Che cos'è reCAPTCHA v3 e perché il tuo sito web ne ha bisogno

Lo spam attraverso i moduli di contatto è un grattacapo per ogni proprietario di un sito WordPress. Contact Form 7 è gratuito e flessibile, ma non filtra i bot di default. Un paio di settimane dopo il lancio del sito, la tua casella di posta viene inondata da invii di "Modulo di test" e link a casinò online.

Google reCAPTCHA v3 risolve questo problema senza un solo clic da parte dell'utente. A differenza della v2, dove devi spuntare una casella che dice "Non sono un robot" o risolvere puzzle visivi con semafori, la versione tre lavora in background. L'algoritmo analizza il comportamento del visitatore sulla pagina e restituisce un punteggio da 0.0 (bot) a 1.0 (umano). Niente captcha, niente attriti, solo protezione.

Dal 2021, Contact Form 7 supporta nativamente reCAPTCHA v3 a partire dalla versione 5.1. E nel 2026, Google ha avviato una migrazione obbligatoria delle chiavi verso Google Cloud. Tratterò anche questo aspetto, così la tua protezione non si disattiva nel momento peggiore.

💡 Panoramica rapida:

• Registra il tuo sito nella console di amministrazione di Google reCAPTCHA e ottieni una coppia di chiavi (Site Key + Secret Key)
• Inserisci le chiavi nella sezione "Contatto → Integrazione" della tua bacheca di amministrazione WordPress
• Contact Form 7 verifica automaticamente ogni invio del modulo tramite reCAPTCHA v3, quindi i tag [recaptcha] non sono più necessari
• Opzionalmente nascondi il badge reCAPTCHA via CSS e aggiungi l'avviso di protezione richiesto
• Se hai vecchie chiavi, migrale su Google Cloud Console, altrimenti smetteranno di funzionare

Passo 1: Ottenere le chiavi reCAPTCHA v3

Il servizio è legato a un account Google. Accedi al tuo account Google e vai alla pagina di amministrazione reCAPTCHA.

Il modulo di registrazione è semplice. Nel campo "Etichetta", inserisci un nome che abbia senso per te, ad esempio il dominio del tuo sito. Seleziona il tipo reCAPTCHA v3 e inserisci il tuo dominio nel campo "Domini" (senza https:// e percorso, solo example.com).

Clicca "Invia" e Google mostrerà una pagina con due chiavi. La Site Key è usata sul frontend, la Secret Key è usata lato server. Ti serviranno entrambe nel prossimo passo.

Nota importante: le chiavi v2 e v3 non sono intercambiabili. Se avevi già delle chiavi per la vecchia versione, registra di nuovo il tuo sito, perché le vecchie chiavi non funzioneranno.

Passo 2: Integrare le chiavi in Contact Form 7

Nella bacheca di amministrazione WordPress, apri "Contatto → Integrazione". Vedrai un blocco reCAPTCHA con un pulsante "Configura integrazione".

Cliccalo e appariranno due campi: "Site Key" e "Secret Key". Copia qui la Site Key e la Secret Key ottenute nel primo passo e clicca "Salva modifiche".

Fatto. Da questo momento in poi, tutti i moduli creati con Contact Form 7 passano automaticamente la verifica reCAPTCHA v3. Non devi aggiungere alcun tag aggiuntivo al template del modulo, perché [recaptcha] non è più utilizzato. CF7 semplicemente ignora questo tag se è rimasto da una vecchia configurazione.

Come verifichi che la protezione funzioni? Apri una qualsiasi pagina con un modulo in modalità incognito e controlla i DevTools. Un badge reCAPTCHA fluttuante dovrebbe apparire nell'angolo in basso a destra. Se c'è, le chiavi funzionano.

Come nascondere il badge reCAPTCHA v3

Il badge nell'angolo in basso a destra è fastidioso. Si sovrappone ai contenuti, intralcia i pulsanti e semplicemente stona in un design pulito. Google permette di nasconderlo, ma a una condizione.

Se rimuovi il badge, devi inserire il seguente testo da qualche parte vicino al modulo (o nel footer):

Questo sito è protetto da reCAPTCHA e si applicano le Norme sulla privacy e i Termini di servizio di Google.

Senza questo, stai violando i termini di utilizzo di Google. La moderazione non dorme.

Il modo più semplice per nascondere il badge è il CSS. Aggiungi queste regole al foglio di stile del tuo tema (o tramite "Aspetto → Personalizza → CSS aggiuntivo"):

1
/* Hide reCAPTCHA v3 badge */
2
 
3
.grecaptcha-badge {
4
    visibility: hidden !important;
5
}

Usa visibility: hidden invece di display: none. La differenza è sottile ma importante: display: none rimuove completamente l'elemento dal flusso del DOM, il che può causare un funzionamento instabile di reCAPTCHA su alcuni temi. visibility: hidden preserva lo spazio occupato, lo script continua a funzionare, ma l'occhio non vede il badge.

Aggiungi l'avviso di protezione al footer del sito o subito sotto il modulo, ad esempio tramite un piccolo paragrafo nelle impostazioni del widget.

ReCAPTCHA v3 e migrazione a Google Cloud nel 2026

A partire da aprile 2026, Google sta effettuando una migrazione obbligatoria delle chiavi reCAPTCHA classiche alla piattaforma Google Cloud. Le vecchie chiavi create tramite google.com/recaptcha/admin smetteranno gradualmente di funzionare e dovranno essere trasferite a un progetto Google Cloud Console.

Il processo di migrazione è semplice e richiede 5-10 minuti. Vai alla Console di amministrazione reCAPTCHA, seleziona il tuo sito e clicca "Migra". Il sistema ti chiederà di creare o selezionare un progetto Google Cloud e trasferirà le chiavi automaticamente. Non devi modificare alcun codice. Contact Form 7 continuerà a funzionare con le nuove chiavi senza alcuna modifica ai template.

Se stai creando le chiavi per la prima volta nel 2026, consulta la documentazione aggiornata per Google Cloud Fraud Defense. Questo è il nuovo nome di reCAPTCHA nell'ecosistema Google Cloud. Per WordPress e CF7, non cambia nulla di sostanziale: la stessa coppia di chiavi, la stessa API.

Il video mostra una configurazione passo passo di reCAPTCHA v3 da zero: dalla registrazione delle chiavi alla verifica del funzionamento del modulo. Se sei un tipo che impara visivamente e preferisci guardare piuttosto che leggere, 6 minuti di schermo risponderanno a tutte le tue domande.

⁉️🤔 Domande frequenti

Devo aggiornare Contact Form 7 per farlo funzionare con reCAPTCHA v3?

Sì. Il supporto per reCAPTCHA v3 è apparso in Contact Form 7 5.1. Raccomandiamo di mantenere il plugin aggiornato. A giugno 2026, la versione è la 6.1.6, che è stata testata con WordPress 7.0 e include correzioni di sicurezza per il caricamento dei file.

Posso usare reCAPTCHA v2 e v3 contemporaneamente?

No, Contact Form 7 funziona con v2 o v3, non con entrambe insieme. La scelta della versione è determinata da quali chiavi hai inserito nella sezione "Contatto → Integrazione". Se ti serve v2 per un modulo specifico, dovrai cambiare le chiavi per l'intero plugin, il che influenzerà tutti i moduli del sito.

Il badge si nasconde se uso display: none?

Si nasconde, ma non dovresti farlo. display: none rimuove l'elemento dal flusso di rendering, e alcuni temi perdono il contesto di esecuzione di reCAPTCHA, causando l'interruzione della corretta valutazione dei visitatori da parte dello script. Usa visibility: hidden: il badge non è visibile, ma reCAPTCHA funziona normalmente.

Cosa succede se non migro le chiavi a Google Cloud?

Le chiavi create tramite la console di amministrazione classica google.com/recaptcha/admin smetteranno di elaborare le richieste. I moduli continueranno a inviare, ma reCAPTCHA smetterà di filtrarli e lo spam tornerà. La migrazione è gratuita per la maggior parte dei siti con traffico moderato, quindi non dovresti rimandarla.

reCAPTCHA v3 funziona senza Contact Form 7?

Sì, reCAPTCHA v3 è un'API Google autonoma. Puoi integrarla in qualsiasi modulo: personalizzato, tramite un altro plugin o in HTML semplice. Contact Form 7 fornisce semplicemente un'integrazione già pronta senza programmazione.

Cosa fare contro lo spam in Contact Form 7: l'algoritmo finale

La combinazione di base Contact Form 7 + reCAPTCHA v3 blocca la stragrande maggioranza dello spam automatizzato senza alcun disagio per i visitatori reali. Il modulo rimane esattamente com'era; c'è solo un controllo intelligente sotto il cofano.

La configurazione richiede 5 minuti: registra il tuo sito con Google, copia due chiavi nella bacheca di amministrazione WordPress, verifica il badge. Se il badge interferisce con il tuo design, nascondilo via CSS e aggiungi l'avviso di protezione richiesto vicino al modulo.

Se hai vecchie chiavi, non dimenticare di migrarle su Google Cloud Console. Il processo è automatico, il codice non cambia e la protezione continua a funzionare senza interruzioni.

Per i siti con spam particolarmente aggressivo, il solo reCAPTCHA potrebbe non bastare. Considera Cloudflare Turnstile come alternativa più leggera, oppure aggiungi un secondo livello tramite Akismet per filtrare il contenuto dei messaggi stessi.