Apri la sezione commenti e trovi 300 messaggi durante la notte. Casinò, pillole, "blast" SEO. Neanche un lettore vero.

Senza protezione, è la normalità. Secondo Akismet, lo spam rappresenta oltre il 99% di tutti i commenti su un sito WordPress medio. Le conseguenze sono tre: il posizionamento sui motori di ricerca cala a causa dei link in uscita spazzatura, i lettori corrono rischi (i link portano a risorse dannose) e il database si gonfia con centinaia di voci inutili. Migliaia di righe in wp_comments rallentano il sito e aumentano la dimensione dei backup.

La buona notizia: WordPress offre strumenti di moderazione integrati, più sei plugin con meccanismi radicalmente diversi. Li vediamo entrambi.

💡 Panoramica rapida:

• Analisi dei tre canali di spam: bot, spam manuale e trackback, con indicazioni su come identificarli
• Configurazione della protezione integrata di WordPress: moderazione, blocklist, disattivazione dei pingback
• Confronto tra sei plugin anti-spam con meccanismi diversi e scelta della combinazione giusta per il tuo scenario

Come lo spam nei commenti distrugge il tuo sito

Lo spam nei commenti è qualsiasi messaggio irrilevante con un backlink. Allo spammer non interessa il tuo contenuto. Vuole un URL verso il suo sito nel corpo del commento, nel campo "Sito web" o tramite i trackback.

Lo spam arriva attraverso tre canali. I bot scandagliano migliaia di siti e li inondano di messaggi preconfezionati: "Ottimo post! Dai un'occhiata al mio sito." Puntano sul volume: centinaia al giorno. Lo spam manuale è scritto da persone reali pagate per farlo. La qualità è più alta: i link sono nascosti negli spazi o nella punteggiatura e i filtri automatici non li rilevano. I trackback sono stati concepiti come notifiche oneste di citazioni. Nella pratica, sistemi automatizzati generano migliaia di menzioni false per ottenere un link di ritorno nella sezione commenti.

Ignorare lo spam è costoso. Google considera i link in uscita per il posizionamento, inclusi quelli nei commenti. Decine di link verso siti spazzatura segnalano all'algoritmo: qui nessuno gestisce i contenuti. È una strada diretta verso il basso nei risultati di ricerca. Oltre alla SEO, i link spam portano a pagine di phishing e risorse che ospitano malware: un lettore clicca e prende un trojan, e il problema di reputazione diventa tuo. Ogni commento, spam incluso, scrive nelle tabelle wp_comments e wp_commentmeta. Migliaia di voci extra sovraccaricano il database e rallentano ogni pagina.

Protezione integrata di WordPress: cosa configurare senza plugin

WordPress include strumenti di moderazione dei commenti integrati. Tutte le impostazioni sono in Impostazioni → Discussione. Nella pratica, la maggior parte dei proprietari di siti le ignora e installa subito un plugin, anche se questi parametri chiudono i vettori di attacco di base.

Cosa configurare per primo:

• Modera tutti i commenti. Ogni nuovo commento attende l'approvazione. Per un blog giovane con poco traffico, è l'opzione più affidabile: nessuno spam diventa pubblico.

• Filtro sul numero di link. Il parametro "Moderazione commenti" mette in coda i messaggi con N o più link. Il valore predefinito è 2. Impostalo a 1 per trattenere qualsiasi commento con almeno un URL.

• Blocklist. I campi "Blocklist commenti" e "Chiavi commenti non consentite" bloccano per IP, email, dominio del link o parola chiave. Catturi uno spammer, aggiungi il pattern: i commenti ripetuti non passeranno.

• Disattiva i trackback. Deseleziona "Consenti notifiche di link da altri blog (pingback e trackback)". Il novanta per cento di questo tipo di spam sparisce immediatamente.

• Richiedi la registrazione. L'opzione "Gli utenti devono essere registrati e aver effettuato l'accesso per commentare" taglia fuori la maggior parte dei bot. Svantaggio: crea una barriera per i lettori veri e non è adatta a ogni blog.

Hai configurato le basi? Ora aggiungi i plugin. Di seguito sei soluzioni con meccanismi diversi: combinane due o tre con principi di funzionamento differenti per la massima efficacia.

1. Akismet

Akismet di Automattic (gli sviluppatori di WordPress.com) è preinstallato sulla maggior parte dei nuovi siti WordPress per un buon motivo. Il plugin confronta ogni commento con un database cloud globale di pattern di spam noti. Nessun CAPTCHA, nessun attrito per i lettori reali.

Il principio è duplice: prima il commento viene confrontato con milioni di firme nel database di Akismet, poi viene analizzato il comportamento dell'utente sulla pagina. Bot e umani si comportano in modo diverso, e questo viene rilevato senza verifiche visibili. I falsi positivi sono rari, ma vale la pena controllare la cartella «Spam» una volta a settimana: richiede un minuto e ti evita di perdere una recensione preziosa.

Una recensione dettagliata di Akismet con messa a punto e confronto con alternative si trova nel nostro approfondimento sui plugin.

• Vantaggi: database cloud globale con miliardi di firme; nessun CAPTCHA; cronologia dello stato dei commenti; la modalità «Elimina spam peggiore» cancella la spazzatura senza salvarla nel database
• Svantaggi: l'uso commerciale richiede un piano a pagamento; falsi positivi su spam manuale ingegnoso
• Prezzo: gratuito per blog personali (paga quanto vuoi, anche $0); Pro 9,95 €/mese con fatturazione annuale (un sito commerciale); Business 47,95 €/mese (siti illimitati)
• Download: 🔗 Akismet su WordPress.org | 🔗 Sito ufficiale

2. Antispam Bee

Antispam Bee di pluginkollektiv: oltre 700.000 installazioni attive su WordPress.org e gratuito per sempre per siti personali e commerciali. La differenza principale rispetto ad Akismet: nessuna richiesta esterna. Tutta l'elaborazione avviene sul tuo server, il che significa automaticamente piena compatibilità GDPR.

Il meccanismo si basa su un honeypot. Un campo invisibile viene aggiunto alla pagina: un bot che compila automaticamente tutti i campi del modulo cade nella trappola e viene bloccato prima del salvataggio nel database. Impronta zero in wp_comments: lo spam semplicemente non viene scritto lì. In aggiunta: filtraggio per lingua del commento e paese del mittente. Avvertenza importante: Antispam Bee funziona solo con il sistema di commenti standard di WordPress e non filtra da solo i moduli di contatto.

• Vantaggi: honeypot senza CAPTCHA; blocca prima di scrivere nel database; conforme al GDPR senza configurazioni aggiuntive; gratuito per sempre
• Svantaggi: non protegge i moduli di contatto né i plugin di commenti di terze parti (Disqus, wpDiscuz, Jetpack)
• Prezzo: completamente gratuito
• Download: 🔗 Antispam Bee su WordPress.org

3. Titan Anti-spam & Security

Titan Anti-spam & Security di Themeisle è pensato per chi vuole antispam e sicurezza di base in un unico plugin. Oltre 60.000 installazioni attive, ultimo aggiornamento a maggio 2026. La componente antispam verifica i commenti confrontandoli con un database di pattern aggiornato in locale, senza contattare server esterni: meglio per la privacy, ma il database è oggettivamente più ridotto di quello di Akismet.

Nella versione gratuita sono inclusi anche: protezione dagli attacchi brute-force, limite ai tentativi di login falliti, mascheramento della versione di WordPress. La versione Pro aggiunge machine learning per il rilevamento dello spam, autenticazione a due fattori e backup. Un solo plugin invece di due o tre. Una buona scelta se non vuoi destreggiarti tra più strumenti.

• Pro: antispam più sicurezza senza CAPTCHA; database locale senza trasmissione di dati a terze parti; mantenuto attivamente
• Contro: accuratezza del filtraggio inferiore ad Akismet (database delle firme più piccolo); funzionalità avanzate solo nella versione Pro
• Prezzo: la versione gratuita è completamente funzionante; piani Pro su titansitescanner.com
• Download: 🔗 Titan Anti-spam su WordPress.org | 🔗 Documentazione

4. Zero Spam

Zero Spam (oltre 20.000 installazioni attive) combina tre tecniche di filtraggio: verifica JavaScript con il metodo David Walsh (un bot senza motore JS non passa), filtraggio IP con i database di Stop Forum Spam e Project Honeypot, più blocco geografico fino a paese e regione. Tutto funziona in background, senza CAPTCHA.

Blocco geografico: un punto di forza a sé. Se lo spam arriva da pochi paesi specifici e non hai visitatori reali da lì, due clic nelle impostazioni chiudono il canale. Ampio supporto ai form: Contact Form 7, WPForms, Gravity Forms, Fluent Forms, wpDiscuz. La versione base è gratuita; l'integrazione API estesa con zerospam.org (reputazione IP in tempo reale) richiede un abbonamento.

• Pro: tre livelli di filtraggio senza CAPTCHA; blocco geografico con eccezioni in whitelist; ampio supporto ai form
• Contro: la protezione estesa richiede l'abbonamento a zerospam.org; alcuni utenti segnalano monetizzazione invasiva nell'interfaccia
• Prezzo: versione gratuita; funzionalità estese tramite abbonamento a zerospam.org
• Download: 🔗 Zero Spam su WordPress.org

5. Hide Trackbacks

Hide Trackbacks risolve un compito preciso: nasconde trackback e pingback dalla vista pubblica del sito, mantenendoli accessibili nel pannello di amministrazione. I lettori vedono solo commenti reali. Nel pannello di amministrazione conservi il quadro completo delle menzioni legittime del sito.

È un compromesso tra disabilitare del tutto i trackback (perdendo informazioni sulle citazioni genuine) e una sezione aperta piena di spam. Il plugin non blocca tecnicamente i trackback di spam: arrivano comunque e scrivono nel database. Li rimuove solo dal frontend. Adatto a chi vuole monitorare le menzioni reali ma non mostrare ai lettori la spazzatura dei trackback.

• Pro: nasconde i trackback dal frontend senza perdere dati nell'admin; configurazione zero; non influisce sui commenti reali
• Contro: non blocca tecnicamente i trackback di spam, li nasconde soltanto; il database si riempie comunque; pubblico ridotto (oltre 400 installazioni)
• Prezzo: completamente gratuito
• Download: 🔗 Hide Trackbacks su WordPress.org

6. Forget Spam Comment

Forget Spam Comment: circa 200 byte di JavaScript e nessuna impostazione. Il plugin blocca le richieste dirette a wp-comments-post.php per i bot: la rotta verso il form dei commenti si apre solo quando un visitatore reale scorre fino alla sezione commenti. I bot che inviano richieste dirette senza interagire con la pagina vengono respinti. Gli umani fanno tutto come al solito.

Conforme al GDPR: nessuna richiesta esterna, nessun dato utente inviato altrove. Funziona con i plugin di cache (richiede svuotamento cache dopo l'attivazione). Nessun report sugli elementi bloccati: non saprai cosa è stato esattamente intercettato. Per questo Forget Spam Comment è meglio installarlo come livello aggiuntivo sopra Akismet o Antispam Bee.

• Pro: circa 200 byte di JS, nessuna CAPTCHA; configurazione zero; conforme al GDPR; funziona con i plugin di caching
• Contro: nessun report sullo spam bloccato; non protegge i form di contatto; ultimo aggiornamento nel 2025
• Prezzo: completamente gratuito
• Download: 🔗 Forget Spam Comment su WordPress.org

Se preferisci un formato visivo, qui sotto trovi una panoramica video sulla configurazione della protezione anti-spam per WordPress: dai parametri integrati al collegamento dei plugin.

Tabella comparativa: tutti e sei i plugin

⁉️🤔 Domande frequenti

Quale plugin scegliere se il mio budget è zero?

La combinazione Antispam Bee più Zero Spam copre la maggior parte dello spam gratuitamente. Antispam Bee intercetta i bot tramite honeypot senza caricare il database, Zero Spam elimina il resto con rilevamento JS e blocco geografico. Aggiungi Hide Trackbacks per la pulizia del frontend: ottieni una protezione a più livelli a costo zero.

Akismet è gratuito per i siti commerciali?

No. Per i blog personali, Akismet funziona con la formula «paga quanto vuoi»: puoi inserire $0. Per i siti commerciali serve un piano a pagamento. Secondo la pagina dei prezzi su akismet.com: Pro €9,95/mese con fatturazione annuale (un sito), Business €47,95/mese (siti illimitati).

Posso semplicemente disabilitare i commenti e dimenticarmi dello spam?

Tecnicamente sì. Disabilita in Impostazioni → Discussione e chiudi gli articoli esistenti. Ma perdi il feedback dei lettori, i contenuti UGC e i segnali sociali: Google considera tutto questo nel posizionamento. Per la maggior parte dei blog è una misura eccessiva, con perdite significative.

Il CAPTCHA aiuta contro lo spam nei commenti?

Aiuta, ma a scapito della conversione. reCAPTCHA v3 è invisibile ma raccoglie dati (problema GDPR). hCaptcha è più rispettoso della privacy. Detto questo, i bot moderni aggirano il CAPTCHA tramite servizi di risoluzione manuale. Il CAPTCHA funziona come barriera aggiuntiva, non come unica linea di difesa.

Devo installare più plugin o ne basta uno?

Un plugin di qualità (Akismet o Antispam Bee) è sufficiente per la stragrande maggioranza dei siti. Due con meccanismi diversi: ottimale per volumi elevati di commenti. Tre o più: il rischio di conflitto supera i benefici nella maggior parte degli scenari. Testa sempre i nuovi plugin in staging.

Quale plugin scegliere per il tuo obiettivo

La combinazione di strumenti dipende dal tipo di sito, dai requisiti di privacy e dal volume dei commenti. Non esiste un'opzione «migliore» universale.

Blog personale con poco traffico: Akismet con il piano personale (puoi pagare $0) più la moderazione integrata di WordPress. Tre clic e quasi tutto è coperto.

Sito commerciale con commenti attivi: Akismet Pro (€9,95/mese) come filtro di base più Zero Spam come seconda barriera. Questa combinazione gestisce decine di migliaia di commenti al mese con falsi positivi minimi.

Progetto privacy-first o con obbligo GDPR: Antispam Bee (tutta l'elaborazione sul server, nessuna richiesta esterna) più Hide Trackbacks per la pulizia del frontend. I dati degli utenti non lasciano mai il tuo server.

Zero tempo per la moderazione: Forget Spam Comment in aggiunta ad Akismet. Il plugin minimalista, senza impostazioni, taglia fuori automaticamente i bot residui.

Altri strumenti anti-spam, incluse soluzioni specializzate per form e WooCommerce, sono raccolti nella nostra selezione di 12 plugin.

Quindici minuti di configurazione ora ti faranno risparmiare ore di pulizia manuale in futuro. Prova Antispam Bee o Akismet come primo passo: entrambi si installano in un clic. Condividi nei commenti quale plugin o combinazione usi.