Protección antispam para sus formularios

WP-ImmoMakler protege todos los formularios del plugin contra el spam: el formulario de contacto en la vista de detalle del inmueble, el formulario de alertas de búsqueda, el formulario de desistimiento, así como el formulario de perfil de búsqueda de Propstack y el registro en el newsletter de Propstack.

La protección está organizada en niveles. Encontrará todos los ajustes agrupados en el backend de su sitio web (wp-admin) en WP-ImmoMakler → Ajustes → Protección antispam.

El principio: no perder ninguna solicitud real

Ninguna protección antispam puede distinguir con total seguridad si detrás de un envío hay una persona o un bot. Por eso, en WP-ImmoMakler rige la siguiente regla: en caso de duda, se entrega.

El motivo es una simple ponderación. Un correo de spam que llega a su bandeja de entrada le cuesta unos segundos. Una solicitud real que se descarta en silencio puede costarle un encargo, y usted nunca lo sabrá. Los ajustes predeterminados se han elegido en consecuencia.

Nivel 1: Comprobaciones invisibles

Todos los formularios comprueban en segundo plano si presentan características típicas de bots. Sus visitantes no ven ni tienen que hacer nada al respecto.

Honeypot. Todos los formularios contienen un campo adicional invisible para los visitantes. Una persona no ve este campo y lo deja vacío. Un bot de spam que analiza el formulario de forma automática, en cambio, lo rellena y se delata así a sí mismo.

Procedencia. Cada formulario recibe al cargarse una característica firmada. Si falta o la firma no coincide, la solicitud no procede de un formulario de su sitio web abierto de forma habitual, algo típico de los bots que envían sus datos directamente a la dirección de su sitio web sin llegar a abrir la página.

Tiempo de cumplimentación. De esa misma característica se deduce cuánto tiempo se tardó en rellenar el formulario. Si un formulario se envía en menos de tres segundos, no ha sido una persona quien lo ha hecho.

Datos introducidos. Los bots de spam que controlan un navegador real superan las tres comprobaciones anteriores e incluso resuelven el CAPTCHA; solo se delatan por lo que escriben: secuencias aleatorias de letras como “Vkrch mMUhFJtNnjeQJaqFM” como nombre o “Pjcgkdapg” como número de la vivienda. WP-ImmoMakler comprueba el nombre, los apellidos, la empresa, la calle, el número, la localidad y, en el formulario de desistimiento, los datos de identificación del contrato y, en el formulario manual de alertas de búsqueda, igualmente el nombre, los apellidos, la calle y la localidad, buscando dos patrones que no aparecen en ningún idioma: cambios repetidos entre minúsculas y mayúsculas dentro de una palabra y palabras de cinco o más letras sin ninguna vocal. Nombres como McDonald, Schmidt o Przybylski superan la comprobación. Un único campo llamativo solo provoca una marca, porque un nombre real puede parecer inusual; a partir de dos campos, el envío se considera spam detectado con seguridad. Una excepción es un nombre o apellido que cambia repetidamente entre minúsculas y mayúsculas dentro de una palabra, como “qorTZxWeNbuPLmiKs”: nadie escribe así su nombre, por lo que el envío se considera por sí solo spam detectado con seguridad.

Remitente. Cuando un envío se detecta con seguridad como spam, WP-ImmoMakler recuerda la dirección de correo electrónico durante 24 horas. Esos mismos bots suelen crear, poco después de una solicitud de contacto, una alerta de búsqueda con la misma dirección: un formulario sin campos de nombre que, por sí solo, pasaría desapercibido. Otro envío desde esa dirección durante ese periodo también se considera spam detectado con seguridad. El campo honeypot no activa esta memoria, porque el autocompletado del navegador también puede rellenarlo en visitantes reales.

Este nivel siempre está activo y no requiere ningún ajuste. Sin embargo, puede definir qué ocurre con un envío sospechoso:

Entregar y marcar (predeterminado)

La solicitud se le entrega con normalidad. En el asunto aparece adicionalmente [Posible spam], y al principio del mensaje encontrará una breve indicación de por qué el envío resultó sospechoso. Usted decide si se trata de spam.

La ventaja: no se pierde ninguna solicitud real. Esto es más importante de lo que parece a primera vista: incluso en el caso de una persona, el campo invisible puede rellenarse, por ejemplo, cuando un gestor de contraseñas o una extensión del navegador autocompleta los campos del formulario.

Para el procesamiento técnico posterior, cada correo marcado de esta forma incluye además la cabecera X-ImmoMakler-Spam-Suspected. Su valor indica la causa: honeypot, origin o speed. Con ella puede crear una regla en su programa de correo que clasifique automáticamente las solicitudes sospechosas en una carpeta propia en lugar de eliminarlas.

Solicitudes que llegan directamente a su software CRM

Las solicitudes a través del formulario de contacto de inmuebles no siempre llegan a usted solo por correo electrónico, sino que, según la configuración, también pueden llegar directamente a su software CRM. También allí se marca una solicitud sospechosa, en la medida en que la vía de transmisión correspondiente lo permita:

OpenImmo Feedback XML: Si ha activado la opción Adjuntar XML, el campo anfrage del archivo XML comienza con la indicación de sospecha de spam. Así, también la ve un software CRM que recoge la solicitud a partir del archivo XML.
Gestor de mensajes de ImmoScout24: La indicación aparece al principio del mensaje que llega al gestor de mensajes.
CasaOne: La indicación aparece al principio del mensaje que se transmite a CasaOne.
Publimmo: Como se ha descrito antes, el correo de la solicitud lleva el prefijo de asunto [Posible spam], la indicación y la cabecera X-ImmoMakler-Spam-Suspected.

También aquí la solicitud se transmite completa. La indicación solo se antepone a ella.

Rechazar la solicitud

La solicitud no se entrega. La persona remitente recibe en su lugar un aviso de que ha sido clasificada por error como bot de spam, junto con la petición de contactar con usted por correo electrónico o por teléfono.

En el formulario de alertas de búsqueda no hay nada que marcar: el único correo se envía a la dirección indicada en el formulario, no a usted. Por eso, ante un indicio inequívoco, simplemente no se envía ningún correo de confirmación, independientemente de este ajuste. Así, el bot no recibe nada; una persona identificada por error como bot puede simplemente volver a intentarlo, ya que una alerta de búsqueda sin confirmar se descarta de todos modos.

Lo mismo ocurre con el registro en el newsletter de Propstack: ante un indicio inequívoco, WP-ImmoMakler no crea ningún contacto en Propstack ni envía el correo de doble confirmación (Double Opt-In).

Este ajuste mantiene más spam alejado de su bandeja de entrada. Sin embargo, en casos concretos puede costarle una solicitud real, concretamente cuando el campo invisible se rellena sin intervención del visitante. Elíjalo, por tanto, solo cuando el simple marcado le deje pasar demasiado spam.

El rechazo solo se produce ante indicios inequívocos. La ausencia de la característica de procedencia por sí sola nunca provoca un rechazo, sino solo un marcado: también puede deberse a que su sitio se haya servido desde una caché que aún corresponde a la versión anterior a la actualización. Su visitante no tiene la culpa de ello, y una solicitud real no debe fracasar por ese motivo.

Nivel 2: proveedores de CAPTCHA

Además, un CAPTCHA comprueba si una solicitud procede de una persona. De forma predeterminada está activado ALTCHA; también puede elegir entre siete CAPTCHAs alojados externamente – captcha.eu, Cloudflare Turnstile, Friendly Captcha, hCaptcha y Google reCAPTCHA (v3, v2 con tarea, v2 invisible) – o «Sin CAPTCHA (solo nivel 1)». Solo se puede utilizar un CAPTCHA a la vez.

Con ALTCHA, el navegador de su visitante resuelve en segundo plano una tarea de cálculo automatizada que su propio servidor plantea y comprueba, sin conexión con terceros y sin cookies. Para un único visitante, el esfuerzo es imperceptible; para un bot que envía formularios de forma masiva, se acumula hasta convertirse en un obstáculo real. A diferencia del honeypot, una comprobación fallida siempre se rechaza: es una señal mucho más fiable.

Los demás CAPTCHAs son servicios de terceros y transmiten para ello datos de sus visitantes a sus propios servidores; encontrará más información en el aviso de protección de datos sobre terceros más abajo.

Tenga en cuenta que todos los CAPTCHAs requieren JavaScript: los visitantes con JavaScript desactivado o bloqueado ya no podrán enviar el formulario. Si le importa que esos visitantes también puedan enviar sus formularios, elija «Sin CAPTCHA (solo nivel 1)».

Si una alerta de búsqueda no supera el CAPTCHA, WP-ImmoMakler lo registra en el registro de spam (immomakler-spam-…log en el directorio de importación), junto con el proveedor del CAPTCHA y la indicación de si se envió una solución. WP-ImmoMakler rechaza una alerta de búsqueda sin solución sin consultar al proveedor. Por eso solo aparece en este registro y no en las estadísticas de su proveedor de CAPTCHA. Las alertas de búsqueda aceptadas muestran en el backend qué comprobación han superado (véase Alertas de búsqueda).

Encontrará todos los detalles sobre la configuración en la documentación de ALTCHA o en Proveedores de CAPTCHA.

Límite de solicitudes de contacto por dirección IP

El formulario de contacto acepta como máximo 10 solicitudes por hora desde la misma dirección IP. Esto frena a los bots de spam que envían el formulario en rápida sucesión, sin que cada solicitud individual tenga que ser reconocida como spam. Solo se cuentan las solicitudes que el formulario enviaría de todos modos: quien vuelve al formulario por un campo obligatorio vacío no ha consumido ninguna solicitud.

Quien alcanza el límite ve en el formulario un aviso que le pide intentarlo más tarde o ponerse en contacto con usted por correo electrónico o por teléfono. Los visitantes normales no llegan a ese valor. Si muchos de sus interesados comparten la misma dirección IP, por ejemplo en una red de empresa, súbalo en el backend de su sitio web (wp-admin) en WP-ImmoMakler → Ajustes → Protección antispam; 0 desactiva el límite.

Límite en los correos de respuesta automáticos

Algunos formularios envían un correo a la dirección introducida en el formulario: la confirmación de una alerta de búsqueda, el acuse de recibo automático del formulario de contacto, el acuse de recibo de un desistimiento y el correo de doble confirmación (Double Opt-In) del registro en el newsletter de Propstack. Sin un límite, esto podría aprovecharse para saturar el buzón de otra persona con este tipo de correos.

Por ello, WP-ImmoMakler limita cuántos correos de este tipo se envían desde la misma dirección IP en el plazo de una hora. Los valores no los alcanzan los visitantes normales.

Para las alertas de búsqueda, ajuste el valor en WP-ImmoMakler → Ajustes → Protección antispam (valor predeterminado 5; 0 desactiva el límite). Para los correos de confirmación de los formularios de contacto y desistimiento, el límite es de 10 por hora y se puede adaptar mediante los filtros immomakler_contactform_confirmation_rate_limit y immomakler_widerruf_confirmation_rate_limit. El registro en el newsletter de Propstack permite 5 registros por hora; puede cambiar el valor mediante el filtro immomakler_propstack_newsletter_rate_limit.

Lo mismo se aplica al registro en el newsletter del formulario de contacto: si alguien marca ahí la casilla de suscripción al newsletter de Propstack o Mailchimp, el servicio de newsletter envía un correo de confirmación a la dirección introducida. Ante un indicio inequívoco, el registro no se realiza por ello, independientemente del ajuste en el Nivel 1. Además, se permiten como máximo 5 registros por hora y dirección IP, compartidos entre todos los servicios de newsletter conectados; puede cambiar el valor mediante el filtro immomakler_contactform_newsletter_rate_limit (0 desactiva el límite). En ambos casos, la solicitud en sí le llega igualmente; solo se omite el registro en el newsletter.

Aviso de protección de datos sobre terceros

Con el ajuste predeterminado ALTCHA, así como con «Sin CAPTCHA», todos los niveles de la protección antispam se ejecutan exclusivamente en su propio servidor. No se transmiten datos a terceros, no se establecen cookies y no se recopilan datos de comportamiento de sus visitantes.

Si en cambio elige Cloudflare Turnstile, Friendly Captcha, hCaptcha o Google reCAPTCHA, su sitio web transmite para su comprobación datos de sus visitantes (entre otros, su dirección IP) al servidor del proveedor correspondiente. Compruebe si debe incluir el proveedor elegido en su declaración de privacidad. Con Google reCAPTCHA, estos datos se transfieren a EE. UU. Dado que EE. UU. no ofrece un nivel de protección de datos equivalente al de la UE, esto puede suponer, sin el consentimiento expreso de los usuarios, riesgos jurídicos relacionados con el RGPD y posibles cuestiones de responsabilidad. Antes de elegir Google reCAPTCHA, compruebe por tanto si esto es compatible con su declaración de privacidad y adáptela si es necesario.

captcha.eu, Cloudflare Turnstile, Friendly Captcha y hCaptcha se posicionan todos expresamente como alternativas más respetuosas con la privacidad frente a Google reCAPTCHA. También aquí es válido lo siguiente: compruebe usted mismo sus políticas de privacidad actuales antes de decidirse por un servicio. captcha.eu procesa los datos exclusivamente en Austria, y lo hace en todos sus planes; por motivos de protección de datos, WP-ImmoMakler conecta deliberadamente con el servicio a través de la ruta directa a esos servidores, evitando la CDN que captcha.eu antepone de forma predeterminada. Con Friendly Captcha, WP-ImmoMakler sirve el script del widget desde su propio servidor en lugar de a través de una red de distribución de contenidos (CDN), de modo que no se añade ningún proveedor adicional; y con el ajuste «Friendly Captcha: región del servidor» puede limitar el servicio a servidores de la UE (disponible solo en determinados planes de Friendly Captcha). Encontrará más información sobre los siete CAPTCHAs alojados externamente en Proveedores de CAPTCHA.