Protection anti-spam pour WPForms et Forminator sans captcha
Protéger WPForms et Forminator du spam sans captcha consiste à vérifier qu’un vrai navigateur a chargé et envoyé le formulaire, sans demander au visiteur de résoudre quoi que ce soit. ReportedIP Hive le fait pour les deux extensions avec un interrupteur chacune : un robot est refusé avec une erreur visible sur le formulaire, aucune entrée n’est enregistrée et aucun e-mail ne part.
Le honeypot et la preuve d’exécution qui se trouvent derrière sont expliqués dans le guide du honeypot de formulaire. Cette page traite de ce qui est propre à WPForms et Forminator. L’interface de Hive est en anglais, les libellés cités restent donc en anglais.
Pourquoi WPForms et Forminator ont besoin de plus que leurs propres outils anti-spam
Les deux extensions ont leur propre protection : WPForms un jeton anti-spam, Forminator un champ honeypot. Cela arrête beaucoup de robots, mais un script qui copie un vrai envoi et le rejoue, ou qui remplit chaque champ selon un schéma que l’extension n’attend pas, peut passer. Un captcha l’arrêterait, au prix de chaque vrai expéditeur obligé de résoudre une énigme.
Hive ajoute une vérification qui ne demande rien à l’expéditeur. Chaque formulaire porte un champ invisible que les personnes ne touchent jamais, et un petit script ajoute une preuve que seul un navigateur ayant réellement affiché le formulaire peut fournir. Un robot qui remplit le champ invisible ou un script sans preuve est refusé avant qu’une entrée n’existe.
Ce qu’il advient d’un envoi
| Envoi provenant de | Résultat |
|---|---|
| Un visiteur dans un navigateur normal | L’entrée est enregistrée, rien ne change pour l’expéditeur. |
| Un robot qui remplit le champ invisible | Refusé. L’adresse est bloquée dès la première tentative et signalée en mode Community Network. |
| Un script qui envoie directement au site | Refusé sur le formulaire. L’adresse est journalisée mais pas comptée pour un blocage. |
| Un navigateur sans JavaScript | Refusé avec un message demandant de l’activer. |
Le blocage après un champ invisible rempli suppose que le blocage automatique est activé, et les adresses en liste blanche ne sont jamais bloquées. Le signalement à la communauté indique l’extension de formulaires, la communauté voit donc que l’adresse a attaqué un formulaire de contact et non une connexion. Dans l’Event Log sous ReportedIP Hive > Activity, un robot refusé apparaît comme « Form Spam (threshold reached) » avec la surface wpforms ou forminator.
Comment Hive fonctionne avec WPForms
Hive place son champ invisible juste avant le bouton d’envoi, aussi bien dans les formulaires qui rechargent la page que dans ceux envoyés en arrière-plan. Il ne touche pas au texte de confirmation, le message de remerciement n’est donc jamais modifié.
La vérification a lieu après la validation des champs par WPForms, avant l’enregistrement d’une entrée ou l’envoi d’une notification. Un formulaire auquel il manque un champ obligatoire est donc d’abord renvoyé par WPForms, sans vérification par Hive. Un envoi refusé affiche une erreur au-dessus du formulaire, là où WPForms place ses propres messages de niveau formulaire. Le style propre à Hive garde le champ invisible hors de l’écran même quand un thème WPForms réinitialise les styles des formulaires.
Comment Hive fonctionne avec Forminator
Dans Forminator, le champ invisible se trouve dans la zone d’envoi du formulaire. La vérification passe par la liste d’erreurs propre à Forminator, avant l’enregistrement d’une entrée, le stockage d’un fichier ou l’envoi d’un e-mail. Le refus s’affiche sur le formulaire comme toute autre erreur Forminator, et les fichiers joints ne sont pas vérifiés deux fois.
Forminator charge souvent les formulaires après la page, par exemple dans des fenêtres surgissantes ou des onglets. Hive repère un formulaire qui apparaît plus tard et le prépare à nouveau. Si la preuve n’est pas prête quand le visiteur clique sur envoyer, l’envoi est retenu un instant puis expédié : un visiteur rapide n’est donc jamais refusé.
Pourquoi un refus est une erreur et non une entrée dans le dossier spam
Les deux extensions ont un dossier spam, et le filtre anti-spam de Forminator peut même afficher un message de succès à l’expéditeur selon les réglages du formulaire. Hive n’utilise volontairement ni l’un ni l’autre. Un message dans le dossier spam est un message dont l’expéditeur croit qu’il est arrivé et que le destinataire ne lit jamais. Si le verdict était faux une seule fois, personne ne le saurait.
Un refus de Hive est au contraire une erreur visible sur le formulaire. L’expéditeur peut en lire la raison et réessayer ; aucune entrée n’est enregistrée, aucune notification ne part et aucune confirmation ne s’affiche.
Comment activer la protection
- Vérifier la formule. Les adaptateurs WPForms et Forminator font partie de la formule Business. Dans une formule inférieure, les interrupteurs restent visibles et verrouillés, avec la formule requise à côté.
- Les activer. Ouvrez ReportedIP Hive > Protection, carte Form Protection, et activez Protect WPForms forms et Protect Forminator forms. Form execution proof doit rester activé. Hive vide les caches de pages courants et accepte encore, pendant une période de transition, les envois provenant de pages mises en cache avant l’activation.
- Lancer l’autotest. Tools > Diagnostics (visible en Expert mode) affiche chaque adaptateur de formulaires et lance trois passages de test depuis votre navigateur, sans envoyer de vrai formulaire.
- Surveiller le journal. Les premiers jours, consultez l’Event Log pour repérer les envois refusés. Pour observer avant de refuser, activez d’abord Report-only mode dans la carte Blocking & Escalation.
À partir de la formule Professional, la Computation check on forms fait résoudre au navigateur une petite tâche signée de votre propre site avant l’envoi, valable dix minutes et acceptée une seule fois. Cela arrête aussi les scripts qui copient les noms de champs depuis la page. Avec Community threat check on forms en mode Community Network, Hive refuse en plus les adresses signalées par la communauté. Les deux fonctionnent de la même façon sur chaque formulaire et sont expliqués dans le guide du honeypot de formulaire.
Questions sur WPForms et Forminator sans captcha
WPForms et Forminator ont-ils encore besoin d’un captcha avec Hive ?
Face aux scripts et aux robots, WPForms et Forminator n’ont plus besoin de captcha une fois les adaptateurs Hive activés. La preuve d’exécution refuse tout ce qui ne vient pas d’un navigateur ayant affiché le formulaire. Elle ne distingue pas une personne d’un botnet qui pilote un vrai navigateur ; pour cela, la vérification communautaire examine l’adresse derrière la requête.
Hive fonctionne-t-il avec le jeton WPForms et le honeypot de Forminator ?
Hive fonctionne sans conflit avec le jeton anti-spam de WPForms, le honeypot de Forminator et Akismet. Il ajoute sa propre vérification avant l’enregistrement d’une entrée, un envoi refusé par Hive ne devient donc jamais une entrée. Vous pouvez laisser activée la protection propre aux extensions ; les vérifications se complètent.
Quelle formule faut-il pour protéger WPForms et Forminator ?
Les adaptateurs WPForms et Forminator font partie de la formule Business, avec Gravity Forms, Formidable Forms, Elementor Forms et Ultimate Member. Contact Form 7, les commentaires, l’inscription et la réinitialisation du mot de passe sont protégés dans toutes les formules, y compris la gratuite. La vérification par calcul nécessite la formule Professional ou supérieure.
À lire ensuite
La documentation de Hive détaille la détection des robots et le spam des formulaires ainsi que le cache et la compatibilité. La liste de l’OWASP des menaces automatisées contre les applications web décrit les types de robots visés par ces vérifications. Toutes les formules sont comparées sur la page des tarifs.