Ogni mattina apri il pannello di amministrazione di WordPress e trovi 47 nuovi utenti. Nomi come aBx234Kd_oo, email da domini usa e getta. Neanche una persona reale. Ti suona familiare?

Le registrazioni spam non sono solo fastidiose. Consumano spazio nel database, caricano il server e creano falle di sicurezza. E se il tuo sito consente la registrazione aperta, benvenuto nell'inferno della pulizia manuale.

Ecco 10 metodi efficaci che bloccano le registrazioni dei bot. Dalle impostazioni integrate di WordPress ai blocchi a livello server e ai plugin specializzati. Usa due o tre metodi insieme, perché i bot prima o poi aggirano una singola difesa.

💡 Panoramica rapida:

• Attiva la conferma email nella Registrazione Utenti per bloccare i bot con email false
• Installa il plugin gratuito WP Armour per una protezione honeypot invisibile senza CAPTCHA
• Aggiungi reCAPTCHA v3 ai moduli di registrazione come livello aggiuntivo
• Collega Sucuri per un filtraggio antispam basato su cloud a livello DNS, se il tuo progetto è commerciale
• Usa Bulk Delete per la pulizia di massa degli account falsi accumulati

Come funzionano i bot di registrazione

Gli spammer non stanno seduti a compilare moduli a mano. Scrivono script che trovano automaticamente i moduli di registrazione, inseriscono dati generati e inviano una richiesta POST. Un singolo script crea migliaia di account all'ora.

I bot hanno obiettivi diversi. Alcuni puntano alla SEO: si registrano per inserire un link nel profilo. Altri cercano vulnerabilità: se il sito ha un plugin con una falla, l'accesso da Sottoscrittore a volte può essere elevato ad amministratore. Altri ancora testano la validità di database di email rubate attraverso il tuo modulo di registrazione.

Il modulo standard /wp-login.php?action=register è il primo bersaglio. Ma se il sito utilizza WooCommerce, BuddyPress, Ultimate Member o qualsiasi form builder personalizzato, i bot troveranno anche quelli. Devi proteggere tutti i punti di ingresso, non un solo modulo.

Perché le registrazioni spam sono pericolose: 5 motivi

Gli utenti falsi raramente fanno qualcosa di utile dopo la registrazione. Ma i danni che causano sono molto concreti.

Ingrossamento del database. Ogni bot è una riga in wp_users e wp_usermeta. Un centinaio è impercettibile. Diecimila significano database che si gonfia, backup più pesanti e migrazioni lente.

Carico del server. Un bot invia una richiesta POST per la registrazione, WordPress chiama PHP, controlla il nonce, scrive nel database ed eventualmente invia un'email. Mille richieste di questo tipo all'ora creano un carico parassita. Su un hosting economico il sito va giù.

Rischi per la sicurezza. Un Sottoscrittore in WordPress non può fare quasi nulla. Ma se il tema o un plugin ha una vulnerabilità, l'escalation dei privilegi trasforma un account spam in un admin. Questo scenario è documentato per una dozzina di plugin popolari negli ultimi tre anni.

Invio di spam** agli utenti registrati.** Un bot con accesso al profilo invia messaggi privati tramite BuddyPress, bbPress o un plugin di chat. Gli utenti reali ricevono spam a nome del tuo sito e se ne vanno.

Danno alla reputazione. Google non penalizza direttamente un sito per gli utenti spam. Ma se i profili pubblici mostrano link a casinò e prodotti farmaceutici, il motore di ricerca vede una "link farm" e reagisce. Recuperare la reputazione richiede più tempo che prevenire il problema.

1. Conferma email alla registrazione

La prima linea di difesa più semplice ed efficace. Dopo aver compilato il modulo, l'utente riceve un'email con un link di attivazione. Finché non ci clicca, l'account non è attivo.

Un bot con un indirizzo falso non riceverà l'email. Pertanto non completerà la registrazione. Questo metodo blocca la stragrande maggioranza dello spam automatizzato (tutto ciò che proviene da email inesistenti).

L'implementazione utilizza plugin di registrazione. User Registration & Membership di WPEverest offre la verifica email già inclusa nella versione gratuita. Dopo l'installazione vai su Impostazioni → User Registration, scheda Generale, e seleziona "Conferma email" nel menu a tendina Opzione di accesso.

Nelle impostazioni puoi modificare il template dell'email, l'oggetto e il testo. Lo stato della conferma è visibile nel pannello di amministrazione: se "In attesa" persiste per più di un giorno, è molto probabile che l'utente sia un bot. Puoi eliminare questi utenti in blocco (metodo 10).

2. Approvazione manuale da parte dell'amministratore

Un'opzione più restrittiva: ogni nuovo utente richiede l'approvazione esplicita dell'amministratore. Nessuna attivazione automatica, solo controllo manuale.

Adatto a comunità chiuse, siti associativi e portali aziendali. Per un blog con registrazione aperta è eccessivo: gli utenti reali non vogliono aspettare.

Nello stesso plugin User Registration imposta l'Opzione di accesso su "Approvazione admin dopo la registrazione". Dopo il salvataggio, nella sezione Utenti compare una colonna di stato dove puoi approvare o rifiutare gli utenti in blocco.

Criteri di rifiuto: email da un dominio usa e getta come @mailinator.com, nome utente senza senso composto da caratteri casuali, assenza di avatar Gravatar nonostante il campo email sia compilato. In cinque secondi di revisione puoi capire se si tratta di un umano o di uno script.

3. Stop Spammers Classic: blocco a livello di richiesta

Stop Spammers Classic è un veterano tra i plugin anti-spam per WordPress. Funziona dal 2010, ha oltre 30.000 installazioni attive e la versione 2026.5 di maggio 2026.

Il plugin controlla l'header HTTP referer e gli header della richiesta. Se una richiesta non proviene dal tuo sito, viene bloccata. Se il browser dell'utente è stato rilevato in attività malevole, viene bloccato. Nessun CAPTCHA, nessun campo aggiuntivo. L'utente non si accorge di nulla.

Le impostazioni predefinite funzionano per la maggior parte dei siti. Se utenti reali segnalano falsi positivi, allenta una o due opzioni in Stop Spammers → Protection Options. Nota: con impostazioni aggressive il plugin potrebbe bloccare l'accesso al pannello di amministrazione. La soluzione è rinominare la cartella del plugin via FTP.

Pro: gratuito, invisibile all'utente, blocca prima dell'invio del modulo. Contro: impostazioni aggressive causano falsi positivi; la configurazione richiede attenzione.

🔗 Stop Spammers Classic su WordPress.org

4. Sucuri: firewall cloud con filtro anti-spam

Sucuri non è un plugin nel senso tradizionale. È un servizio di sicurezza che instrada tutto il traffico del sito attraverso il suo proxy cloud CloudProxy. Filtra anche gli spam bot a livello di richiesta HTTP prima che raggiungano WordPress.

Quando Sucuri è attivo, ogni richiesta al modulo di registrazione passa attraverso un'analisi delle firme. Botnet note, IP malevoli e pattern sospetti di User-Agent vengono tutti bloccati in avvicinamento. Inoltre Sucuri velocizza il sito tramite caching e riduce il consumo di banda.

Sucuri ha un plugin gratuito per WordPress, ma il firewall con anti-spam fa parte di un abbonamento a pagamento a partire da $199 all'anno. Per progetti commerciali in cui le registrazioni spam causano perdite dirette, l'investimento si ripaga.

Pro: protezione a livello DNS, filtraggio prima di WordPress, accelerazione del sito. Contro: a pagamento, sproporzionato per un piccolo blog.

🔗 Sito ufficiale Sucuri

5. Google reCAPTCHA sul modulo di registrazione

Il metodo più riconoscibile per combattere i bot. reCAPTCHA v2 mostra una casella di spunta «Non sono un robot», v3 funziona in modo invisibile in background e assegna a ogni visitatore un punteggio di umanità.

reCAPTCHA di Google è lo standard di settore. Si integra tramite plugin per form: WPForms, Contact Form 7, la stessa User Registration. Per la v2 dovrai ottenere una Site Key e una Secret Key nella console di Google reCAPTCHA.

reCAPTCHA non blocca lo spam manuale. Se una persona reale compila il form per pochi centesimi, passerà. Ma praticamente tutti i bot automatizzati vengono bloccati. Il principale compromesso: la v2 con selezione a semaforo infastidisce gli utenti, la v3 funziona in modo invisibile ma richiede l'integrazione con una soglia di punteggio.

Pro: gratuito, ampio supporto plugin, efficace contro i bot. Contro: attrito per gli utenti nella v2, non protegge dallo spam manuale, dipende da Google.

🔗 Google reCAPTCHA

6. Math CAPTCHA: una barriera semplice senza servizi di terze parti

Invece di un servizio esterno di Google puoi usare un semplice calcolo matematico: «Quanto fa 3 + 4?» Un bot non capisce la domanda; un umano risponde all'istante.

Il Math CAPTCHA è integrato tramite plugin come User Registration (opzione incorporata) o Captcha by BestWebSoft (metodo 7). Nelle impostazioni scegli il tipo «Math Captcha», la difficoltà dell'equazione e l'aspetto.

Il vantaggio principale di questo approccio è l'indipendenza da servizi esterni. Nessuna chiave API, nessuna richiesta a Google. Lo svantaggio: un Math CAPTCHA può essere risolto da un semplice parser se un bot prende di mira deliberatamente il tuo sito. Ma per il flusso di spam di sottofondo funziona benissimo.

Pro: nessuna dipendenza esterna, veloce per gli utenti, gratuito. Contro: aggirabile da un bot mirato, meno affidabile di reCAPTCHA v3.

7. Captcha by BestWebSoft: CAPTCHA universale per tutti i moduli

Captcha by BestWebSoft è un plugin gratuito che aggiunge il CAPTCHA a più di 12 moduli standard di WordPress: login, registrazione, reset password, commenti, Contact Form 7, WooCommerce e altri.

La versione gratuita offre tre tipi di CAPTCHA: invisibile, riconoscimento caratteri e matematico. La versione Pro aggiunge il supporto per Gravity Forms, Ninja Forms, Elementor, BuddyPress, wpForo e un'altra dozzina di plugin, oltre al CAPTCHA a scorrimento e al blocco di email usa e getta.

L'interfaccia delle impostazioni è semplice: selezioni i moduli da proteggere, scegli il tipo di CAPTCHA, configuri l'aspetto e hai finito. Il plugin è aggiornato attivamente (versione 5.2.8 di marzo 2026) ed è compatibile con la versione corrente di WordPress.

Pro: ampia copertura di moduli, molteplici tipi di CAPTCHA, configurazione facile. Contro: la versione Pro ha un costo extra, il CAPTCHA visibile aggiunge attrito.

🔗 Captcha by BestWebSoft su WordPress.org

8. WP Armour: protezione honeypot senza CAPTCHA

WP Armour funziona secondo il principio dell'honeypot: un campo nascosto viene aggiunto al modulo via JavaScript. Il bot non vede il campo e lo compila o lo lascia vuoto; il plugin determina lo spam in base alla presenza o assenza di dati in quel campo.

Il vantaggio principale di WP Armour è l'impatto zero sull'utente. Nessuna casella di controllo, nessun rompicapo, nessun ritardo. L'utente compila il modulo come al solito mentre il bot inciampa in una barriera invisibile. Il plugin supporta registrazione, commenti, Contact Form 7, WPForms, Gravity Forms, Elementor Forms, Divi Contact Form e più di una dozzina di altri builder.

Oltre 1.400 recensioni su WordPress.org, più di 100.000 installazioni attive, aggiornamenti nel 2025-2026. La versione gratuita copre la protezione di base. WP Armour Extended aggiunge il logging dei tentativi di spam, il blocco IP e la protezione del Checkout di WooCommerce.

Pro: invisibile all'utente, trappola JavaScript, ampia copertura di moduli, gratuito. Contro: non protegge dallo spam manuale; potrebbe non funzionare su temi datati senza jQuery.

🔗 WP Armour su WordPress.org

9. Bloccare gli indirizzi IP via cPanel

Se un IP specifico attacca costantemente il tuo sito, bloccalo a livello di server. Le richieste da un IP bloccato non raggiungono affatto WordPress.

In cPanel (il pannello di hosting standard) lo strumento si chiama IP Blocker. Vai nel cPanel del tuo account hosting, Security → IP Blocker. Aggiungi un indirizzo IP o un intervallo e il server risponde con un 403 a tutte le richieste provenienti da quell'indirizzo.

L'IP da bloccare si ricava dai log: nel pannello di amministrazione, in Utenti, controlla l'IP dei nuovi utenti (se è installato un plugin di logging) oppure analizza l'access.log del server. Un IP che si ripete con decine di registrazioni è un candidato per il blocco.

Il blocco IP non dovrebbe essere la tua unica protezione. I bot cambiano IP tramite proxy. Ma come livello aggiuntivo contro una fonte persistente, funziona.

Pro: blocca prima di WordPress, controllo totale. Contro: lavoro manuale, i bot cambiano IP, richiede accesso al cPanel.

10. Cancellazione di massa degli utenti spam

Anche con le protezioni, a volte i bot riescono a passare. Oppure hai già migliaia di account falsi dagli anni precedenti. Cancellarli manualmente 20 alla volta per pagina non è un'opzione.

Metodo base: nel pannello di amministrazione vai su Utenti → Opzioni schermo in alto a destra, aumenta il numero di utenti per pagina a 100. Seleziona gli account sospetti, Azioni di gruppo → Cancella → Applica. Criteri: utenti senza avatar, con email su domini usa e getta, che non hanno mai effettuato l'accesso, registrati in blocco nella stessa data.

Per una pulizia seria, il plugin Bulk Delete di WebFactory è molto utile. Ti permette di cancellare utenti per ruolo, data di registrazione, data ultimo accesso e campi meta. Imposta le condizioni e il plugin trova e cancella con un clic.

Importante: fai un backup del database prima della cancellazione di massa. Ripristinare gli utenti cancellati tramite gli strumenti standard di WordPress è impossibile.

🔗 Bulk Delete su WordPress.org

Il video è una guida passo passo per impostare la protezione anti-spam per la registrazione: dalle opzioni integrate di WordPress ai plugin e ai metodi a livello server. In inglese, ma tutte le azioni sono mostrate visivamente.

⁉️🤔 Domande frequenti

Quale metodo dovrei scegliere se la registrazione serve solo per i commenti?

Disabilita la registrazione aperta in Impostazioni → Generali deselezionando "Chiunque può registrarsi". Per i commenti, usa Antispam Bee o l'opzione integrata "L'autore del commento deve avere un commento precedentemente approvato" in Impostazioni → Discussione come protezione. Se i commenti provengono da un pubblico abituale, Antispam Bee blocca praticamente tutto lo spam senza CAPTCHA o servizi esterni, ed è gratuito e conforme al GDPR. Per i nuovi commentatori, attiva la moderazione del primo commento: dopo l'approvazione, i successivi passano automaticamente.

Posso fare a meno del tutto dei plugin?

Sì, ma con dei limiti. Chiudi la registrazione tramite Impostazioni → Generali. Se la registrazione è necessaria, usa codice nel functions.php per aggiungere un campo nonce al modulo o una validazione personalizzata del dominio email. Ma ogni nuovo tipo di modulo (WooCommerce, LMS, forum) richiederà codice separato e la compatibilità con gli aggiornamenti sarà una tua responsabilità. Per un sito tipico, la combinazione WP Armour + User Registration con conferma email risolve il problema in 15 minuti di configurazione. Scrivere la stessa cosa in codice richiede almeno 5-6 ore con il debugging.

Il CAPTCHA serve contro un attacco mirato?

Aiuta, ma non in modo assoluto. reCAPTCHA v3 resiste allo scavalcamento automatico, ma esistono servizi di risoluzione manuale dei CAPTCHA da parte di persone reali per pochi centesimi. Tali attacchi sono costosi per gli spammer e vengono usati solo contro obiettivi di alto valore. Per un blog o negozio normale, reCAPTCHA + honeypot è una barriera sufficiente. Se sei un grande negozio con migliaia di registrazioni al giorno, connetti Sucuri o Cloudflare Bot Management.

Ogni quanto dovrei ripulire i vecchi utenti spam?

Idealmente una volta al trimestre. In tre mesi si accumulano abbastanza account falsi da rendere la pulizia sensata, ma non così tanti da richiedere ore. Bulk Delete con un filtro per data di registrazione fa sì che l'operazione richieda cinque minuti. Se le registrazioni spam sono nell'ordine delle centinaia al giorno, pulisci mensilmente. Usa il volume come guida: quando gli utenti falsi diventano una quota significativa del totale, è il momento di fare pulizia. Questo segnala anche che la protezione attuale è insufficiente.

Cosa devo fare se gli spammer si registrano manualmente?

Lo spam manuale è una categoria a parte. CAPTCHA e honeypot sono impotenti contro di esso. Attiva l'approvazione manuale dell'amministratore (metodo 2) e cerca segni indiretti: testo identico nei campi del profilo, email su un dominio come @chitmail.com, registrazione di massa da uno stesso IP in un breve periodo. Se il volume dello spam manuale è critico, blocca i domini usa e getta tramite un filtro nel functions.php oppure passa a un sistema a inviti: registrazione solo con codice invito. User Registration Pro supporta i codici invito nativamente.

Cosa installare subito sul tuo sito

Una combinazione universale che blocca praticamente tutto lo spam delle registrazioni senza danneggiare gli utenti reali.

Se la registrazione è aperta a tutti:

• WP Armour, honeypot invisibile, blocca i bot automatici
• User Registration con conferma email, blocca le email false
• Stop Spammers Classic, un terzo livello per i più persistenti

Se il sito usa WooCommerce o ha un modulo d'ordine:

• aggiungi reCAPTCHA v3 al checkout. WP Armour Extended copre WooCommerce da solo, ma v3 è un backup gratuito

Per un sito già invaso dallo spam:

• prima Bulk Delete, pulisci ciò che già esiste
• poi i tre plugin sopra, così non si accumula di nuovo

La regola principale: due metodi di protezione con principi diversi sono sempre più affidabili di un super-plugin. Honeypot + verifica email significa che un bot non supererà entrambi i livelli, anche se uno fallisce.

Le registrazioni spam sono un problema risolvibile. Scegli due o tre metodi per il tuo scenario, configurali in mezz'ora e dimentica gli utenti falsi nel pannello di amministrazione.