Как настроить recaptcha wordpress

Настройка ReCaptcha для WordPress: пошаговая инструкция

Настройка ReCaptcha для сайта WordPress — это простой способ избавиться от спамных рассылок и фильтрации ботов, выполнить которую можно быстро, ознакомившись с инструкцией ниже.

Получение ключей доступа к ReCaptcha Google

В первую очередь следует перейти на сайт и переходим в административную консоль.

• Ярлык (необходим для навигации);
• Тип ReCAPTCHA: выбираем v3;
• Домены: вводим домен нужного сайта;
• Принимаем условия использования.

После этого получаем:

Все готово, переходим к настройкам в CMS.

Настройки плагина

В первую очередь переходим в «Плагины»-«Добавить новый», где в строке поиска вводим «Invisible reCaptcha» и устанавливаем версию от Mihai Chelaru.

Переходим в настройки плагина.

Остальные настройки, такие как язык и позиция значка, рекомендуется оставить без изменений.

После выбираем настройки для всей системы WordPress:

• Включить защиту формы логина;
• Регистрации;
• Комментариев;
• Восстановления пароля.

• Формы логина;
• Регистрации;
• Сброса пароля;
• Отзывы о товаре.

Работа с контактными формами:

• Для Contact Form 7;
• Gravity Forms;
• Исключенные Gravity Forms ID.

Все готово, теперь система будет постоянно отслеживать ботов и предотвращать спам от них.

Для чего это нужно?

Данная настройка может потребоваться в тех случаях, когда идет атака спамных заявок с несуществующих адресов от ботов.

В течение нескольких часов использования атака прекратиться.

Источник

Ставим reCaptha V3 на WordPress сайт

Вступление

Вы наверняка знаете, что ваш сайт посещают не только люди, но и боты. Причём не всего боты–посетители исследуют ваш сайт с добрыми намерениями. Особенно опасны программы, которые пытаются войти на ваш сайт со стороны административных входов.

Защитить ваш сайт от таких «нечеловеческих» посещений помогает инструмент reCaptha от Google, в частности, её последняя версия V3. В этой статье ставим reCaptha V3 на WordPress сайт.

Что такое reCaptha

Google называет свой новый инструмент reCaptha V3 — новый способ остановить ботов.

reCAPTCHA v3 оценивает каждый запрос к сайту без взаимодействия с пользователем. В оценках не используются математические задачки и введение цифр. Оценка интеллектуальная, основывается на поведении пользователя и позволяет вам предпринять соответствующие действия по безопасности. Сервис Google reCAPTCHA ведёт статистку по каждой паре ваших ключей (каждому домену).

Ставим reCaptha V3 на WordPress сайт

Заводим Google аккаунт, если его нет.

Если есть, регистрируем свой сайт (по домену) и забираем ключи на сервисе Google reCAPTCHA (www.google.com/recaptcha/intro/v3.html). Если у вас есть старые ключи, их не удаляем, а добавляем новые.

Примечание: По умолчанию капча настроена на сложность анализа 0,5. Его можно усилить или ослабить, как в настройках ключей, так и в настройках некоторых captcha–плагинов.

Способ 1

Так как reCaptha V3 элемент безопасности сайта, то логично поискать функционал капчи в плагинах безопасности. В моём плагине Wordfence Security — Firewall & Malware Scan он есть.

На вкладке меню этого плагина «Login Security»→ «Settings» включаю функционал reCaptha и после вставки двух ключей, полученных на сервере Google reCaptha, сохраняю сделанные изменения.

Скромный значок reCaptha V3 появляется в нижнем углу всех форм авторизации.

Способ 2

Установить плагин работающий с reCaptha V3. Искать плагин в каталоге по слову (фразе) Captha.

Рекомендую проверенный Google Captcha (reCAPTCHA) by BestWebSoft. Обратите внимание, не все плагины данной группы работают с версией V3.

Способ 3

Установить любой другой плагин актуальный для вашей версии WordPress и работающий с reCapthaV3. Читать 13 плагинов Captha или попробовать (проверенные, поиск по названию):

• Advanced noCaptcha & invisible Captcha (v2 & v3) (проверен).
• Login No Captcha reCAPTCHA (работает с WooCommerce).

Проблемы с reCaptha V3

Что делать, когда, установленная капча, не пускает вас в панель своего сайта? Например, буквально вчера, капча на сайте с доменом РФ, установленная через плагин безопасности Wordfence Security, закрыла мне доступ к сайту. Показываю, как исправил.

• По FTP переименовываю каталог с плагином, где активировалась капча (добавляю цифру к имени);
• Вхожу в панель сайта (теперь капча не работает);
• Меняю плагин капчи или, в моём случае, заново получаю ключи на Google, но уже с кириллическим доменом РФ в Punocode;
• Обратно переименовываю каталог с плагином.

Заключение про reCaptha V3 на WordPress

reCaptha V3 на сайте WordPress элемент необязательный, если вам не досаждают сотни попыток автоматической авторизации. Решать вам. Уж точно, версия V3 не отпугивает человеческих пользователей.

Источник

WordPress капча: мой опыт использования

Всем привет! 🙂

Если вы подписаны на уведомления данного проекта, то могли заметить, что последние статьи были посвящены вопросам безопасности сайтов и, в частности, тому, что такое капча, зачем она нужна на сайтах, как её обходят и зарабатывают на ней.

Сейчас вы, наверное, удивитесь, но всё это было вступление к сегодняшней статье 🙂

Изначально я планировал написать именно об установке капчи для WordPress и поделиться своим скромным опытом, приобретённым в процессе трёх переустановок различных решений. Но при продумывании темы пришёл к выводу, что информации, которой я хочу с вами поделиться, слишком много.

В результате появились предыдущие 4 статьи. Вот так иногда бывает 🙂

Статья не будет посвящена обзору всех существующих плагинов капчи, которые можно найти на просторах Интернета по запросу «WordPress капча». Вместо этого я поделюсь с вами отзывами лишь о тех решениях, с которыми я сталкивался на практике лично, и у меня была возможность самостоятельно оценить их плюсы и минусы.

О чём речь пойдёт в статье, думаю, вам понятно. Следовательно, она будет полезна всем, кто заботится о безопасности WordPress сайтов: как разработчикам, так и владельцам ресурсов, кто хочет установить капчу для WordPress самостоятельно.

Напомню, что CAPTCHA не только ограждает ваш сайт от спама, но и позволяет защитить его от других видов автоматизированных атак с помощью ботов, направленных на потерю контроля над ресурсом.

Так что установка капчи на WordPress сайт — обязательная и первостепенная мера, для произведения которой нужно от силы минут 10: 5 на чтение данной статьи, 3 на выбор нужного решения и 2 на его установку 🙂

Не буду тянуть кота за хвост и переходим непосредственно к тому, какие реализации капчи испробовал я на своём опыте, от каких отказался и к чему пришёл в итоге.

Зачем мне понадобилась WP капча

Впервые об установке капчи я задумался незадолго после запуска данного ресурса, когда меня стали атаковать регистрациями фейковых пользователей.

Казалось бы, ничего в этом страшного нет, но и пользы тоже не наблюдается. К тому же, как я узнал позже, это один из видов хакерских атак, при которых можно в дальнейшем рассылать спам, получить контроль над ресурсом или создать лишнюю нагрузку на ресурс и банально захламить базу данных.

Последний фактор, кстати, может привести к прекращению работы сайта из-за превышения серверных ресурсов хостинг-провайдера.

Но тогда я почему-то не придал капче большого значения, к тому же свою роль сыграли отзывы о капче в интернете, где её ругали за неудобство для пользователей, из-за чего последние вообще отказываются от выполнения действий на сайте.

В результате тогда я решил ограничиться закрытием регистрации пользователей на ресурсе вообще.

Во второй раз о необходимости установки WordPress CAPTCHA я задумался, когда меня стали заваливать спамом в комментариях. Полностью закрывать комментарии для всех пользователей выглядит совсем дико и попахивает тоталитарным режимом 🙂 Поэтому я решил искать альтернативы.

Первой стала установка стороннего модуля комментариев с помощью виджета ВКонтакте. Думаю, многие видели его на сайтах и ту чушь, которая подчас там содержится.

Всё из-за того, что, в отличие от стандартных комментариев WordPress, при установке сторонних виджетов нет никакой возможности модерирования: что клиент написал, то на твоём сайте и появится.

Такое положение дел меня тоже не устраивало, поэтому я и решил вернуться к использованию механизма WordPress для добавления комментариев, защитив его от спамеров с помощью CAPTCHA, как самого простого и эффективного средства в данной ситуации.

Однако, если с простотой использования мало кто поспорит благодаря массе готовых плагинов WordPress капчи, то с эффективностью, как показала практика, имеются проблемы, о которых я далее и поведаю.

Установка графической капчи для WordPress

Именно к старой доброй графической капче, для прохождения которой нужно ввести символы с картинки, я решил обратиться в первую очередь. Данное решение в различных вариациях видели, наверное, все.

Я тоже не раз с ней сталкивался, поэтому и решил не отдаляться от коллектива и установить её себе на сайт. Заморачиваться тогда с изучением принципов её работы и реализацией с нуля я не захотел, поэтому решил обойтись установкой готового плагина.

Мой выбор пал на WordPress Captcha Code, который можно скачать в официальном каталоге плагинов ВордПресс по следующему адресу — https://wordpress.org/plugins/captcha-code-authentication/

Я обратил своё внимание на данное решение, т.к. оно было максимально простым и имело по-минимуму разнообразных настроек.

Как видите, среди них только выбор типа символов (буквы и/или числа), их количество, место размещения на сайте и возможность отображения её зарегистрированным пользователям или нет. Как говорится, ничего лишнего 🙂

Выглядит данная графическая WordPress капча на сайте следующим образом:

Однако, как выяснилось позже, лаконичность настроек — это как плюс, так и минус, т.к. маленькие баги в вёрстке самого элемента капчи в HTML форм сайта пришлось править вручную. Например, красную звёздочку обязательности ввода значения поля WP CAPTCHA пришлось руками перемещать на одну строку с надписью «Код безопасности» в коде плагина.

Но, самый главный минус данного решения проявился немного позже.

Спустя всего неделю после установки WordPress CAPTCHA Code на свой сайт я обнаружил, что данный плагин не справляется со своими задачами. Поток спама, правда, превратился в ручеёк, но он всё же был.

Видимо, за время, пока ресурс не был защищён с помощью капчи от спама, он уже успел попасть в базы спам ботов, которые продолжали его атаковать и после установки WordPress CAPTCHA. Но в этом был и положительный момент, т.к. данный факт показал несостоятельность плагина WordPress CAPTCHA Code в борьбе со спамом.

Как известно, программисты — народ ленивый 🙂 И поэтому я уже был готов оставить всё как есть.

В принципе, сократившееся количество спама меня тоже устраивало, а на поиски нового плагина нужно было бы тратить своё драгоценное время, и то ещё не факт, что новый справлялся бы лучше старого. Однако, меня всё-таки заставило отказаться от WordPress CAPTCHA Code одно жирное «НО».

После установки WP капчи на данный блог я решил немного ускорить работу своего ресурса с помощью серверного кэширования, реализуемого одним из плагинов.

Так вот, после его установки выяснилось, что иногда моя графическая WordPress капча была вообще без символов. Т.е. один фон — и всё. При этом от пользователя требовалось ввести невидимые символы, без чего его комментарий не засчитывался. Но и после неправильного ввода при повторной генерации капчи символы не появлялись.

Самое интересное в данной ситуации, что спам я получать при этом не перестал. Мне стабильно приходили явно автоматически сгенерированные сообщения со всякими тизерами и ссылками на другие ресурсы. Т.е. в итоге сложилась ситуация, при которой капча на сайте стояла, но она останавливала реальных людей, а не роботов, хотя должно было быть всё в точности наоборот.

Поначалу моя реакция на это явление была предсказуема 🙂

Да, я снова оставил всё, как есть, потому что, несмотря на данный баг, комментарии у меня на сайте иногда всё-таки появлялись, а новый плагин искать было день. Поэтому я понадеялся на удачу и на то, что отсутствие символов капчи — это мои глюки, и также не предпринял никаких действий.

Но, в один прекрасный день, о данном баге мне написал один из пользователей. И вот в этот момент у меня внутри что-то ёкнуло… Мне стало настолько неудобно, что я решил всё-таки положить край творящемуся беспределу.

Вот такой эффект имеет самый банальный комментарий, которые многие из вас ленятся писать. Поэтому если вы вдруг заметите какую-то вещь на сайте или в статье, которая вам не нравится (или нравится), то обязательно пишите об этом в комментариях. Этим вы сделаете данный ресурс и его статьи лучше не только для вас, но и для других пользователей.

И это, кстати, касается не только моего сайта, но и других. Уверен, что их владельцам это также будет приятно и необходимо.

Так что, пожалуйста, не будьте равнодушными! Иногда ваши 2-3 слова становятся мощнейшим катализатором, помогающим принимать порой судьбоносные решения, на которые вебмастера не могут решиться самостоятельно годами. Задумайтесь над этим, пожалуйста.

Итак, я прервался на том, что решил поменять плагин ВордПресс капчи. Оставалось только выбрать подходящий.

Установка плагина WordPress reCAPTCHA от Google

При выборе новой WP капчи я снова принялся изучать все существующие на сегодняшний день разновидности. Помню, как в процессе поисков я на одном из форумов наткнулся на тему, в которой народ обсуждал аналогичную проблему — некорректную работу «классических» графических капчей для ВордПресс, генерирующих задания на сервере.

Оказалось, что описанные выше проблемы наблюдались не только у меня. Да и ничего удивительного в этом нет. Поскольку большинство плагинов кэширования WordPress работают на основании серверного кэширования, то часто используемые запросы к БД и прочая часто вызываемая информация сохраняется на сервере для дальнейшего быстрого вызова.

В случае же с плагинами WordPress кэширования, как выяснилось, сохраняются даже html блоки страниц статей, сайдбара и т.д. для быстрой выдачи данных браузеру, из-за чего и происходит неверная работа капчи.

В итоге, на том же форуме я нашёл и решение всех бед.

Оно оказалось простым — использовать вместо капчей с генерацией заданий на сервере перед отображением страницы другую популярную реализацию — AJAX капчу, которая получает задания с сервера без перезагрузки страницы.

Примером такой капчи является популярная Google reCAPTCHA v2, которая называется noCAPTCHA. Самым известным плагином, работающим на её базе, является Google Captcha (reCAPTCHA) by BestWebSoft, которым я и решил воспользоваться для ускоренной интеграции WP капчи на сайт, не вдаваясь в подробности её работы.

Сразу скажу, что поначалу плагин меня порадовал своей полнотой настроек, которые при этом понятны и не избыточны. Кроме того, возле каждого пункта настроек WP капчи есть комментарии по поводу его назначения и скриншоты форм сайта, на которые плагин может быть добавлен:

Поскольку плагин работает на базе Google API, то для использования WordPress Google reCAPTCHA необходимо создать ключ API по ссылке, которая есть на странице настроек плагина.

Помимо того, что вы видите на картинке выше, есть ещё следующие возможности:

1. выбор группы пользователей (Администраторы, Редакторы, Авторы и т.д.), для которых капча не будет отображаться;
2. возможность составления «белого списка» IP адресов, при заходе с которых пользователи смогут совершать действие без ввода капчи;
3. изменения текста сообщения для посетителей из «белого списка»;
4. выбор цветовой темы оформления (есть светлая и тёмная);
5. возможность установки Google reCAPTCHA v1, которая, если кто-то ещё помнит, была обычной графической капчей;
6. задание собственных стилей оформления с помощью CSS и пользовательского PHP кода.

Устанавливать Google капчу с помощью данного плагина можно, как вы видите, на стандартные формы WordPress, перечисленные в настройках. Также можно установить её и в другие места сайта, в том числе и интегрировать её в другие плагины (например, в Contact Form 7, которую очень любят использовать для форма обратной связи).

Но в последнем случае вам нужно будет разбираться в коде или приобрести Premium версию плагина Google Captcha (reCAPTCHA) by BestWebSoft, в которой есть возможность интеграции в различные плагины путём проставления галочки на странице настроек.

В итоге, на моём сайте в форме комментариев WordPress reCAPTCHA, сгенерированная данным плагином, выглядела следующим образом:

Что я в итоге могу сказать про данный плагин? В дизайн сайта WordPress Google CAPTCHA noCAPTCHA вписалась идеально. А, самое главное, что со своими функциями — защитой WordPress от спама — данный плагин справлялся идеально.

После его установки прекратился даже тот ручеёк, который оставался после графической капчи от WordPress CAPTCHA Code. Ну и, что немаловажно, Google Captcha (reCAPTCHA) by BestWebSoft решил проблему, создаваемую предыдущим плагином.

Благодаря тому, что Google reCAPTCHA noCAPTCHA — это JavaScript AJAX капча, то серверное кэширование никак не влияло на её работу, позволяя пользователям проходить её каждый раз, как они это пожелают сделать, а не только в тех случаях, когда сгенерированная картинка отображалась на экране.

Ну, и при вводе WordPress рекапчи от пользователей требуется меньше телодвижений и сил по сравнению с вводом символов с картинки, которые не всегда могут генерироваться корректно. Хотя, это, конечно, не преимущества отдельно данного плагина а всей технологии Google noCAPTCHA в целом.

Резюмируя всё вышесказанное, мой отзыв о Google Captcha (reCAPTCHA) by BestWebSoft положительный. Но, несмотря на это, я всё же отказался от данного варианта капчи на своём блоге. Почему — читайте далее.

Установка WordPress reCAPTCHA без плагина

На самом деле, всему виной девушки 🙂 А в сложившейся ситуации — моя вторая половинка, которая является создателем и автором проекта 50 килограммов счастья, к разработке и поддержке которого я имею непосредственное отношение.

Ну, и, естественно, на данном сайте присутствуют практически все фишки, наработки и плагины, которые я протестировал при создании своего собственного. В том числе, на нём капча до недавнего времени была реализована с помощью Google Captcha (reCAPTCHA) by BestWebSoft.

Но, ввиду особенностей вёрстки шаблона её сайта у неё в форме комментариев на мобильных устройствах WordPress Google CAPTCHA noCAPTCHA, установленная с помощью вышеописанного плагина, стала вылезать за пределы экрана, мешая реальным пользователям её проходить.

Вёрстку менять было нельзя (девушки — народ капризный 🙂 ), поэтому было принято решение изменить вид самой Google reCAPTCHA.

Сам Google предоставляет два вида reCAPTCHA noCAPTCHA — стандартный, который вы видели выше, и компактный, который предназначен как раз-таки для мобильных устройств. В данном случае Google капча будет выглядеть следующим образом:

Реализуется это прописыванием одного-единственного параметра в клиентском HTML коде noCAPTCHA, добавляемом на сайт. Но, к сожалению, в Google Captcha (reCAPTCHA) by BestWebSoft данная опция доступна только в премиум версии плагина.

Платить за это маленькое новшество я, естественно, не захотел, поэтому сперва решил дополнить плагин данной фичей самостоятельно. Но, к сожалению, вставка пользовательского кода Google reCAPTCHA в HTML сайта в нём была реализована слишком запутанно, поэтому я принял решение интегрировать noCAPTCHA на сайт самостоятельно с помощью API Google.

О том, как установить Google reCAPTCHA на сайт, я уже писал в статье по ссылке. Изложенные там рекомендации универсальные, а, поскольку у WordPress есть своё API, позволяющая производить многие действия быстрее и красивее с помощью специальных функций, то я решил воспользоваться данной возможностью.

Если будете повторять за мной, то для начала создайте Google аккаунт или войдите в него, т.к. доступ к API Google сервисов происходит через него.

Итак, аккаунт вы создали, теперь самое время разместить Google reCAPTCHA на своём WordPress сайте. Напоминаю, что получить ключ reCAPTCHA и подробные инструкции по установке капчи на сайт можно получить на этой странице — https://www.google.com/recaptcha/admin.

Если путаетесь с тем, что и как на ней делать, а также вам будут непонятны какие-то из описанных далее действий, то прочитайте мою статью об установке reCAPTCHA, ссылку на которую я разместил ранее в статье.

Первое, что нам нужно, — это разместить клиентский код капчи у себя на сайте.

В моём случае WordPress reCAPTCHA располагается на форме комментариев. Её код можно было бы вставить в файл комментариев вручную, но, поскольку я решил воспользоваться API WordPress, то весь мой код будет расположен в файле темы functions.php.

Помимо единства расположения всего кода в данном подходе есть и ещё один весомый плюс. Он заключается в том, что functions.php доступен для редактирования в админке WordPress в отличие от того же файла с формой комментариев, который там скрыт.

Открываем functions.php и пишем следующий код:

Как видите, для размещения HTML кода капчи на форме комментариев я решил использовать WP функцию add_filter() с хуком comment_form_default_fields.

Если вы не в курсе работы этой функции, то она нужна для добавления каких-либо пользовательских действий перед выполнением стандартных событий WordPress, которые и называются хуками.

Данный механизм, кстати, очень популярен при разработке сторонних решений и используется во многих платформах. Например, аналогом WordPress hooks являются Laravel Middleware, о которых я упоминал при знакомстве вас с этим замечательным PHP фреймворком.

В качестве входных параметров add_filter() я передал имя хука и название мое пользовательской функции, в которой будет прописан вывод WordPress reCAPTCHA на экран. В моём случае она называется recaptcha_field, вы же можете придумать что-то пооригинальнее 🙂

У хука есть параметр $fields, который соответствует набору полей формы комментирования. В него же мы будем добавлять и нашу капчу в recaptcha_field(), возвращая видоизменённый набор полей.

Также, как вы могли заметить, я установил в теле функции проверку прав текущего пользователя. Если мы залогинены под учёткой главного администратора, то капча нам показываться не будет. Во всех остальных случаях (в том числе и для неавторизованных пользователей) ВордПресс reCAPTCHA будет присутствовать на форме комментариев перед полем для ввода текста.

Сохраняем изменения в functions.php и открываем любую страницу, на которой есть форма добавления комментариев (не забудьте, что нужно быть незалогиненным на сайте).

Если капча не появилась, то не забудьте почистить кэш браузера и проверьте, не забыли ли вы подключить Google reCAPTCHA API на своём сайте. Делается это путём размещения следующей строки перед закрывающимся тэгом или

Источник