In breve: Proteggere WordPress con CAPTCHA: Vuoi proteggere WordPress con un CAPTCHA? Puoi ridurre invii automatici, registrazioni indesiderate e tentativi eseguiti dai bot aggiungendo Google reCAPTCHA oppure Cloudflare Turnstile ai moduli più esposti.
Indice dei contenuti
Proteggere WordPress con CAPTCHA: obiettivo e requisiti
Vuoi proteggere WordPress con un CAPTCHA? L’integrazione deve controllare il token anche lato server: mostrare soltanto il widget nel browser non rende protetto il modulo.
scegli una soluzione supportata dal plugin che gestisce il tuo modulo, crea una site key e una secret key per il dominio corretto, inseriscile nelle impostazioni di WordPress, abilita la protezione inizialmente su un solo modulo e prova l’invio da una finestra privata. Quando il test è riuscito, estendi la protezione a login, recupero password, registrazione, commenti o moduli di contatto realmente esposti.
Importante: CAPTCHA e Turnstile sono livelli anti-bot, non sostituti della sicurezza di WordPress. Mantieni aggiornati core, tema e plugin, usa password uniche, limita gli account amministrativi, abilita l’autenticazione a due fattori quando disponibile e conserva backup ripristinabili.
Proteggere WordPress con CAPTCHA: guida pratica
Un CAPTCHA prova a distinguere una richiesta umana da una richiesta automatizzata prima che WordPress elabori un’azione. Può essere utile nei punti nei quali un bot riesce a inviare molte richieste ripetitive, per esempio:
- pagina di accesso a WordPress;
- recupero o reimpostazione della password;
- registrazione di nuovi utenti;
- pubblicazione dei commenti;
- moduli di contatto e richiesta preventivo;
- recensioni, newsletter e altri moduli pubblici;
- accesso, registrazione e recupero password di WooCommerce.
La protezione deve essere applicata all’azione che riceve il modulo, non soltanto alla pagina visibile. Un bot può inviare direttamente una richiesta HTTP senza caricare il widget. Per questo il plugin o il codice che integra il servizio deve verificare sul server che il token sia valido, appartenga al dominio previsto e non sia scaduto o già utilizzato.
Un CAPTCHA non corregge vulnerabilità di plugin e temi, non rimuove codice dannoso e non sostituisce il controllo degli accessi. Per una strategia completa consulta anche le linee guida per la sicurezza di WordPress e la guida ufficiale al rafforzamento della sicurezza di WordPress.
Cloudflare Turnstile, reCAPTCHA v2 o reCAPTCHA v3
La scelta dipende soprattutto dalla compatibilità con il modulo da proteggere, dal tipo di esperienza desiderata e dalle funzioni realmente offerte dal plugin. Non installare due soluzioni sullo stesso modulo: script e validazioni sovrapposti possono impedire l’invio anche agli utenti legittimi.
| Soluzione | Come funziona | Quando valutarla |
|---|---|---|
| Cloudflare Turnstile | Genera un token mediante un widget gestito o invisibile e richiede la verifica lato server con Siteverify. | Quando il plugin del modulo lo supporta e vuoi una verifica con interazione generalmente ridotta. |
| Google reCAPTCHA v2 | Può mostrare la casella “Non sono un robot” oppure funzionare in modalità invisibile, presentando una verifica aggiuntiva quando necessario. | Quando desideri una verifica visibile o il plugin supporta specificamente la versione v2. |
| Google reCAPTCHA v3 | Restituisce un punteggio senza chiedere normalmente un’azione al visitatore; l’integrazione decide come trattare il risultato. | Quando il plugin sa gestire punteggi, azioni e soglie per lo specifico modulo. |
La documentazione ufficiale Google sulle versioni reCAPTCHA distingue v2 con casella o badge invisibile e v3 basata su un punteggio. Le chiavi create per una versione non devono essere usate in un’integrazione configurata per un’altra versione.
Cloudflare descrive Turnstile come un servizio indipendente: può essere utilizzato anche se il sito non passa attraverso il proxy Cloudflare. La procedura ufficiale per iniziare con Turnstile richiede la creazione del widget, l’inserimento della site key e la validazione del token sul server.
Prima di installare il plugin CAPTCHA
- crea un backup oppure verifica che sia disponibile un backup recente e ripristinabile;
- aggiorna WordPress, il tema e i plugin compatibili con la versione PHP in uso;
- controlla quale plugin genera il modulo da proteggere;
- verifica nella documentazione del plugin quali servizi e versioni CAPTCHA sono supportati;
- prepara un secondo accesso amministrativo o mantieni aperta una sessione già autenticata durante il primo test;
- annota le impostazioni iniziali per poterle ripristinare rapidamente.
Prima dell’installazione verifica data dell’ultimo aggiornamento, compatibilità dichiarata, numero di installazioni, assistenza e cronologia delle versioni. Evita plugin abbandonati o componenti scaricati da siti non ufficiali. Se il plugin del modulo include già l’integrazione richiesta, utilizza quella funzione invece di aggiungere un secondo plugin con lo stesso compito.
Come creare site key e secret key
I nomi cambiano leggermente tra i fornitori, ma il principio è lo stesso:
- accedi alla console ufficiale del servizio scelto;
- crea un nuovo sito o widget con un nome riconoscibile;
- seleziona reCAPTCHA v2, reCAPTCHA v3 oppure il tipo di widget Turnstile compatibile con il plugin;
- aggiungi il dominio senza protocollo e senza percorsi, per esempio
example.com; - aggiungi separatamente eventuali domini di staging soltanto se devono essere autorizzati;
- salva e copia la site key e la secret key nei rispettivi campi del plugin.
La site key è un identificatore pubblico usato dal widget nel browser. La secret key è una credenziale privata impiegata per verificare i token: non pubblicarla in pagine, screenshot, repository, ticket o codice JavaScript. Se ritieni che sia stata esposta, revocala o ruotala nella console del fornitore e aggiorna subito la configurazione di WordPress.
Usa chiavi differenti tra produzione e ambienti di prova. Limita i domini autorizzati e rimuovi quelli non più utilizzati. Per Turnstile, Cloudflare raccomanda inoltre di verificare il token a ogni richiesta e di controllare hostname e azione quando l’integrazione li utilizza.
Come configurare CAPTCHA o Turnstile in WordPress
- entra nella Bacheca di WordPress con un account amministrativo;
- apri Plugin → Aggiungi nuovo plugin;
- cerca l’integrazione compatibile con il modulo e installala dalla directory ufficiale;
- attiva il plugin e apri la relativa pagina delle impostazioni;
- seleziona esattamente il servizio e la versione per i quali hai generato le chiavi;
- incolla la site key nel campo pubblico e la secret key nel campo privato;
- salva e abilita inizialmente la protezione su un solo modulo non critico;
- apri la pagina in una finestra privata e completa un invio reale;
- controlla che il messaggio arrivi o che l’azione venga registrata correttamente;
- estendi la protezione agli altri moduli uno alla volta.
Le etichette possono cambiare in base al plugin: potresti trovare voci come Login, Registration, Lost Password, Comments, Contact Forms o WooCommerce. Abilita soltanto quelle effettivamente supportate. Un’opzione visibile nelle impostazioni generali non garantisce che ogni plugin di moduli utilizzi automaticamente la stessa integrazione.
Quando utilizzi un plugin WordPress affidabile, la validazione lato server dovrebbe essere già inclusa. Non basta però vedere il riquadro nella pagina: effettua sempre un invio di prova e, se possibile, prova anche un token mancante o scaduto in un ambiente di test. La documentazione Siteverify di Turnstile specifica che il widget lato client da solo non protegge il modulo.
Quali moduli proteggere per primi
Login e recupero password
Sono bersagli comuni per tentativi automatici. Proteggili senza modificare l’indirizzo della pagina durante la stessa operazione. Dopo l’attivazione prova accesso, errore di password e recupero password da un browser non autenticato. Mantieni una sessione amministrativa aperta finché la verifica non è conclusa.
Registrazione utenti e commenti
Se la registrazione pubblica non è necessaria, disabilitarla è più efficace che lasciare un modulo inutilizzato protetto soltanto da CAPTCHA. Per i commenti combina la verifica con moderazione, lista di termini e limiti coerenti con il sito.
Moduli di contatto
Proteggi il modulo che riceve spam, non tutte le pagine indistintamente. Verifica campi obbligatori, conferma visuale, recapito email e salvataggio nel database. Se il modulo usa AJAX, popup o contenuti caricati dinamicamente, serve un’integrazione compatibile con quel metodo di rendering.
WooCommerce
Inizia da login, registrazione e recupero password. Valuta il checkout soltanto se il plugin dichiara esplicitamente la compatibilità e prova acquisto come ospite, utente autenticato, applicazione coupon e pagamento. Un controllo configurato male può impedire ordini legittimi.
Come verificare che la protezione funzioni
- esci da WordPress oppure usa una finestra privata;
- prova il modulo da computer e smartphone;
- verifica sia l’esito corretto sia un errore intenzionale;
- controlla che il pulsante non resti bloccato e che non compaiano invii doppi;
- prova i browser principali e, se previsto, un browser con blocco dei contenuti;
- controlla log del plugin o statistiche del servizio senza registrare dati sensibili;
- conferma che email, registrazioni, commenti o ordini arrivino una sola volta;
- ripeti il test dopo aver svuotato la cache pertinente.
Se il sito utilizza LiteSpeed Cache, una pagina già memorizzata può continuare a mostrare il modulo precedente. Consulta la guida alla gestione della cache di WordPress e, dopo la modifica, segui la procedura per cancellare la cache di WordPress. Non disattivare tutte le ottimizzazioni insieme: individua prima la funzione coinvolta.
Problemi comuni con CAPTCHA e Turnstile
Il widget non compare
Controlla la console del browser, gli errori JavaScript, il consenso agli script esterni, la Content Security Policy e le ottimizzazioni che ritardano o combinano JavaScript. Verifica anche che il plugin abbia inserito il CAPTCHA nello specifico modulo e che la pagina non provenga da una cache precedente.
Compare “dominio non valido” o “site key non valida”
Controlla che il dominio sia autorizzato nella console, che la chiave appartenga al servizio e alla versione selezionati e che produzione e staging non siano stati confusi. Non inserire https:// o un percorso quando la console richiede soltanto l’hostname.
Il modulo restituisce token scaduto o duplicato
I token hanno durata limitata e non devono essere riutilizzati. Il problema può comparire se il visitatore lascia il modulo aperto a lungo, se un invio viene ripetuto oppure se un’integrazione AJAX non rigenera correttamente il token. Aggiorna plugin e modulo e verifica che il widget venga ripristinato dopo ogni tentativo.
Il modulo non si invia dopo l’attivazione
Disabilita la protezione soltanto sul modulo interessato oppure disattiva il plugin CAPTCHA se hai perso l’accesso. Ripristina la configurazione precedente, pulisci la cache della pagina e prova di nuovo. Controlla conflitti tra due plugin anti-bot, versioni CAPTCHA non corrispondenti e script bloccati.
Il login di WordPress è bloccato
Se hai ancora una sessione amministrativa aperta, disabilita l’opzione sul login. In alternativa disattiva temporaneamente il solo plugin coinvolto da cPanel o FTP rinominandone la cartella, poi accedi e correggi chiavi e impostazioni. Non rinominare l’intera cartella plugins e non cancellare il plugin prima di aver annotato la configurazione.
Se non individui la causa, apri un ticket su Xlogic indicando dominio, URL del modulo, nome e versione del plugin, servizio CAPTCHA scelto, data e ora, messaggio completo e verifiche già eseguite. Allega uno screenshot privo di site key private, secret key, password e dati personali.
Domande frequenti
Come verificare che CAPTCHA o Turnstile funzionino davvero?
Prova il modulo da una finestra privata e da più dispositivi, verificando sia un invio valido sia un tentativo errato. Controlla che il pulsante non resti bloccato, che non partano invii duplicati e che le richieste legittime arrivino correttamente.
Come ottenere e configurare site key e secret key?
Crea le chiavi dalla console ufficiale del servizio CAPTCHA scelto, associandole al dominio corretto. Inserisci site key e secret key solo nelle impostazioni del plugin compatibile e non pubblicare mai la chiave segreta.
Guide Xlogic correlate
- Come proteggere la mail dallo Spam – AntiSpam
- Come effettuare una scansione antivirus
- Imunify Security – Sicurezza Hosting