Spam nei commenti, registrazioni fittizie e attacchi brute force: tre cose che ogni proprietario di un sito WordPress si trova ad affrontare. I bot non dormono mai e una mattina potresti scoprire centinaia di "utenti" con indirizzi email fasulli nel tuo database.

Google reCAPTCHA chiude questa falla in modo completo. Questo servizio gratuito filtra i bot prima ancora che raggiungano un modulo, senza puzzle fastidiosi o "seleziona tutti i semafori". I visitatori reali non si accorgono nemmeno del controllo.

Ecco una guida passo passo per configurare reCAPTCHA su WordPress: dall'ottenimento delle chiavi API fino a nascondere il badge. Con il minimo sforzo e un paio di plugin ben mantenuti.

💡 Panoramica rapida:

• Registra il tuo sito su Google reCAPTCHA e ottieni le chiavi API
• Scegli un plugin adatto alle tue esigenze: gratuito o con supporto WooCommerce
• Imposta la protezione per i moduli di login, registrazione, commenti e reset password
• Se necessario, nascondi il logo reCAPTCHA via CSS

Cos'è Google reCAPTCHA e perché ti serve

CAPTCHA sta per "Completely Automated Public Turing test to tell Computers and Humans Apart" (test di Turing pubblico e completamente automatico per distinguere computer e umani). È un compito semplice che un umano risolve in un secondo ma un bot non può risolvere.

Google reCAPTCHA è un'evoluzione del classico CAPTCHA. Invece di testi distorti che infastidiscono i visitatori reali, le versioni moderne analizzano il comportamento: movimento del mouse, indirizzo IP, cronologia del browser. Se il sistema riconosce un umano, lo lascia passare in modo silenzioso. Se rileva attività sospette, mostra una verifica aggiuntiva.

Il servizio è completamente gratuito. Gira sull'infrastruttura di Google, non appesantisce il tuo hosting e funziona con qualsiasi tema WordPress.

Tre versioni di Google reCAPTCHA:

In pratica, la versione Invisibile è sufficiente per la maggior parte dei siti: i visitatori reali non la notano e i bot vengono bloccati.

Passo 1: Registra il tuo sito su Google reCAPTCHA

Il primo passo è ottenere le chiavi API. Nessun plugin reCAPTCHA funzionerà senza.

• Apri la pagina di amministrazione reCAPTCHA e accedi con il tuo account Google.
• Nel campo Etichetta, inserisci il nome del tuo sito (serve solo a te; i visitatori non lo vedranno).
• Scegli il tipo di reCAPTCHA: per iniziare, opta per v2 (Invisibile) per una protezione senza clic aggiuntivi.
• Nel campo Domini, inserisci il dominio del tuo sito senza https://, ad esempio: techblog.sdstudio.top.
• Accetta i termini di servizio e clicca su Invia.

Dopo l'invio, riceverai due chiavi: Site Key (pubblica) e Secret Key (privata). Copia entrambe; ti serviranno nel prossimo passo. Non condividere mai la tua Secret Key con nessuno; è la tua "password" per comunicare con i server di Google.

Passo 2: Scegli e installa un plugin reCAPTCHA

Con le chiavi in mano, non resta che installare un plugin che aggiunga reCAPTCHA ai moduli di WordPress. Ci sono diverse opzioni; la scelta dipende da quali moduli devi proteggere.

Tre plugin aggiornati per il 2026:

• Advanced Google reCAPTCHA: oltre 200.000 installazioni attive, disponibile su WordPress.org. Supporta v2, v2 Invisibile, v3 e CAPTCHA matematico. Protegge login, registrazione, commenti e WooCommerce in modo nativo. La scelta migliore per la maggior parte dei siti.
• reCaptcha by BestWebSoft: oltre 100.000 installazioni, pagina del plugin. v2, v3, Invisibile; impostazioni dettagliate per esclusione di ruoli e IP. Il supporto per WooCommerce e Contact Form 7 richiede la versione Pro.
• CAPTCHA 4WP: oltre 100.000 installazioni, disponibile nella directory. v2, v2 Invisibile, v3; rileva automaticamente la lingua dell'utente, soglia di punteggio configurabile per v3.

L'installazione è standard per ognuno di essi: Plugin → Aggiungi nuovo → digita il nome → Installa → Attiva. Dopo l'attivazione, compare una sezione delle impostazioni nella barra laterale (di solito sotto Impostazioni o come voce di menu separata).

Vai nelle impostazioni del plugin e incolla la Site Key e la Secret Key ottenute al punto 1. Spunta le caselle per i moduli che vuoi proteggere: pagina di login, registrazione, commenti e reset della password. Salva le modifiche.

Verifica che funzioni: apri il modulo di login in modalità incognito. Nell'angolo in basso a destra dovrebbe comparire il badge reCAPTCHA. Il plugin è attivo.

Step 3: Proteggere i moduli WooCommerce e i plugin di terze parti

Se il tuo sito usa WooCommerce, BuddyPress, Contact Form 7 o Gravity Forms, devi attivare la protezione per ciascun gruppo di moduli separatamente.

Apri le schede del plugin corrispondenti a queste estensioni e attiva la protezione per i moduli che ti servono:

• WooCommerce: login, registrazione, recensioni prodotto, recupero password, pagina di checkout.
• Contact Form 7 / Gravity Forms: l'integrazione di solito è automatica. Il plugin aggiunge reCAPTCHA a tutti i moduli di queste estensioni dopo che hai attivato la scheda.
• BuddyPress / Ultra Community: protezione per registrazione e login della community.

Nota: se gestisci un negozio WooCommerce, scegli un plugin che supporti WooCommerce già nella versione gratuita (Advanced Google reCAPTCHA), altrimenti per proteggere i moduli del checkout servirà un upgrade a pagamento.

Step 4: Cambiare la posizione del badge e nascondere il logo

Di default, il badge reCAPTCHA compare nell'angolo in basso a destra su tutte le pagine dove la protezione è attiva. Questo non è sempre opportuno. Su una landing page o sulla pagina di checkout, per esempio, il badge di Google può distrarre.

La maggior parte dei plugin permette di scegliere la posizione del badge nelle impostazioni:

• In basso a destra: angolo in basso a destra (default)
• In basso a sinistra: angolo in basso a sinistra
• In linea: il badge compare solo accanto al modulo

Se vuoi nascondere completamente il badge, aggiungi questo CSS in Aspetto → Personalizza → CSS aggiuntivo (o nel foglio di stile del tuo tema child):

1
.grecaptcha-badge {
2
  visibility: hidden;
3
}

C'è un vincolo, però: secondo le regole di Google, quando nascondi il badge devi aggiungere un'attribuzione testuale accanto al modulo protetto. Per esempio:

1
This site is protected by reCAPTCHA and the Google
2
<a href="https://policies.google.com/privacy">Privacy Policy</a> and
3
<a href="https://policies.google.com/terms">Terms of Service</a> apply.

Inserisci questo testo sotto ogni modulo in cui il badge è nascosto. Senza l'attribuzione, Google potrebbe bloccare la verifica e il modulo smetterà di inviare i dati.

Video: configurazione visiva di reCAPTCHA in 7 minuti

Se preferisci guardare un video invece di leggere, ecco un tutorial visivo su come installare Google reCAPTCHA su WordPress:

⁉️🤔 Domande frequenti

reCAPTCHA rallenta il mio sito?

Gli script di reCAPTCHA vengono caricati dai server di Google, non dal tuo hosting. Per la maggior parte dei siti, l'aumento dei tempi di caricamento è impercettibile. Se la velocità è critica, usa la v3: il suo script è più leggero rispetto alla v2 e la verifica avviene in modo asincrono in background. Su un sito di test con il tema Astra e la cache di WP Rocket, la differenza su PageSpeed è stata inferiore a 2 punti.

reCAPTCHA può essere aggirato?

Nessun sistema CAPTCHA può impedire completamente gli aggiramenti. Tuttavia, Google aggiorna costantemente i suoi algoritmi e il costo per aggirare reCAPTCHA v3 è più alto per gli spammer rispetto a trovare un sito non protetto. Dopo aver installato reCAPTCHA, il flusso di commenti spam e registrazioni false di solito si azzera. Se lo spam continua, verifica che reCAPTCHA sia attivo sul modulo problematico: un errore comune è una casella non selezionata nelle impostazioni.

reCAPTCHA, hCaptcha o Cloudflare Turnstile: quale scegliere?

Per un sito WordPress, il punto di partenza più semplice è Google reCAPTCHA: le chiavi si ottengono in un minuto, i plugin sono stati perfezionati negli anni e il servizio è gratuito senza limiti di richieste. hCaptcha e Cloudflare Turnstile sono valide alternative, ma per loro esistono meno plugin WordPress e la documentazione in lingue diverse dall'inglese è scarsa. Se vuoi evitare del tutto i servizi Google, usa Cloudflare Turnstile tramite il plugin Simple Cloudflare Turnstile.

Cosa fare se il sito smette di funzionare dopo l'installazione del plugin?

Disattiva il plugin via FTP: rinomina la cartella del plugin in /wp-content/plugins/ e WordPress lo disattiverà automaticamente. Verifica i requisiti di sistema: la maggior parte dei plugin reCAPTCHA richiede PHP 7.4 o superiore e WordPress 5.6 o versioni successive. Prima di installare qualsiasi plugin di sicurezza, fai un backup completo. Se il tuo sito è su un hosting WordPress Managed, crea una copia di staging e fai i test lì.

reCAPTCHA protegge dagli attacchi brute force su wp-login.php?

Sì, se il plugin è attivato per il modulo di login. Un bot che tenta di indovinare le password tramite wp-login.php incontra reCAPTCHA e non può procedere senza risolverlo. Combinato con la limitazione dei tentativi di accesso (un plugin come Limit Login Attempts Reloaded), questo blocca completamente gli attacchi brute force.

Proteggere o non proteggere: il verdetto su reCAPTCHA

Google reCAPTCHA non renderà il tuo sito invulnerabile, ma chiuderà le tre falle più fastidiose: commenti spam, registrazioni false e tentativi automatici di indovinare le password. Gratuito, senza interferire con l'esperienza utente e si configura in 10 minuti.

Se il tuo sito è solo un blog con i commenti disabilitati e senza registrazione utenti, non hai bisogno di reCAPTCHA. In tutti gli altri casi, installalo senza esitazione.

La raccomandazione principale: usa Advanced Google reCAPTCHA o reCaptcha by BestWebSoft. Entrambi i plugin ricevono aggiornamenti, sono compatibili con la versione corrente di WordPress e non rompono il sito dopo gli aggiornamenti.

Lo spam è un problema non solo nei moduli ma anche nei commenti? Dai un'occhiata alla nostra guida su tutti i 18 modi per fermare i commenti spam in WordPress, dalle impostazioni integrate ai plugin avanzati.

Se ti serve reCAPTCHA specificamente per la sezione commenti, c'è una guida separata su come aggiungere reCAPTCHA al modulo dei commenti.