Formulaires WordPress : stopper le spam sans captcha pénible
Pour stopper le spam des formulaires WordPress sans captcha pénible : champ piège, contrôle du délai, vérification invisible, filtre de contenu et limite d'envois.
Pour bloquer le spam de vos formulaires WordPress sans imposer de captcha pénible, combinez plusieurs protections invisibles : un champ piège (honeypot), un contrôle du temps de remplissage, une vérification anti-robot invisible et un filtre de contenu. Chacune arrête une partie des robots, ensemble elles en bloquent l’essentiel sans que vos vrais visiteurs ne s’en aperçoivent. Le captcha à images devient alors un dernier recours, rarement nécessaire.
Voici les méthodes, leurs avantages, leurs limites et l’ordre dans lequel les mettre en place.
Pourquoi mon formulaire WordPress reçoit-il autant de spam ?
Des robots parcourent le web en permanence à la recherche de formulaires. Ils les remplissent automatiquement pour placer des liens, des offres douteuses ou des tentatives d’hameçonnage. WordPress étant très répandu, les formulaires des extensions les plus connues sont des cibles faciles : leur structure est identique d’un site à l’autre.
Le spam n’est pas qu’une gêne. Il noie les vraies demandes, peut faire classer vos e-mails en indésirables et, s’il sert à envoyer des messages à des tiers via un formulaire mal réglé, nuire à la réputation de votre domaine.
Pourquoi éviter les captchas visibles ?
Le captcha classique (« cochez toutes les images avec un feu tricolore ») a trois défauts :
- il ajoute une étape à un moment critique, celui où le prospect vous contacte ;
- il pose des problèmes d’accessibilité aux personnes malvoyantes ou utilisant un lecteur d’écran ;
- certaines solutions chargent des scripts tiers qui ralentissent la page et peuvent déposer des cookies, à mentionner dans votre politique de confidentialité.
Les 6 protections anti-spam sans friction
1. Le champ piège (honeypot)
Un champ invisible pour les humains est ajouté au formulaire. Les robots, qui remplissent tous les champs, le complètent : le message est alors rejeté. C’est simple, gratuit et sans impact sur l’utilisateur. La plupart des extensions de formulaire proposent cette option, parfois activée par défaut.
2. Le contrôle du temps de remplissage
Un humain met plusieurs secondes à remplir un formulaire, un robot une fraction de seconde. Rejeter les envois trop rapides élimine une bonne partie des robots basiques.
3. La vérification invisible
Des services comme Cloudflare Turnstile ou la version invisible de reCAPTCHA analysent le comportement du navigateur en arrière-plan. Le visiteur n’a rien à faire dans la grande majorité des cas. Dans tous les cas, lisez les conditions du service choisi et mettez à jour votre politique de confidentialité.
4. Le filtre de contenu
Un service comme Akismet, ou les filtres intégrés à certaines extensions, analyse le message lui-même : liens multiples, mots-clés suspects, adresses connues pour le spam. Les messages douteux sont mis de côté plutôt que supprimés, ce qui permet de récupérer un faux positif.
5. Des règles de validation strictes
- Format d’e-mail et de téléphone vérifié.
- Nombre de liens limité dans le message (zéro ou un suffit pour un formulaire de contact).
- Refus des caractères ou alphabets sans rapport avec votre clientèle, si c’est pertinent pour vous.
6. La limitation des envois
Limiter le nombre d’envois par adresse IP sur une courte période bloque les rafales. Un pare-feu applicatif, côté extension de sécurité ou côté hébergeur, peut aussi filtrer les adresses connues pour leurs abus avant même qu’elles n’atteignent le formulaire.
Quelle protection choisir ?
| Protection | Friction pour le visiteur | Efficacité seule | Point d’attention |
|---|---|---|---|
| Honeypot | Aucune | Moyenne | Contourné par les robots plus évolués |
| Contrôle du délai | Aucune | Moyenne | Attention au remplissage automatique du navigateur |
| Vérification invisible | Très faible | Bonne | Script tiers, confidentialité à documenter |
| Filtre de contenu | Aucune | Bonne | Faux positifs possibles, vérifier le dossier spam |
| Validation stricte | Faible | Complémentaire | Ne pas bloquer de vrais formats |
| Captcha visible | Forte | Bonne | Perte de demandes et accessibilité réduite |
Pour une TPE, la combinaison honeypot, contrôle du délai et vérification invisible règle la plupart des cas. Ajoutez un filtre de contenu si le spam persiste.
Des formulaires propres, un site surveillé
Notre maintenance WordPress à 49 € HT par mois inclut les mises à jour, les sauvegardes et le contrôle de vos formulaires. Vous recevez les vraies demandes, pas le spam.
Et si mes vrais messages n’arrivent plus ?
Un anti-spam trop agressif peut bloquer de vraies demandes. Un problème d’envoi d’e-mails peut aussi faire croire à tort que le formulaire ne fonctionne pas. Vérifiez ces points :
- Enregistrez les envois en base : la plupart des extensions permettent de conserver une copie de chaque message dans l’administration. Vous ne perdez rien, même si l’e-mail échoue.
- Envoyez les e-mails via un serveur SMTP authentifié plutôt que par la fonction d’envoi par défaut de l’hébergeur.
- Configurez SPF, DKIM et DMARC sur votre domaine pour que vos notifications ne finissent pas en indésirables.
- Testez le formulaire chaque mois avec une vraie adresse.
- Consultez régulièrement le dossier des messages filtrés.
Un formulaire de contact efficace reste court et rassurant. La page qui l’accueille compte aussi : elle fait partie des pages indispensables d’un site vitrine.
Le spam peut-il cacher un problème de sécurité ?
Parfois. Si vous constatez l’envoi d’e-mails que vous n’avez pas déclenchés, la création de comptes utilisateurs inconnus ou des pages que vous n’avez pas publiées, il ne s’agit plus de spam de formulaire mais peut-être d’un piratage. Dans ce cas, suivez notre procédure : site WordPress piraté, que faire dans la première heure.
Questions fréquentes
Le honeypot suffit-il à bloquer tout le spam ?
Non. Il arrête les robots les plus simples, mais les plus élaborés savent ignorer les champs masqués. Combinez-le avec un contrôle du délai et une vérification invisible pour une protection solide.
reCAPTCHA pose-t-il un problème de RGPD ?
Il charge un service tiers qui traite des données de navigation. Vous devez l’indiquer dans votre politique de confidentialité et vérifier s’il nécessite un consentement selon votre configuration. En cas de doute, faites valider votre choix par votre conseil ou votre délégué à la protection des données.
Faut-il changer d’extension de formulaire pour réduire le spam ?
Rarement. Les extensions courantes proposent toutes des protections efficaces. Commencez par activer et régler celles qui existent avant d’envisager un changement.
Pourquoi je reçois du spam alors que j’ai un captcha ?
Certains messages sont envoyés par des humains payés pour remplir des formulaires, ou par des robots capables de contourner les captchas. Un filtre de contenu et une limitation des envois complètent alors la protection.
