Abre la sección de comentarios y se encuentra 300 mensajes de la noche a la mañana. Casinos, pastillas, «explosiones» SEO. Ni un solo lector real.

Sin protección, esto es normal. Según Akismet, el spam representa más del 99% de todos los comentarios en un sitio WordPress promedio. Las consecuencias son triples: el posicionamiento en buscadores cae debido a los enlaces salientes basura, los lectores se enfrentan a riesgos (los enlaces conducen a recursos maliciosos) y la base de datos se infla con cientos de entradas innecesarias. Miles de filas en wp_comments ralentizan el sitio y aumentan el tamaño de las copias de seguridad.

La buena noticia: WordPress proporciona herramientas de moderación integradas, además de que existen seis plugins con mecanismos fundamentalmente diferentes. Cubriremos ambos.

💡 Resumen rápido:

• Desglose de tres canales de spam: bots, spam manual y trackbacks, mostrando cómo identificar cada uno
• Configuración de la protección integrada de WordPress: moderación, listas de bloqueo, desactivación de pingbacks
• Comparación de seis plugins antispam con diferentes mecanismos y elección de la combinación adecuada para su escenario

Cómo el spam de comentarios destruye su sitio

El spam de comentarios es cualquier mensaje irrelevante con un backlink. Al spammer no le importa su contenido. Quiere una URL hacia su sitio en el cuerpo del comentario, el campo «Sitio web» o a través de trackbacks.

El spam llega por tres canales. Los bots rastrean miles de sitios y los inundan con mensajes prediseñados: «¡Excelente artículo! Visite mi sitio». Se basan en el volumen: cientos al día. El spam manual lo escriben personas reales a cambio de un pago. La calidad es mayor: los enlaces se ocultan en espacios o signos de puntuación, y los filtros automáticos no los detectan. Los trackbacks se diseñaron como notificaciones honestas sobre citas. En la práctica, sistemas automatizados generan miles de menciones falsas para obtener un enlace de vuelta en la sección de comentarios.

Ignorar el spam es costoso. Google considera los enlaces salientes al clasificar, incluidos los de los comentarios. Docenas de enlaces a sitios basura le indican al algoritmo: aquí nadie está gestionando el contenido. Eso es un camino directo hacia abajo en los resultados de búsqueda. Más allá del SEO, los enlaces de spam conducen a páginas de phishing y recursos que alojan malware: un lector hace clic y contrae un troyano, y el problema de reputación pasa a ser suyo. Cada comentario, incluido el spam, se escribe en las tablas wp_comments y wp_commentmeta. Miles de entradas adicionales sobrecargan la base de datos y ralentizan cada página.

Protección integrada de WordPress: qué configurar sin plugins

WordPress incluye herramientas de moderación de comentarios integradas. Todos los ajustes están en Ajustes → Comentarios. En la práctica, la mayoría de los propietarios de sitios los ignoran e instalan inmediatamente un plugin, aunque estos parámetros cierran vectores de ataque básicos.

Qué configurar primero:

• Moderar todos los comentarios. Cada comentario nuevo espera aprobación. Para un blog joven con poco tráfico, esta es la opción más fiable: ningún spam se hace público.

• Filtro por cantidad de enlaces. El parámetro «Moderación de comentarios» envía a la cola los mensajes con N o más enlaces. El valor predeterminado es 2. Establézcalo en 1 para retener cualquier comentario con al menos una URL.

• Lista de bloqueo. Los campos «Lista de bloqueo de comentarios» y «Claves de comentarios no permitidas» bloquean por IP, correo electrónico, dominio del enlace o palabra clave. Atrape a un spammer, añada el patrón: los comentarios repetidos no pasarán.

• Desactivar trackbacks. Desmarque «Permitir notificaciones de enlaces desde otros blogs (pingbacks y trackbacks)». El noventa por ciento de este tipo de spam desaparece de inmediato.

• Exigir registro. La opción «Los usuarios deben estar registrados e identificados para comentar» corta el paso a la mayoría de los bots. Inconveniente: crea una barrera para los lectores reales y no se adapta a todos los blogs.

¿Tiene la configuración básica lista? Ahora añada plugins. A continuación, seis con diferentes mecanismos: combine dos o tres con principios de funcionamiento distintos para obtener la máxima eficacia.

1. Akismet

Akismet de Automattic (los desarrolladores de WordPress.com) viene preinstalado en la mayoría de los sitios WordPress nuevos por una razón. El plugin compara cada comentario con una base de datos global en la nube de patrones de spam conocidos. Sin CAPTCHA, sin fricción para los lectores reales.

El principio es doble: primero el comentario se compara con millones de firmas en la base de datos de Akismet, luego se analiza el comportamiento del usuario en la página. Los bots y los humanos se comportan de manera diferente, y esto se detecta sin verificación visible. Los falsos positivos son raros, pero vale la pena revisar la carpeta de «Spam» una vez por semana: toma un minuto y le evita perder una reseña valiosa.

En nuestro análisis detallado de plugins encontrará una revisión completa de Akismet con ajustes y comparativas de alternativas.

• Ventajas: base de datos global en la nube con miles de millones de firmas; sin CAPTCHA; historial de estado de comentarios; el modo «Descartar el peor spam» elimina la basura sin guardarla en la base de datos
• Desventajas: el uso comercial requiere un plan de pago; falsos positivos en spam manual ingenioso
• Precio: gratuito para blogs personales (pague lo que quiera, incluido $0); Pro 9,95 €/mes con facturación anual (un sitio comercial); Business 47,95 €/mes (sitios ilimitados)
• Descarga: 🔗 Akismet en WordPress.org | 🔗 Sitio web oficial

2. Antispam Bee

Antispam Bee de pluginkollektiv: más de 700 000 instalaciones activas en WordPress.org y gratuito para siempre para sitios personales y comerciales. La principal diferencia con Akismet: sin solicitudes externas. Todo el procesamiento ocurre en su servidor, lo que automáticamente implica compatibilidad total con el RGPD.

El mecanismo se basa en un honeypot. Se añade un campo invisible a la página: un bot que rellena automáticamente todos los campos del formulario cae en la trampa y se bloquea antes de guardarse en la base de datos. Huella cero en wp_comments: el spam simplemente no se escribe allí. Adicionalmente: filtrado por idioma del comentario y país del remitente. Advertencia importante: Antispam Bee solo funciona con el sistema de comentarios estándar de WordPress y no filtra formularios de contacto por sí solo.

• Ventajas: honeypot sin CAPTCHA; bloquea antes de escribir en la base de datos; compatible con el RGPD sin configuración adicional; gratuito para siempre
• Desventajas: no protege formularios de contacto ni plugins de comentarios de terceros (Disqus, wpDiscuz, Jetpack)
• Precio: completamente gratuito
• Descarga: 🔗 Antispam Bee en WordPress.org

3. Titan Anti-spam & Security

Titan Anti-spam & Security de Themeisle está dirigido a quienes buscan antispam y seguridad básica en un solo plugin. Más de 60.000 instalaciones activas, última actualización en mayo de 2026. El componente antispam verifica los comentarios contra una base de datos de patrones actualizada localmente sin contactar servidores externos: mejor para la privacidad, pero la base de datos es objetivamente más pequeña que la de Akismet.

Adicionalmente en la versión gratuita: protección contra ataques de fuerza bruta, límites de intentos de inicio de sesión fallidos, ocultación de la versión de WordPress. La versión Pro añade aprendizaje automático para la detección de spam, autenticación de dos factores y copias de seguridad. Un solo plugin en lugar de dos o tres. Una buena opción si no quiere manejar múltiples herramientas.

• Ventajas: antispam más seguridad sin CAPTCHA; base de datos local sin transmitir datos a terceros; mantenimiento activo
• Desventajas: precisión del filtrado inferior a Akismet (base de datos de firmas más pequeña); funciones avanzadas solo en Pro
• Precio: la versión gratuita es completamente funcional; planes Pro en titansitescanner.com
• Descarga: 🔗 Titan Anti-spam en WordPress.org | 🔗 Documentación

4. Zero Spam

Zero Spam (más de 20.000 instalaciones activas) combina tres técnicas de filtrado: verificación JavaScript mediante el método de David Walsh (un bot sin motor JS no la supera), filtrado IP con las bases de datos de Stop Forum Spam y Project Honeypot, más bloqueo geográfico hasta nivel de país y región. Todo funciona en segundo plano, sin CAPTCHA.

Bloqueo geográfico: un punto fuerte aparte. Si el spam proviene de unos pocos países concretos y usted no tiene visitantes reales de allí, dos clics en los ajustes cierran el canal. Amplio soporte de formularios: Contact Form 7, WPForms, Gravity Forms, Fluent Forms, wpDiscuz. La versión básica es gratuita; la integración extendida con la API de zerospam.org (reputación IP en tiempo real) requiere suscripción.

• Ventajas: tres niveles de filtrado sin CAPTCHA; bloqueo geográfico con excepciones por lista blanca; amplio soporte de formularios
• Inconvenientes: la protección extendida requiere suscripción a zerospam.org; algunos usuarios señalan monetización intrusiva en la interfaz
• Precio: versión gratuita; funciones extendidas mediante suscripción a zerospam.org
• Descarga: 🔗 Zero Spam en WordPress.org

5. Hide Trackbacks

Hide Trackbacks resuelve una sola tarea: oculta los trackbacks y pingbacks de la vista pública de su sitio, manteniéndolos accesibles en el panel de administración. Los lectores solo ven comentarios reales. En el panel de administración, usted conserva la imagen completa de las menciones legítimas al sitio.

Es un compromiso entre desactivar completamente los trackbacks (perdiendo información sobre citas honestas) y una sección abierta llena de spam. El plugin no bloquea técnicamente los trackbacks de spam: estos siguen llegando y escribiéndose en la base de datos. Solo los elimina del frontend. Adecuado para quienes desean monitorear menciones reales pero no mostrar basura de trackbacks a los lectores.

• Ventajas: oculta los trackbacks del frontend sin perder datos en el panel de administración; configuración cero; no afecta a los comentarios reales
• Inconvenientes: no bloquea técnicamente los trackbacks de spam, solo los oculta; la base de datos igual se satura; audiencia reducida (más de 400 instalaciones)
• Precio: completamente gratuito
• Descarga: 🔗 Hide Trackbacks en WordPress.org

6. Forget Spam Comment

Forget Spam Comment: unos 200 bytes de JavaScript y sin ajustes. El plugin bloquea las solicitudes directas a wp-comments-post.php para los bots: la ruta al formulario de comentarios se abre solo cuando un visitante real se desplaza hacia abajo hasta la sección de comentarios. Los bots que envían solicitudes directamente sin interactuar con la página son rechazados. Los humanos hacen todo como de costumbre.

Cumple con el RGPD: sin solicitudes externas, sin envío de datos de usuario a ninguna parte. Funciona con plugins de caché (se requiere limpiar la caché tras la activación). Sin informes de elementos bloqueados: no sabrá qué fue exactamente lo capturado. Por lo tanto, Forget Spam Comment se instala mejor como una capa adicional sobre Akismet o Antispam Bee.

• Ventajas: unos 200 bytes de JS, sin CAPTCHA; configuración cero; cumple con el RGPD; funciona con plugins de caché
• Inconvenientes: sin informes sobre el spam bloqueado; no protege formularios de contacto; última actualización en 2025
• Precio: completamente gratuito
• Descarga: 🔗 Forget Spam Comment en WordPress.org

Si prefiere un formato visual, a continuación encontrará un resumen en video sobre la configuración de la protección antispam en WordPress: desde los parámetros integrados hasta la conexión de plugins.

Tabla comparativa: los seis plugins

⁉️🤔 Preguntas frecuentes

¿Qué plugin debo elegir si mi presupuesto es cero?

La combinación de Antispam Bee más Zero Spam cubre la mayor parte del spam de forma gratuita. Antispam Bee atrapa bots mediante honeypot sin carga para la base de datos, Zero Spam remata el resto mediante detección JS y bloqueo geográfico. Añada Hide Trackbacks para la limpieza del frontend: obtiene protección multicapa sin costo alguno.

¿Es Akismet gratuito para sitios comerciales?

No. Para blogs personales, Akismet funciona bajo el modelo «pague lo que quiera»: puede introducir $0. Para sitios comerciales, necesita un plan de pago. Según la página de precios en akismet.com: Pro 9,95 €/mes con facturación anual (un sitio), Business 47,95 €/mes (sitios ilimitados).

¿Puedo simplemente desactivar los comentarios y olvidarme del spam?

Técnicamente, sí. Desactívelos en Ajustes → Comentarios y cierre las entradas existentes. Pero perderá la retroalimentación de los lectores, el contenido generado por usuarios y las señales sociales: Google considera todo esto al posicionar. Para la mayoría de los blogs, esta es una medida excesiva con pérdidas significativas.

¿Ayuda el CAPTCHA contra el spam en comentarios?

Ayuda, pero a costa de la conversión. reCAPTCHA v3 es invisible pero recopila datos (problema con el RGPD). hCaptcha es más privado. Dicho esto, los bots modernos eluden el CAPTCHA mediante servicios de resolución manual. El CAPTCHA funciona como una barrera adicional, no como la única línea de defensa.

¿Necesito instalar varios plugins o basta con uno?

Un plugin de calidad (Akismet o Antispam Bee) es suficiente para la gran mayoría de los sitios. Dos con mecanismos diferentes: óptimo para un alto volumen de comentarios. Tres o más: el riesgo de conflictos supera el beneficio en la mayoría de los escenarios. Pruebe siempre los plugins nuevos en un entorno de pruebas.

Qué plugin elegir según su tarea

El conjunto de herramientas depende del tipo de sitio, los requisitos de privacidad y el volumen de comentarios. No existe una opción «mejor» universal.

Blog personal con poco tráfico: Akismet en el plan personal (puede pagar $0) más la moderación integrada de WordPress. Tres clics y casi todo está cubierto.

Sitio comercial con comentarios activos: Akismet Pro (9,95 €/mes) como filtro base más Zero Spam como segunda barrera. Esta combinación gestiona decenas de miles de comentarios al mes con mínimos falsos positivos.

Proyecto que prioriza la privacidad u obligado por el RGPD: Antispam Bee (todo el procesamiento en el servidor, sin solicitudes externas) más Hide Trackbacks para limpieza en el frontend. Los datos del usuario nunca salen de su servidor.

Sin tiempo para moderar en absoluto: Forget Spam Comment sobre Akismet. El plugin minimalista y sin ajustes corta los bots residuales automáticamente.

Más herramientas antispam, incluidas soluciones especializadas para formularios y WooCommerce, están recopiladas en nuestro resumen de 12 plugins.

Quince minutos de configuración ahora ahorran horas de limpieza manual después. Pruebe Antispam Bee o Akismet como primer paso: ambos se instalan en un clic. Comparta en los comentarios qué plugin o combinación utiliza.