Formularios y spam
Hive detiene los envíos automatizados de formularios sin CAPTCHA: los visitantes no ven ningún acertijo y no se carga ningún servicio de terceros. La misma comprobación cubre en el plugin gratuito el formulario de comentarios, el registro, el restablecimiento de contraseña y Contact Form 7, y con el complemento Pro más plugins de formularios. Se completa con un filtro de comentarios por puntuación, el bloqueo de correos desechables y reglas de registro. Los ajustes están en Protection → Forms.
La comprobación invisible de formularios
Cada formulario protegido lleva un campo cebo oculto y un segundo campo que añade un pequeño script en el navegador, con un nombre aleatorio para cada instalación. La página en sí no contiene nada específico de la solicitud, así que las cachés de página la siguen sirviendo. Un envío recibe uno de cuatro veredictos:
| Veredicto | Significado | Consecuencia |
|---|---|---|
| Demostrado | El navegador ejecutó el script y el cebo está vacío. | Pasa. |
| Cebo rellenado | Nadie puede ver ese campo, así que rellenarlo exige una máquina. | Se rechaza, y la dirección se bloquea y se reporta al primer intento. |
| Fallido | El formulario era nuestro, pero el script nunca se ejecutó; lo típico de un script que envía directamente a la dirección. | Se rechaza con una frase que pide al remitente activar JavaScript. La dirección no se bloquea. |
| Ausente | La página vino de una caché anterior a la comprobación y no lleva ningún campo. | Pasa en los formularios de registro y de restablecimiento y en un plugin de formularios durante las primeras 24 horas tras activar su interruptor. Un comentario queda en manos del filtro de spam. |
Ningún envío desaparece sin un mensaje al remitente: cada rechazo se muestra en el formulario. Definir
REPORTEDIP_HIVE_DISABLE_FORM_PROOF en wp-config.php desactiva toda la capa. Tus propios
formularios pueden usar la misma comprobación mediante una pequeña API; consulta
Hooks y API para desarrolladores.
Plugins de formularios
| Plugin | Plan | Notas |
|---|---|---|
| Contact Form 7 | Gratis | Un envío rechazado recibe el propio mensaje de spam del plugin. |
| WPForms y WPForms Lite | Business, complemento Pro | Carga de página y envío en segundo plano. |
| Gravity Forms | Business, complemento Pro | Se rechaza como error de validación sobre el formulario, sin escribir ninguna entrada. Un formulario de varias páginas se juzga en su última página; los envíos a través de la API de Gravity Forms no se juzgan. |
| Forminator | Business, complemento Pro | También formularios cargados después de la página. |
| Formidable Forms y Formidable Forms PRO | Business, complemento Pro | |
| Elementor Forms (Elementor Pro) | Business, complemento Pro | Un rechazo también detiene el correo del formulario. |
| Ultimate Member | Business, complemento Pro | Inicio de sesión, registro y restablecimiento de contraseña. Un registro también pasa por las reglas de registro. |
Cada plugin tiene su propio interruptor, que aparece en cuanto el plugin está activo. Durante las 24 horas siguientes a activar un interruptor, un envío sin el campo sigue pasando, para que una página de una caché antigua no deje fuera a nadie. Un envío rechazado nunca se mueve en silencio a una carpeta de spam. Las guías de Gravity Forms y de WPForms y Forminator explican los detalles.
Prueba de cálculo
Forma parte del complemento Pro a partir del plan Professional. Un script que carga un formulario una vez podría copiar el campo de prueba de vuelta. Con la prueba de cálculo, el navegador pide en segundo plano una pequeña tarea a tu propio sitio y la resuelve antes de enviar el formulario. La tarea va firmada con la sal de tu sitio, caduca a los diez minutos, cuenta una sola vez y se vuelve más difícil cuanto más rápido pide tareas una misma red, así que un script que pide cientos paga por cada una. La página solo lleva la dirección de ese endpoint, igual para todos los visitantes, así que las cachés de página completa, LiteSpeed, WP Rocket y las CDN siguen funcionando; la tarea viaja en una solicitud que ninguna caché guarda. Sin HTTPS la tarea no lleva cálculo, pero conserva la firma, la caducidad y el uso único. La dificultad sube durante el modo de refuerzo.
Filtro de spam en comentarios
Cada comentario se puntúa con unas veinte señales; la lista está en Sensores y bloqueos. Un enlace cuenta esté donde esté, en el campo de la web o en el texto. Medido con 27.796 comentarios reales de un sitio que los recoge desde 2014, el filtro detecta el 95 por ciento del spam sin ningún falso positivo. Por defecto envía un comentario puntuado a spam para su revisión; rechazarlo directamente es una opción, y el filtro se puede desactivar. Un formulario de comentarios que nunca ejecutó la comprobación se rechaza como cualquier otro formulario protegido, y el honeypot de comentarios (el campo cebo) funciona con su propio interruptor.
Direcciones de correo desechables
Las direcciones de proveedores de correo desechable se rechazan en el registro (WordPress, WooCommerce, multisitio) y, mediante un ajuste propio, en los comentarios y en los formularios protegidos, donde se pide al remitente una dirección permanente. Tres modos: desactivado, supervisar, bloquear. Los relays de privacidad como Apple Hide My Email y Firefox Relay son una categoría aparte y pasan por defecto. La lista incluida es gratuita; la lista en vivo con miles de dominios llega con Priority Sync a partir del plan Professional.
Reglas de registro
Todas las vías de alta pasan por un mismo conjunto de reglas: el registro de WordPress, WooCommerce, las altas en multisitio y las cuentas creadas por código. Las reglas se comprueban en un orden fijo y gana la primera coincidencia: lista de IP permitidas, límite de frecuencia, nombre de usuario prohibido, reglas de correo, correo desechable.
- Nombres de usuario prohibidos: uno por línea, además de una base de diez nombres (
admin,administrator,root,sysadmin,superadmin,webmaster,hostmaster,postmaster,support,moderator), que se puede desactivar. - Reglas de correo: desactivadas, bloquear las direcciones de la lista o permitir solo esas. Un nombre de host solo equivale a
*@host. Una lista vacía en modo permitir actúa como desactivada, para que nadie se deje fuera a sí mismo. - Límite de frecuencia: tres registros por dirección en 60 minutos por defecto. Solo rechaza el registro, sin bloqueo ni reporte, para que una oficina detrás de una sola dirección no salga perjudicada.
- Nombres de usuario desconocidos: opcional y desactivado por defecto. Un intento de inicio de sesión con un nombre de usuario que no existe bloquea la dirección al instante. El bloqueo revela a un atacante qué nombres existen, por eso el interruptor está desactivado y el evento nunca se reporta.
Una entrada simple coincide exactamente, * es un comodín. El plugin gratuito admite diez entradas por
lista. El complemento Pro con el plan Professional quita el límite, acepta expresiones regulares entre barras
(/^shop[0-9]+$/) y añade el registro limitado a rangos de direcciones permitidos. Los rechazos se
registran como prohibited_username, registration_denied y registration_limit.
Última actualización: · Mantenido por el equipo de ReportedIP