ está habilitada por defecto con un tiempo mínimo para enviar de 2 segundos. Sin embargo, puedes actualizar el tiempo mínimo a cualquier valor que desees.
Bloquea el Envío de Formularios por País, IP, Dirección de Correo Electrónico y Más
Algunos envíos de spam en formularios aún se cuelan a menos que examines el contenido en sí. En la versión Pro, WPForms te permite bloquear entradas por dirección de correo electrónico específica, por palabra clave y por país o dirección IP.
Para bloquear a un remitente, abre tu formulario, selecciona el campo de Correo Electrónico, abre la pestaña Avanzado, elige Lista Negra y escribe las direcciones o dominios a prohibir. Un comodín como *@example.com bloquea un dominio entero.
Para bloquear frases de spam, ve a Configuración » Protección contra Spam y Seguridad.
Activa ‘Habilitar filtro de palabras clave’, abre ‘Editar lista de palabras clave’ y agrega cada término en su propia línea.
Y si solo atiendes a ciertas regiones, activa ‘Habilitar filtro de país’ en la misma pantalla para permitir o denegar ubicaciones.
Alternativamente, si tu solución de formularios de WordPress no tiene esta opción, también puedes bloquear direcciones IP en WordPress.
5. Detener el spam en los registros de usuarios de WordPress (Mejores prácticas)
En un sitio de membresía o tienda WooCommerce, los registros de spam son más que una molestia. Las cuentas falsas obstruyen tu base de datos de usuarios y distorsionan tus métricas de clientes y correos electrónicos.
Esto es lo que puedes hacer para prevenir el spam en los registros de usuarios en WordPress.
Desactiva el Registro Cuando No lo Necesites
Si no tienes un sitio de membresía o una tienda de comercio electrónico, es probable que no necesites permitir el registro de usuarios. Lo más fácil para prevenir el spam en los registros de usuarios es desactivarlo.
Simplemente ve a Configuración » General en tu área de administración de WordPress y desmarca la casilla ‘Cualquiera puede registrarse’.
Requiere Confirmación por Correo Electrónico Antes de que se Active una Cuenta
Si necesitas registro abierto, entonces el objetivo es permitir solo a personas reales y mantener fuera a los bots de spam. La configuración que detiene la mayor cantidad de registros falsos es requerir una dirección de correo electrónico confirmada, o una revisión manual, antes de que una cuenta se active.
Dónde se encuentra ese control depende del plugin que estés utilizando para administrar el registro de usuarios en WordPress. Deberás comenzar con la configuración predeterminada de tu plataforma en lugar de agregar un plugin de formularios general a un sistema que ya maneja esto.
Si tienes una tienda de WooCommerce, ve a WooCommerce » Ajustes » Cuentas y privacidad. Aquí es donde decides si los compradores pueden crear una cuenta, limitar la creación de cuentas al momento de pagar o mantener el pago de invitado activado para que no se necesite crear una cuenta.
WooCommerce core no agrega un paso de confirmación por correo electrónico por sí solo. Si deseas uno, necesitarás una extensión personalizada de verificación por correo electrónico o el formulario de registro personalizado que se describe a continuación.
Otras plataformas de membresía y cursos manejan la verificación de cuentas en sus propias configuraciones, así que empieza por ahí:
- MemberPress: WordPress crea la cuenta al registrarse, así que combínalo con el plugin gratuito User Verification para mantener la cuenta inactiva hasta que la persona confirme su correo electrónico. Consulta la documentación de MemberPress para obtener todos los detalles.
- BuddyPress y BuddyBoss: la activación por correo electrónico está integrada, por lo que los nuevos miembros permanecen inactivos hasta que hacen clic en el enlace de activación. Habilita el registro en Ajustes » General (BuddyPress) o BuddyBoss » Ajustes » Inicio de sesión y registro. Consulta la documentación de BuddyPress y la documentación de BuddyBoss para más detalles.
- LearnDash: el registro se ejecuta en el propio sistema de usuarios de WordPress, por lo que no hay un paso nativo de confirmación por correo electrónico. Una cuenta se activa en el momento en que alguien se registra. Para mantener las cuentas nuevas hasta que se verifique el correo electrónico, agrega esa verificación a nivel de WordPress o del formulario, utilizando un plugin de verificación de usuarios o el formulario de registro personalizado de WPForms que se describe a continuación.
Si estás creando un formulario de registro personalizado en lugar de usar uno de los sistemas anteriores, puedes usar el complemento de registro de usuarios de WPForms, que te permite activar la activación por correo electrónico en la configuración de Registro de usuarios del formulario, ya sea con un enlace de confirmación por correo electrónico o aprobación manual del administrador.
Opciones similares están disponibles en Gravity Forms, WSForm y otros plugins populares de formularios de WordPress. Para un tutorial completo, consulta nuestra guía sobre cómo moderar los nuevos registros de usuarios.
Agrega CAPTCHA y Honeypot al formulario de registro de WordPress
Los mismos consejos que protegen tus formularios de contacto de WordPress también funcionan en el formulario de registro de WordPress. Dado que ya configuraste Cloudflare Turnstile anteriormente, puedes activarlo para tu formulario de registro con un solo clic.
Para un tutorial dedicado, consulta nuestra guía sobre cómo agregar un CAPTCHA a tus formularios de inicio de sesión y registro.
Si estás utilizando la página de registro predeterminada de WordPress, puedes agregar campos ocultos de honeypot a tu formulario de registro con el plugin gratuito WP Armour. El plugin registra cada bot que bloquea en WP Armour » Estadísticas.
Usa herramientas impulsadas por IA para bloquear el spam de registro de WordPress
Los honeypots y CAPTCHAs detienen a los bots obvios, pero no pueden detectar a alguien que se registra con un correo electrónico desechable o desde una dirección IP conocida como maliciosa.
Ahí es donde la detección automatizada ayuda. Examina cada nuevo registro contra datos de reputación en tiempo real y bloquea los que parecen fraudulentos.
ActiveLayer y CleanTalk ofrecen esto para los registros de WordPress, y puedes activarlo para tu formulario de registro de la misma manera que lo hiciste para tus formularios de contacto.
6. Añadir un firewall de WordPress para todo el sitio
Un Firewall de Aplicaciones Web (WAF) examina a cada visitante y bloquea las solicitudes maliciosas antes de que lleguen a tu sitio. Dado que la mayoría del spam de formularios es automatizado, un buen firewall puede detener gran parte en el perímetro.
Recomendamos un firewall a nivel de DNS, que filtra el tráfico en la red del proveedor antes de que toque tu servidor.
En WPBeginner, usamos Cloudflare, que tiene un plan gratuito con protección básica de firewall (la configuración requiere que apuntes los nameservers de tu dominio a Cloudflare).
Nuestra guía sobre cómo configurar la CDN y el firewall gratuito de Cloudflare te guía a través del proceso.
Además, nuestro resumen de los mejores plugins de firewall para WordPress compara las otras opciones si deseas evaluarlas.
7. Limpiar el spam de WordPress y monitoreo continuo
Detener el spam nuevo es solo la mitad del trabajo. Si eres como la mayoría de los sitios web, ya tienes una acumulación de basura antigua que necesita ser limpiada.
Una limpieza rápida mantiene tu base de datos ordenada y ayuda a que tus nuevas herramientas funcionen de la mejor manera.
🚨 Siempre crea una copia de seguridad completa de WordPress antes de eliminar cualquier cosa en bloque. Estas acciones eliminan datos de forma permanente, sin botón de deshacer si cometes un error.
Eliminar en bloque comentarios de spam existentes
El filtro de spam de WordPress marca los comentarios basura pero no los elimina, por lo que pueden acumularse en tu carpeta de spam y ocupar espacio en la base de datos hasta que los limpies.
En tu panel, ve a Comentarios, haz clic en el filtro 'Spam' en la parte superior y presiona 'Vaciar Spam' para limpiar permanentemente todo lo que tus filtros atraparon.
Si tienes miles de comentarios basura, el panel puede congelarse o agotar el tiempo de espera. Un plugin gratuito como WP Bulk Delete es más rápido y confiable para grandes acumulaciones.
Para otros métodos, consulta nuestra guía sobre cómo eliminar comentarios de WordPress en bloque.
Limpiar cuentas de usuario falsas existentes
Dejar perfiles de bots en tu base de datos es un riesgo de seguridad y distorsiona tus análisis. Por eso es importante limpiar estas cuentas falsas.
Para un puñado, ve a Usuarios » Todos los Usuarios, haz clic en el filtro de rol de usuario 'Suscriptor' (el rol que usan casi todos los bots de registro), selecciona las cuentas falsas y elige Eliminar en el menú 'Acciones en bloque'.
⚠️ Ten mucho cuidado de seleccionar solo cuentas de Suscriptor falsas, y nunca una cuenta de Administrador.
Para miles de cuentas, el plugin gratuito WP Bulk Delete puede eliminar usuarios por rol, inactividad o fecha de registro de una sola vez.
Para más información, consulta nuestra guía sobre cómo eliminar usuarios de WordPress en bloque por rol.
Manejar falsos positivos
Ningún filtro es perfecto, así que nunca elimines automáticamente tu carpeta de spam sin una mirada rápida primero.
En Comentarios » Spam, pasa el cursor sobre un comentario legítimo y haz clic en ‘No es Spam’. Esto también enseña a tu filtro a reconocer comentarios similares como seguros en el futuro.
Establece una Rutina Mensual de Revisión Anti-Spam
Unos minutos cada mes evitan que el spam se acumule de nuevo. Agrega estas tres verificaciones a tu rutina de mantenimiento:
- Escanea falsos positivos: revisa tu carpeta de comentarios spam y las entradas de formularios para asegurarte de que ningún mensaje real haya sido atrapado por accidente.
- Vacía tus carpetas de spam: una vez que hayas recuperado algo real, límpialas para mantener tu base de datos ágil.
- Revisa tu lista de usuarios: echa un vistazo a los nuevos registros en busca de nombres de usuario sin sentido o dominios de correo electrónico sospechosos que se hayan colado.
Puntos clave para llevar
Aquí tienes un resumen de las mejores prácticas que hemos cubierto para proteger completamente tu sitio web de WordPress del spam:
- Comienza con la configuración gratuita de WordPress: activa la moderación de comentarios, ajusta tus límites de enlaces, crea una lista negra de comentarios y deshabilita los trackbacks. Estos no cuestan nada y eliminan el spam más fácil.
- Usa filtrado automatizado e invisible: una herramienta del lado del servidor como ActiveLayer, Akismet o CleanTalk bloquea bots en segundo plano sin hacer que los visitantes reales resuelvan acertijos.
- Aplica capas de defensa en tu formulario de contacto: los honeypots por sí solos ya no detienen a los bots modernos, así que combínalos con verificaciones de tiempo, validación de tokens y un filtro automatizado.
- Asegura tus registros: requiere confirmación por correo electrónico para cuentas nuevas y filtra cada registro con una herramienta automatizada.
- Agrega un firewall para todo el sitio: un firewall a nivel de DNS como Cloudflare bloquea mucho spam automatizado en el perímetro, antes de que llegue a tus formularios.
- Realiza limpieza regular: elimina en bloque comentarios spam antiguos y cuentas falsas, luego dedica unos minutos cada mes a buscar falsos positivos.
Preguntas frecuentes sobre la protección contra spam de WordPress
¿Es suficiente el filtrado gratuito estilo Akismet, o necesito más?
Para un blog personal pequeño con solo spam en los comentarios, un solo filtro gratuito como Akismet suele ser suficiente. Una vez que agregas formularios de contacto, formularios de registro o registro de usuarios, querrás un servicio que proteja también esos, como ActiveLayer o CleanTalk.
¿Agregar un CAPTCHA afectará mis conversiones de formularios?
Puede ser. El paso adicional hace que algunos visitantes reales abandonen el formulario. Es por eso que preferimos la detección invisible del lado del servidor que bloquea bots sin pedirle a nadie que resuelva un acertijo.
¿Por qué sigo recibiendo spam después de instalar un plugin anti-spam?
Generalmente porque el plugin solo protege un punto de entrada. Si protege tus comentarios pero no tus formularios de registro o de contacto, los bots simplemente se mueven a esos en su lugar, y trucos antiguos como los honeypots básicos ya no detienen a los bots modernos. La solución es una configuración en capas: tu configuración integrada de WordPress, un filtro automatizado y un firewall trabajando juntos.
¿Cómo detengo los registros de usuarios falsos sin desactivar los registros completamente?
Activa la confirmación por correo electrónico para que las nuevas cuentas permanezcan inactivas hasta que la persona haga clic en un enlace en su bandeja de entrada, lo cual los bots no pueden hacer. Combínalo con una "honeypot" y un filtro automatizado, y las personas reales aún podrán registrarse libremente.
¿Puede el spam dañar mi SEO o hacer que mi sitio sea incluido en listas negras?
Puede ser, pero depende de dónde esté el spam. El spam en los comentarios que se queda en tu cola de moderación nunca se publica, por lo que los motores de búsqueda nunca lo ven y tu SEO se mantiene seguro.
El spam publicado es el riesgo real, porque puede disminuir lentamente tus rankings. WordPress etiqueta los enlaces de comentarios como "nofollow", lo que limita el daño.
Esperamos que este artículo te haya ayudado a aprender cómo proteger tu sitio web de WordPress contra el spam. También puedes consultar nuestra guía definitiva de seguridad para WordPress para mejorar la seguridad de tu sitio web.
Si te gustó este artículo, suscríbete a nuestro Canal de YouTube para ver tutoriales en video de WordPress. También puedes encontrarnos en Twitter y Facebook.
¿Tienes alguna pregunta o sugerencia? Por favor, deja un comentario para iniciar la discusión.