Защита сайта от ботов и спама в формах

Yandex SmartCaptcha — основное решение для российских сайтов. Бесплатно до 10 000 проверок в сутки на сайт, работает без VPN и Google-аккаунтов, нет блокировок Роскомнадзора. По данным Яндекса, рынок мигрирует на SmartCaptcha с reCAPTCHA — рост +31% за 2 года. Для 90% задач — оптимальный выбор.

Cloudflare Turnstile — альтернатива, когда важна анонимность пользователя или нужна совсем простая интеграция. Бесплатна, пользователю не нужно ничего нажимать. Полезна на сайтах для зарубежной аудитории.

reCAPTCHA v3 — ставлю только если клиент настаивает или сайт уже на ней. Честно предупреждаю: с 2022 года в РФ работает нестабильно, часть пользователей не может пройти проверку. Рекомендую миграцию на SmartCaptcha.

Antispam Bee, Akismet, CleanTalk — антиспам-плагины WordPress. Akismet требует API-ключ и иногда сообщения уходят на серверы Automattic — если для вас критична изоляция данных, ставлю Antispam Bee (полностью локальный, без внешних API).

Honeypot — техника невидимых полей-ловушек, годами работающая против примитивных ботов. Бот «видит» поле в HTML и заполняет его, реальный пользователь не видит — заявка с заполненным honeypot отбрасывается на сервере. Не показывает ничего пользователю — не раздражает.

nginx/PHP-фильтры — серверная защита от подозрительных POST-запросов: User-Agent-блок, чёрные IP-листы, проверка заголовков. Срабатывают раньше PHP-обработчика, не нагружают CMS.

WordPress / WooCommerce — все популярные плагины форм: Contact Form 7, WPForms, Elementor Forms, Gravity Forms. Подключаю SmartCaptcha к каждому через стандартные хуки.

1С-Битрикс — штатный модуль форм и кастомные формы, штатный антиспам-модуль. Для активных интернет-магазинов настраиваю фильтры в Битрикс24 CRM.

OpenCart — формы заказа и обратной связи через модули соответствующих типов.

Joomla — RSForm, Chronoforms и другие популярные модули форм.

Кастомные сайты на PHP, Python (Django/Flask), Node.js — обсуждается отдельно: интеграция SmartCaptcha делается напрямую через её API, серверная фильтрация — на уровне фреймворка.

Тильда — конструктор с жёсткими ограничениями на кастомный код в формах. Нельзя добавить серверную фильтрацию, потому что форма обрабатывается на серверах Тильды. Нельзя добавить полноценный honeypot — HTML-структура форм управляется конструктором.

Встроенная reCAPTCHA в Тильде с 2022 года работает в РФ нестабильно. Максимум, что можно сделать без переноса — включить штатную капчу Тильды; этого хватает только против самых примитивных ботов.

Если у вас Тильда и спам реально мешает бизнесу — единственное полноценное решение — перенести сайт на WordPress. Работаю по этому сценарию: переношу сайт, настраиваю формы заново, ставлю защиту от ботов. Подробнее в статье про защиту форм на Тильде и её ограничения.

30 дней гарантии — если боты пробивают защиту в этот срок, докручиваю бесплатно. Это покрывает большинство кейсов: бот-сети меняют тактику, и за месяц видны все сценарии.

После 30 дней — клиент сам или берёт меня на сопровождение сайта. В рамках сопровождения защита поддерживается постоянно: обновления капчи, мониторинг логов, актуализация правил под новые волны атак, проверка целостности форм после обновлений CMS.

Если интересно ещё закрыть формальные требования закона по согласиям и обработке ПДн — делаю аудит сайта по 152-ФЗ отдельной услугой. Это уже не про ботов, но логично «закрывает» юридическую часть формы заявки.