Guía
¿Cómo proteger los formularios de tu web del spam? reCAPTCHA, Turnstile o honeypot
El spam en formularios llena tu bandeja y puede dañar tu reputación de correo. Qué opciones existen (honeypot, reCAPTCHA, Turnstile, validaciones), sus ventajas, su efecto en privacidad y conversión, y una combinación práctica.
Para frenar el spam en formularios combina varias capas: un campo trampa (honeypot) y validaciones del servidor, que no molestan al usuario, y un captcha moderno y poco intrusivo como Cloudflare Turnstile o reCAPTCHA solo si hace falta. Evita captchas pesados en todas partes, porque reducen conversiones. Revisa el efecto en privacidad: algunos servicios envían datos a terceros y requieren mencionarse en tu política.
Opciones
Qué puedes usar
- Honeypot: un campo oculto que los bots rellenan y las personas no; si se llena, se descarta el envío.
- Validaciones y límites: comprobar formato, limitar frecuencia por IP y bloquear enlaces o palabras típicas del spam.
- Captcha invisible o de baja fricción: como Cloudflare Turnstile o reCAPTCHA.
- Confirmación por correo (doble opt-in) en suscripciones.
Cómo combinarlas
Capas con poca fricción
Empieza con honeypot, tiempo mínimo de llenado y límites de frecuencia. Si aún recibes spam, añade un captcha de baja fricción en los formularios más atacados (no en todos). Revisa los registros para ver qué funciona y ajusta. Evita captchas con imágenes difíciles que ahuyentan a clientes reales.
Efecto en conversión
Que no pierdas contactos
Cada obstáculo reduce envíos legítimos. Mide la tasa de envío antes y después de cambiar la protección y prueba en móvil. Una alternativa de contacto directo (WhatsApp, teléfono) mantiene la conversión si el formulario falla. Para comparar canales de contacto, mira chatbot o formulario: qué convierte más.
Privacidad y cookies
Qué cuidar
Algunos servicios de captcha cargan scripts de terceros y procesan datos del visitante. Menciónalos en tu política de privacidad y, si usan cookies no esenciales, respeta el consentimiento. Turnstile se presenta como una alternativa enfocada en privacidad; revisa las condiciones vigentes de cada proveedor y la normativa aplicable, como la Ley 1581 en Colombia.
Spam por correo y reputación
Efectos secundarios
El spam que pasa por tus formularios puede disparar correos automáticos que dañan la reputación de tu dominio. Configura SPF, DKIM y DMARC y limita los correos de confirmación. Si los correos de tu sitio no llegan, mira por qué WordPress no envía correos.
Medición
Cómo saber si funciona
Cuenta los envíos legítimos y los descartados cada semana. Si el spam baja y los contactos reales se mantienen, la combinación es buena. Revisa también el rendimiento: los scripts de captcha deben cargarse de forma eficiente, como en cómo añadir un chatbot sin frenar el sitio.
Ejemplo
Un ejemplo práctico (ilustrativo)
Un sitio añade honeypot y límites de frecuencia, ve que baja el spam y solo en el formulario más atacado incorpora un captcha de baja fricción. Mide que los envíos reales no disminuyan. Es un escenario hipotético para ilustrar el método, no un caso real ni una promesa de resultados.
Checklist
Capas antispam
- Honeypot.
- Validaciones y límites.
- Captcha solo donde hace falta.
- Efecto en conversión medido.
- Privacidad y cookies.
- SPF, DKIM y DMARC.
- Registro de envíos descartados.
Preguntas frecuentes
Lo que suelen preguntar sobre proteger formularios del spam
¿Qué captcha es mejor?
El que ofrezca protección suficiente con menos fricción y condiciones de privacidad aceptables.
¿Un honeypot basta?
Frena muchos bots simples; los avanzados requieren más capas.
¿Pierdo conversiones con captcha?
Puede ocurrir; por eso conviene medir y usar opciones de baja fricción.
¿Cómo bloqueo el spam sin captcha?
Con honeypot, límites de frecuencia, validaciones y filtrado de contenido.