Спам в Contact Form 7 может приходить через публичный обработчик формы, даже если отправитель не открывает страницу в браузере. Сначала подтвердите точку входа: письма от формы, спам в комментариях и поддельные письма с похожим адресом требуют разных мер.
Найдите запрос, который создаёт заявку
- Откройте страницу без авторизации и отправьте тестовое обращение. В панели «Сеть» браузера найдите запрос отправки и сохраните его путь, метод и время.
- Для типичной REST-отправки CF7 путь похож на /wp-json/contact-form-7/v1/contact-forms/123/feedback. Число — идентификатор формы; фактический маршрут зависит от конфигурации.
- Сопоставьте время мусорных заявок с access.log и журналом формы. Статус HTTP 200 сам по себе не подтверждает отправку письма: приложение может вернуть сообщение об ошибке внутри успешного HTTP-ответа.
- Проверьте, не создаёт ли дубликаты повторная доставка интеграции в CRM. Дублирование одного события и массовые независимые отправки — разные причины.
Проверьте встроенные антиспам-возможности
Обновите WordPress и плагин после резервного копирования и проверки совместимости. По документации установленной версии CF7 проверьте интеграции Akismet и reCAPTCHA, если вы их используете. Убедитесь, что ключи относятся к нужному домену и скрипты не отключены политикой CSP, кешем или менеджером согласий. Новая CAPTCHA требует проверки доступности и обработки данных выбранным провайдером.
Honeypot может отсечь простые скрипты, но не гарантирует защиту от браузерной автоматизации. Проверка email и обязательных полей должна выполняться на сервере; JavaScript-проверку отправитель может обойти. Не устанавливайте несколько антиспам-плагинов одновременно без тестирования: конфликт правил затрудняет диагностику.
Ограничьте злоупотребление конкретной формой
При повторных отправках оцените частоту запросов к обработчику и обычный объём обращений. Начните с наблюдения, затем примените осторожное ограничение именно отправки формы. Общий запрет /wp-json/ или admin-ajax.php может нарушить редактор, другие плагины и интеграции. Один IP может принадлежать многим посетителям общей сети.
Если запросы перегружают WordPress, фильтрация перед исходным сервером снижает число запросов, доходящих до приложения. Подготовка домена и проверка API описаны в инструкции для WordPress; базовые меры — в разборе защиты форм.
Как проверить результат
- Отправьте обращения с телефона и компьютера, без авторизации и из другой сети.
- Проверьте ошибочные поля, повторную отправку после исправления и понятность сообщения об отказе.
- Проследите весь путь: успешный ответ формы → письмо → запись в CRM. Ошибка почтовой доставки не равна блокировке формы.
- Сравните подтверждённые обращения, мусор и отказы за сопоставимые периоды. Сохраните возможность быстро отменить новое правило.
Для анализа строки клиента из журнала используйте анализатор User-Agent. Перед публикацией примеров удалите контакты, cookie, токены, параметры запроса и другие персональные сведения.
Документация
Спам-фильтрация Contact Form 7 и FAQ разработчика CF7. Возможности интеграций зависят от установленной версии.