El spam en los formularios de tu web lo envían casi siempre programas automáticos (bots) que recorren internet buscando formularios abiertos. Para frenarlo sin fastidiar a tus clientes, lo más eficaz es combinar varias capas invisibles: un campo trampa que solo rellenan los bots, una comprobación de tiempo, validación en el servidor, un filtro antispam y, si hace falta, un captcha invisible o de baja fricción. El captcha clásico de «selecciona los semáforos» debería ser el último recurso, porque también frena a personas reales.
Por qué te llega spam (y por qué importa)
Tu formulario no tiene nada personal contra ti. Los bots buscan cualquier formulario para:
- Colar enlaces a webs dudosas o publicidad.
- Probar si el formulario sirve para enviar correos a terceros.
- Ofrecer servicios de forma masiva («posicionamos tu web en primera página», te suena).
- En el peor de los casos, buscar fallos de seguridad.
Más allá de la molestia, el spam tiene consecuencias:
- Los contactos reales se pierden entre la basura o alguien deja de revisar la bandeja.
- Tu servidor de correo puede acabar en listas negras si el formulario envía respuestas automáticas a direcciones falsas.
- Tus datos se ensucian: el CRM se llena de leads falsos y las métricas de conversión dejan de ser fiables.
Las capas de protección, de menos a más intrusivas
1. Campo trampa (honeypot)
Se añade al formulario un campo oculto para las personas, pero visible para los bots, que tienden a rellenar todo lo que encuentran. Si ese campo llega con contenido, el envío se descarta. Es invisible para tus clientes y sorprendentemente eficaz contra los bots más básicos. Debe ocultarse de forma que tampoco lo encuentren los lectores de pantalla.
2. Comprobación de tiempo
Una persona tarda unos segundos en leer y rellenar un formulario; un bot, milisegundos. Si el envío llega demasiado rápido desde que se cargó la página, es sospechoso.
3. Validación en el servidor
No basta con que el navegador compruebe que el email tiene formato de email. El servidor debe revisar de nuevo cada campo: longitudes razonables, formato correcto, ausencia de código o de enlaces en campos donde no tienen sentido (un campo «Nombre» con tres URL no es un nombre).
4. Filtros antispam
Servicios que analizan el contenido del mensaje y lo comparan con patrones de spam conocidos. En WordPress hay plugins que hacen este trabajo para comentarios y formularios. Conviene revisar de vez en cuando la carpeta de spam por si se ha colado algún mensaje legítimo.
5. Límite de envíos
Restringir cuántos envíos se aceptan desde una misma dirección en poco tiempo frena los ataques masivos. Muchas veces se configura a nivel de servidor o de cortafuegos.
6. Captcha invisible o de baja fricción
Existen captchas que analizan el comportamiento del visitante y solo le piden algo si hay dudas, o que resuelven un pequeño reto en segundo plano. Son mucho más amables que los clásicos, pero tienen dos aspectos a vigilar:
- Privacidad: algunos envían datos del visitante a un tercero y pueden instalar cookies, lo que debe reflejarse en tu política de privacidad y, si procede, en el banner de cookies.
- Accesibilidad: un reto visual o auditivo imposible puede impedir que una persona con discapacidad te contacte. Con la accesibilidad ya obligatoria para muchos servicios, conviene elegir opciones que no bloqueen a nadie.
7. El captcha clásico, solo si todo lo demás falla
Los de «escribe las letras borrosas» o «marca todas las bicicletas» frenan a bots, sí, pero también a clientes con prisa, en el móvil o con dificultades visuales. Cada fricción en un formulario cuesta conversiones.
Una combinación que suele funcionar
| Tipo de web | Combinación recomendada |
|---|---|
| Web corporativa con un formulario de contacto | Campo trampa + tiempo + validación en servidor + filtro antispam |
| Web con varios formularios y mucho tráfico | Lo anterior + límite de envíos + captcha invisible |
| Tienda online | Lo anterior en registro, contacto y reseñas, más protección específica en el checkout |
| Formularios que disparan procesos (presupuestos automáticos, descargas) | Validación estricta y confirmación por email |
Errores que empeoran el problema
- Mostrar tu email en texto plano junto al formulario. Los bots lo recogen y el spam llega directamente a tu bandeja.
- Enviar una copia automática al remitente sin protección: tu formulario se convierte en una máquina de enviar correos a terceros, y tu dominio puede acabar marcado como spam.
- Plugins de formularios desactualizados, que pueden tener fallos de seguridad conocidos. Si quieres repasar el resto de medidas, tienes la lista en seguridad en WordPress: la lista que deberías revisar hoy.
- Bloquear por país o por palabras de forma agresiva, que acaba descartando clientes reales.
- Añadir un captcha imposible y dar el problema por resuelto, sin mirar cuántos contactos reales has perdido.
Cómo saber si tus medidas funcionan
- Revisa cuántos envíos llegan, cuántos se marcan como spam y cuántos son reales.
- Echa un vistazo a la carpeta de spam cada cierto tiempo: los falsos positivos también existen.
- Compara la tasa de conversión del formulario antes y después de cada cambio. Si baja mucho, quizá la protección es demasiado estricta.
- Haz tú mismo pruebas desde el móvil para comprobar que el formulario sigue siendo cómodo.
Formularios limpios, formularios que convierten
Proteger un formulario no consiste solo en poner barreras: se trata de que sea fácil para las personas y difícil para las máquinas. Un formulario corto, claro y bien protegido recibe más contactos de calidad. Si quieres trabajar también la parte de conversión, en formularios web que convierten (y los que espantan) tienes ideas prácticas.
Preguntas frecuentes
¿Puedo eliminar el spam al cien por cien? Es difícil. El objetivo realista es reducirlo hasta que deje de ser un problema, sin perjudicar a los usuarios reales.
¿Por qué de repente recibo mucho más spam? Puede que tu web haya empezado a aparecer en más listas o que un bot concreto la haya encontrado. Suele resolverse reforzando las capas de arriba.
¿El spam afecta al SEO? El de los formularios, directamente no. El de los comentarios publicados sin moderar sí puede afectar a la imagen y a la calidad de la web.
En resumen
Para frenar el spam de los formularios, combina capas invisibles (campo trampa, tiempo, validación, filtros y límites) y reserva los captchas para cuando hagan falta, eligiendo opciones respetuosas con la privacidad y la accesibilidad. Así espantas a los bots sin espantar a tus clientes. Si tu bandeja parece una película de terror, nuestro equipo de desarrollo WordPress revisa y protege tus formularios, y si lo que quieres es conseguir más contactos, mira cómo trabajamos la captación de leads. Escríbenos (prometemos que somos humanos).
¿Hablamos?