Un formulaire de contact qui reçoit des messages automatiques, des commentaires remplis de liens ou de fausses inscriptions : le spam prend plusieurs formes sur un site WordPress. Le problème n’est pas seulement le temps passé à le trier. Un filtre trop sévère peut aussi bloquer un prospect ou envoyer un vrai commentaire dans les indésirables.
Pour réduire le spam sans gêner vos visiteurs, commencez par identifier le point d’entrée concerné. Un plugin efficace sur les commentaires ne protège pas forcément votre formulaire de contact, vos inscriptions ou les avis de votre boutique.
Dans ce guide, nous allons comparer trois solutions, configurer les protections natives de WordPress et tester le résultat avant de considérer le problème comme réglé.
Transparence : je développe SpamJam, l’une des extensions présentées ici. Je précise ses fonctions gratuites et payantes, ainsi que celles des autres solutions, pour vous aider à choisir selon votre site.
Où le spam arrive-t-il sur votre site ?
Avant d’installer une extension, notez les surfaces touchées :
- Commentaires d’articles : messages publicitaires, liens ou réponses sans rapport avec le sujet.
- Formulaires de contact et de devis : soumissions automatisées qui remplissent votre boîte de réception ou votre CRM.
- Inscriptions : créations de comptes fictifs sur un site communautaire ou une boutique.
- Avis produits WooCommerce : commentaires indésirables publiés sur les fiches produits.
Un filtre placé sur le mauvais formulaire ne résoudra pas le problème. Sur une boutique, pensez aussi à distinguer la création de compte des avis produits : les deux ne sont pas nécessairement couverts par la même fonction.
Comparatif des solutions anti-spam WordPress
| Solution | Commentaires WordPress | Formulaires tiers et inscriptions | Fonctionnement et point d’attention |
|---|---|---|---|
| SpamJam | Version gratuite : commentaires et avis produits WooCommerce | Fonctions Pro pour plusieurs extensions de formulaire et les inscriptions prises en charge | Contrôles locaux, sans clé API pour les commentaires. Vérifiez la liste des intégrations et la version nécessaire. |
| Antispam Bee | Commentaires WordPress natifs | Ne protège pas les extensions de formulaire ni les inscriptions | Gratuit pour les sites personnels et commerciaux. Vérifiez la compatibilité si votre thème ou votre plugin remplace le formulaire de commentaires. |
| Akismet | Commentaires WordPress | Certains formulaires compatibles, selon leur intégration | Service externe avec clé API. Consultez les conditions et les tarifs correspondant à l’usage de votre site. |
Les fonctionnalités et tarifs peuvent évoluer. Avant l’installation, vérifiez toujours les fiches officielles de SpamJam, Antispam Bee et Akismet, ainsi que la compatibilité avec votre version de WordPress et votre formulaire.
SpamJam : commentaires, avis produits et extensions Pro
J’ai créé SpamJam pour filtrer les soumissions automatisées sans imposer de puzzle aux visiteurs. La version gratuite protège les commentaires WordPress et les avis produits WooCommerce. Elle combine notamment un champ piège, des signaux temporels et des contrôles de soumission. La détection principale des commentaires s’effectue sur le site, sans service externe d’analyse du contenu ni clé API obligatoire.
La version Pro ajoute notamment la protection des inscriptions et des intégrations de formulaires populaires, dont Contact Form 7, WPForms et Gravity Forms. Elle propose aussi une interface de suivi et des règles supplémentaires. La protection des formulaires tiers ne fait donc pas partie des fonctions gratuites à supposer actives par défaut. Consultez la fiche officielle de SpamJam pour vérifier la couverture de votre installation.
Certaines fonctions optionnelles peuvent faire appel à des services externes. Comme pour toute extension, examinez les fonctions activées et leur traitement des données avant de les déployer.
Antispam Bee : pour les commentaires WordPress natifs
Antispam Bee est une option gratuite pour les commentaires et les rétroliens. Sa fiche indique qu’elle peut être utilisée sur des projets personnels et commerciaux.
Sa limite est importante : d’après sa documentation, elle ne protège ni les extensions de formulaire ni les inscriptions. Son fonctionnement avec les formulaires de commentaires modifiés par un thème ou un autre plugin dépend de l’intégration. Si votre problème concerne une demande de devis, il faut donc prévoir une protection adaptée à ce formulaire. Voir la fiche et la FAQ d’Antispam Bee.
Akismet : filtrage par un service externe
Akismet compare les commentaires et les soumissions prises en charge à ses données de détection. Il nécessite une clé API. Selon les conditions présentées dans la documentation de Contact Form 7, une clé gratuite peut convenir à un blog personnel ; les sites commerciaux doivent vérifier les abonnements disponibles.
Pour un formulaire tiers, l’activation du plugin seul ne suffit pas forcément : il faut vérifier l’intégration. Par exemple, Contact Form 7 demande d’ajouter des options Akismet aux champs concernés. Le formulaire transmet alors les informations utiles au contrôle selon sa configuration.
Que devient Better Comments ?
La première version de cet article recommandait aussi Better Comments. La fiche actuelle de Better Comments le présente comme une extension de personnalisation des commentaires et de leur formulaire. Je ne le classe donc pas ici parmi les solutions anti-spam sur la seule base de son ancien usage.
Configurer les protections natives de WordPress
Avant d’ajouter plusieurs plugins, examinez les réglages existants dans Réglages → Discussion. WordPress permet notamment de :
- Demander une validation manuelle avant la publication d’un commentaire, si vous souhaitez contrôler chaque message.
- Placer certains commentaires en attente, par exemple selon le nombre de liens ou les termes présents dans le contenu.
- Fermer les commentaires sur les contenus qui n’ont pas besoin de discussion.
- Examiner la liste des commentaires indésirables pour repérer les erreurs de classement.
Les règles par mots demandent de la prudence : un terme peut aussi apparaître dans un message légitime. Commencez par la mise en attente, observez les résultats et ajustez les critères. La documentation WordPress sur le spam dans les commentaires détaille les options disponibles.
Attention : désactiver les commentaires par défaut pour les nouvelles publications ne ferme pas automatiquement ceux des articles déjà publiés. Vérifiez les anciens contenus concernés.
Protéger un formulaire de contact sans perdre de demandes
Une protection anti-spam ne sert à rien si vos prospects ne peuvent plus vous écrire. Avant de modifier le formulaire, identifiez l’extension utilisée et les services qui reçoivent la soumission : email, CRM ou outil de gestion des demandes.
- Choisissez une protection qui annonce explicitement sa compatibilité avec votre formulaire et votre version de l’extension.
- Configurez les clés et les champs nécessaires selon la documentation de l’intégration.
- Envoyez une demande de test réaliste, depuis une fenêtre privée et, si possible, un autre appareil.
- Vérifiez la confirmation affichée au visiteur, la réception de l’email et l’arrivée éventuelle dans le CRM.
- Consultez les journaux ou la file des indésirables disponibles pour identifier un éventuel faux positif.
Si vous utilisez Contact Form 7 avec Akismet, les options telles que akismet:author et akismet:author_email doivent être placées sur les champs adaptés. La documentation de Contact Form 7 donne la syntaxe et les autres options prises en charge.
Et si vous utilisez Cloudflare Turnstile ?
Turnstile peut servir de vérification sur un formulaire compatible. Lors d’une intégration personnalisée, l’affichage du widget ne suffit pas : le serveur doit valider le jeton avec l’API Siteverify avant d’accepter la soumission. Les jetons expirent et ne peuvent être validés qu’une fois. Vérifiez également le comportement en cas d’échec ou d’expiration, puis testez une soumission complète. Documentation Cloudflare sur la validation.
N’ajoutez pas plusieurs dispositifs au hasard sur le même formulaire : leurs contrôles peuvent se chevaucher ou se contredire. Testez chaque combinaison sur un environnement de préproduction lorsque c’est possible.
Comment éviter les faux positifs ?
Un faux positif est un message légitime identifié comme spam. Aucun filtre ne peut garantir qu’il n’y en aura jamais. Pour limiter leur impact :
- privilégiez, lorsque l’outil le permet, une mise en attente des cas douteux plutôt qu’une suppression immédiate ;
- consultez régulièrement la file de modération ou le journal disponible ;
- testez avec plusieurs navigateurs, sur mobile et ordinateur, et avec ou sans connexion à un compte ;
- vérifiez les champs préremplis, les liens légitimes et les messages longs ;
- après une mise à jour du thème ou du plugin de formulaire, refaites un test d’envoi ;
- gardez une solution de contact alternative lorsque la prise de contact est essentielle.
Si votre filtre bloque des clients ou laisse passer beaucoup de spam, examinez les règles et les journaux avant de durcir les réglages. Le problème peut venir d’une incompatibilité ou d’une protection absente sur le bon formulaire.
Spam, sécurité et maintenance : quelle différence ?
Un anti-spam filtre des soumissions indésirables. Il ne remplace pas les mises à jour, la gestion des accès, les sauvegardes ou la surveillance de sécurité. À l’inverse, un site bien maintenu peut toujours recevoir des messages publicitaires dans ses formulaires.
Si les messages ont commencé à affluer après un changement ou si vous soupçonnez un problème plus large, un audit WordPress permet d’examiner la configuration et les points à corriger. Pour protéger le site dans son ensemble, découvrez aussi mon accompagnement en sécurité WordPress et mes prestations de maintenance WordPress.
Sur une boutique, les formulaires d’inscription et les avis produits demandent des vérifications adaptées à votre configuration. Je peux également vous accompagner comme développeur WooCommerce.
Questions fréquentes
Quel plugin anti-spam choisir pour les commentaires WordPress ?
SpamJam, Antispam Bee et Akismet sont des options à examiner pour les commentaires natifs. Le choix dépend notamment de votre préférence pour un traitement local ou un service externe, de votre budget et de la compatibilité avec votre formulaire de commentaires.
Un plugin anti-spam pour commentaires protège-t-il aussi les formulaires de contact ?
Pas nécessairement. Antispam Bee précise ne pas protéger les extensions de formulaire. SpamJam réserve les intégrations de formulaires tiers à sa version Pro. Avec Akismet, vérifiez l’intégration prévue par votre outil de formulaire.
Faut-il installer plusieurs extensions anti-spam ?
Commencez par une protection adaptée à chaque point d’entrée. Multiplier les contrôles sur un même formulaire peut compliquer le diagnostic et provoquer des conflits : testez les combinaisons avant de les adopter.
Un CAPTCHA est-il obligatoire ?
Non. Certains outils utilisent d’autres signaux, comme des champs pièges ou des contrôles de soumission. L’important est de vérifier l’efficacité réelle de la solution choisie et de conserver un parcours utilisable pour vos visiteurs.
Le spam peut-il affecter ma boutique WooCommerce ?
Oui, notamment via les avis produits, les formulaires et les inscriptions. Vérifiez séparément ces points d’entrée et la compatibilité annoncée par les extensions installées.
Sources et documentation
- WordPress : comprendre et gérer le spam dans les commentaires
- WordPress : réglages de discussion
- SpamJam : fonctionnalités et différences entre versions
- Antispam Bee : fonctionnalités et FAQ
- Akismet : fiche officielle
- Contact Form 7 : filtrage avec Akismet
- Cloudflare : validation côté serveur de Turnstile
But you are not virtually spam free; you have 100 to 200 a day in the database!
You should also consider looking at Bad Behavior 2, which is even more effective at stopping malicious activity before it hits your blog.
Hello Michael,
With Akismet enabled only, I get 100-200 spams a day but if I add up WP-Hashcash and TrackBack Validator, it falls down to a mere 2-3 a day, which are not spam but search-engine related (trackback from search results). That’s an acceptable score :)
I tried Bad Behaviour 2 but it was logging every malicious attempts in the database, causing it to double overnight. I want my WP install to remain clean as much as possible. Now, if your plugin has an option not to log in attempts in the database, I’m a taker ^_^
vous avez oublier spamkarma2 il est super ;) contre le spam
C’est vrai que je n’ai pas mentionné SK2… je l’ai utilisé un temps et l’ai abandonné pour des scripts plus récents. Je viens de mettre WP HashCash à jour : plus de spam du tout ! Cool ^_^
ba chez moi WordPress Hashcash ma bloquer 2jours :p la sa revient jsuis content :)
Bonjour,
Cela m’interesse mais il y a çà en bas qui se glisse en bas lorsque l’on veut écrire un commentaire avec le plugin Hashcash
« What’s a blog without spam: the intense and far-famed WordPress Spam-be-gone plugin. »
Bof, bof….
PS : comment fait-on pour avoir une jolie présentation des commentaires comme ici ?
Salut rusty,
L’article commence un peu à dater… du temps où j’utilisais WP-Hashcash, j’avais rapidement édité le fichier *.lib responsable de l’ajout de cette ligne. Dans la nouvelle version, tu peux commenter la ligne 347.
Note : j’utilise désormais d’autres plugins anti-spam depuis quelques mois. Je me suis rendu compte que WP-Hashcash bloquait les pingbacks/trackbacks. Voici ma nouvelle liste :
– Bad Behavior
– Spam Karma 2
– Spam Karma 2 Akismet Plugin
Avec cela, plus besoin de regarder la liste de spams d’Akismet, tout est géré par SpamKarma et on gagne un temps fou. Et pas de false positives.
Pour les commentaires, les couleurs sont alternées (blanc/gris) et mes commentaires sont en jaunes. Je me suis inspiré du code livré avec le thème Kubric, expliqué ici.
Salut Matt,
Merci beaucoup de t’être donné la peine me répondre ; )
Je vais essayer çà ! Su-per !
Bonne continuation.
Je t’en prie rusty :)
Il y en a pas mal qui ne fonctionnent pas correctement et qui bloquent des sites légitimes.
L’article a plus de 4 ans maintenant et je n’utilise plus que Spam-Karma (qui n’est plus maintenu mais qui fonctionne toujours). Les commentaires légitimes ne sont que très rarement bloqués, je dirais qu’il y en a 1 tous les 2 mois à peu près.
Je ne sais pas si le message précédent est passé. Si non, ton filtre spam n’est pas bon ;)
Il est tout bon mon filtre ;-)
Très pratique!! Merci!