Lo spam nei commenti non è un fastidio, è lavoro. Ogni mattina accedi al pannello di amministrazione e invece di discussioni vedi decine di messaggi su «compra SEO a poco prezzo» e «guadagni con le cripto». La moderazione manuale ti porta via mezz'ora al giorno, e disabilitare i commenti uccide l'attività e il segnale SEO della pagina.

La situazione sta peggiorando: i bot diventano sempre più intelligenti, e WordPress, il CMS più diffuso al mondo, e gli spammer lo sanno meglio di noi. Il filtro anti-spam integrato Akismet secondo i dati di Automattic blocca 7,5 milioni di messaggi spam ogni ora, e qualcuno passa ancora.

Google reCAPTCHA chiude questa falla in 15 minuti. Una casella gratuita «Non sono un robot» sotto il modulo dei commenti, e i bot vengono tagliati fuori, mentre i lettori reali superano il controllo in un secondo senza neanche accorgersene. Vediamo l'installazione passo dopo passo.

💡 Panoramica rapida:

• Registra il tuo sito in Google Cloud Console e ottieni Site Key e Secret Key
• Installa il plugin gratuito Advanced Google reCAPTCHA (oltre 200.000 installazioni attive, valutazione 4,8)
• Inserisci le chiavi nelle impostazioni del plugin e attiva la protezione dei commenti

Cos'è Google reCAPTCHA e perché ti serve

Google reCAPTCHA è una tecnologia che distingue una persona reale da un bot senza puzzle né indovinelli. L'abbreviazione sta per «Completely Automated Public Turing test to tell Computers and Humans Apart», un test di Turing completamente automatizzato per separare umani e macchine.

Nel 2009 Google ha acquistato la tecnologia dalla Carnegie Mellon University e l'ha rielaborata. Oggi il controllo per l'utente si presenta come un singolo clic sulla casella «Non sono un robot». Google analizza segnali comportamentali, movimenti del mouse, tempistiche, cronologia del browser e prende una decisione all'istante. Se l'algoritmo ha dubbi, mostra un compito aggiuntivo: «seleziona tutti i quadrati con i semafori». Per un umano è banale, per un bot è un muro.

Punto importante: alla fine del 2025 Google ha migrato reCAPTCHA sulla piattaforma Google Cloud. La vecchia console google.com/recaptcha/admin non funziona più, ora le chiavi si creano tramite Google Cloud Console. Il limite gratuito è cambiato: fino a 10.000 controlli al mese senza pagamento, oltre il limite serve una carta collegata. Per un blog medio questo basta con ampio margine.

reCAPTCHA protegge non solo i commenti, ma anche modulo di login, registrazione, reset password, WooCommerce, Easy Digital Downloads, BuddyPress. E viene mostrato solo ai visitatori non autenticati: lettori abituali e autori semplicemente non lo vedono.

Passo 1: ottieni le chiavi API in Google Cloud Console

Senza chiavi il plugin non funziona, questa è la prima cosa da fare.

In passato le chiavi si ottenevano su google.com/recaptcha/admin, ma dopo la migrazione del 2025 il processo passa attraverso Google Cloud Console. Vai su console.cloud.google.com, accedi con il tuo account Google e crea un nuovo progetto (o selezionane uno esistente). Nel menu laterale trova API e servizi → Libreria, nella barra di ricerca inserisci reCAPTCHA Enterprise e attiva l'API.

Poi vai alla sezione reCAPTCHA nel menu laterale e clicca su Crea chiave. Compila il modulo:

• Etichetta, un nome qualsiasi per tua comodità, ad esempio «TechBlog Blog». Utile se hai più siti.
• Tipo di reCAPTCHA, seleziona v2, poi l'opzione Checkbox «Non sono un robot». Questa dà la casella di spunta.
• Domini, inserisci il dominio senza https:// e www, ad esempio techblog.sdstudio.top. Con il pulsante + puoi aggiungere sottodomini, le chiavi funzioneranno su tutti.

Spunta entrambe le caselle: «Accetto i Termini di servizio di reCAPTCHA» e «Invia avvisi ai proprietari», Google invierà un'email in caso di attività sospetta o configurazione errata.

Clicca su Invia. Google mostrerà un messaggio di successo e ti fornirà due chiavi:

• Site Key, pubblica, da inserire nel plugin;
• Secret Key, privata, non mostrarla a nessuno.

Copia entrambe. Ti serviranno tra un minuto.

Passo 2: installa e configura il plugin Advanced Google reCAPTCHA

In WordPress vai su Plugin → Aggiungi nuovo, inserisci Advanced Google reCAPTCHA nella ricerca e trova il plugin di WebFactory Ltd. Questo è il plugin reCAPTCHA gratuito più popolare nel catalogo: oltre 200.000 installazioni attive, valutazione 4,8 su 5 basata su 429 recensioni, versione 5.39 (aggiornato 6 giorni fa), testato fino a WordPress 7.0.

Clicca su Installa, poi su Attiva.

Dopo l'attivazione, nel menu laterale dell'amministrazione comparirà la voce Impostazioni → Advanced Google reCAPTCHA. Aprila.

Inserisci Site Key e Secret Key nei campi corrispondenti e clicca su «Salva la tua coppia di chiavi API Google reCAPTCHA».

Passo 3: attiva reCAPTCHA per i commenti

Nella stessa pagina delle impostazioni trova l'interruttore «Abilita per il modulo dei commenti» e attivalo. Il plugin permette di attivare la protezione in modo indipendente per ogni modulo:

• login (Login Form);
• registrazione (Registration Form);
• reset password (Reset Password Form);
• commenti (Comment Form);
• WooCommerce, Easy Digital Downloads, BuddyPress.

Attiva i moduli che ti servono. Puoi impostare configurazioni separate per ciascuno. In fondo alla pagina clicca su «Salva modifiche».

Fatto. La casella «Non sono un robot» comparirà sotto il modulo dei commenti. Puoi verificarlo in modalità incognito, reCAPTCHA non viene mostrato agli utenti autenticati.

Video: installazione passo passo di reCAPTCHA su WordPress

Una breve guida di 2 minuti attraverso tutti e tre i passaggi, dalla registrazione delle chiavi all'attivazione su un sito live:

Cos'altro fare per la protezione dallo spam

reCAPTCHA è potente, ma non è l'unica linea di difesa. Ecco tre misure aggiuntive che chiudono lo spam residuo:

• Attiva la moderazione dei commenti. In Impostazioni → Discussione spunta la casella «Il commento deve essere approvato manualmente». Questo è il controllo finale: nessun commento apparirà sul sito senza la tua approvazione.
• Usa Akismet. Il plugin anti-spam gratuito di Automattic è incluso in WordPress. Si attiva con un clic, filtra lo spam a livello server, prima che il messaggio entri nella coda di moderazione.
• Imposta una blacklist. Nelle stesse impostazioni di discussione c'è il campo «Parole non consentite». I commenti che contengono una qualsiasi parola della lista vengono automaticamente mandati nel cestino.

La combinazione reCAPTCHA + Akismet + moderazione chiude quasi tutto lo spam senza danneggiare la discussione reale. Abbiamo approfondito l'argomento nell'articolo su 18 modi per fermare i commenti spam in WordPress, che tratta anche il metodo honeypot, la disabilitazione dei commenti sui post vecchi e altre tecniche avanzate.

⁉️🤔 Domande frequenti

Google reCAPTCHA è gratuito nel 2026?

Dopo la migrazione a Google Cloud alla fine del 2025, il limite gratuito è di 10.000 controlli al mese. Per un blog tipico o un piccolo negozio online questo basta con ampio margine. Oltre il limite serve una carta collegata al tuo account Google Cloud, e Google inizia ad addebitare un costo per ogni migliaio di controlli aggiuntivo. Senza carta, al superamento del limite reCAPTCHA smette semplicemente di funzionare fino all'inizio del mese successivo. Per un blog WordPress medio questo copre tutta l'attività di commenti, login e registrazione. Vale comunque la pena collegare una carta: se il limite viene superato accidentalmente (ad esempio, i bot attaccano il modulo), reCAPTCHA non si disattiverà a metà mese.

reCAPTCHA è visibile agli utenti autenticati?

No. Il plugin Advanced Google reCAPTCHA per impostazione predefinita nasconde il captcha agli utenti autorizzati: amministratori, editor, autori e abbonati. Puoi modificare questo comportamento nelle impostazioni, ma in pratica non serve. I lettori abituali e gli autori non lo vedono affatto. Puoi verificare il funzionamento del captcha solo in modalità incognito o disconnettendoti.

reCAPTCHA rallenta il caricamento della pagina?

Praticamente no. Lo script di reCAPTCHA si carica in modo asincrono e solo sulle pagine con un modulo protetto. La dimensione, circa 100-150 KB, viene distribuita attraverso la rete CDN globale di Google. Il tempo di interattività (TTI) aumenta di 100-300 ms, l'utente non percepisce questo ritardo. L'impatto reale sulla velocità è impercettibile per il visitatore e insignificante per le metriche Core Web Vitals.

Si può installare reCAPTCHA senza plugin?

Tecnicamente sì, tramite l'inserimento manuale dello script API di Google in functions.php e comments.php del tema. Ma sono 20-30 righe di codice che andranno aggiornate quando si cambia tema e versione di WordPress. Il plugin offre un'interfaccia grafica, aggiornamenti automatici e indipendenza dal template: hai aggiornato il tema, la protezione è rimasta al suo posto. L'inserimento manuale richiede la modifica di tre file del tema e di ripetere questo lavoro a ogni aggiornamento maggiore di WordPress. Oltre 200.000 utenti del plugin hanno scelto di non complicarsi la vita.

reCAPTCHA blocca tutto lo spam?

La stragrande maggioranza, sì. Non esiste una garanzia assoluta: esistono fattorie manuali di inserimento captcha dove persone per pochi centesimi superano i controlli in tempo reale. Ma per un blog WordPress medio, reCAPTCHA in combinazione con Akismet taglia fuori quasi tutto. I pochi messaggi rimanenti vengono facilmente eliminati dalla moderazione manuale. Lo spam automatico viene bloccato completamente. Ciò che resta sono attacchi mirati a un sito specifico o spam manuale tramite fattorie di captcha. La combinazione reCAPTCHA + Akismet + moderazione riduce quasi a zero la quota di spam che raggiunge i lettori.

Installare reCAPTCHA o no: un verdetto breve

Installalo senza dubbio. È gratuito per la stragrande maggioranza dei siti, richiede 15 minuti e risolve il problema dello spam alla radice, senza disagi per i lettori.

Se i commenti sono importanti per te, e per un blog lo sono sempre: l'attività nelle discussioni è sia prova sociale che un segnale per i motori di ricerca, reCAPTCHA andrebbe installato dal primo giorno. In coppia con Akismet chiude quasi tutto lo spam automaticamente.

La combinazione di tre strumenti, reCAPTCHA, Akismet e moderazione manuale dei primi due commenti, funziona come un orologio. Installalo oggi: 15 minuti adesso ti fanno risparmiare ore ogni mese. Quale metodo anti-spam ti aiuta, scrivilo nei commenti.