İletişim Formu Spam: WordPress Formlarına Gelen Bot ve Reklam Mesajları Nasıl Engellenir?

reCAPTCHA v3 mı Cloudflare Turnstile mı?

İkisi de ziyaretçiye çoğu zaman bulmaca göstermeden arka planda bot denetimi yapar; temel fark, sağlayıcı, maliyet planı ve işlenen veri konusundadır. Contact Form 7 belgesi, reCAPTCHA kullanmak için özel bir neden yoksa Turnstile’ı önerir. Elementor’un form alanları arasında ise reCAPTCHA ve reCAPTCHA V3 bulunur.

Google’ın reCAPTCHA v3 belgesine göre v3 kullanıcıyı hiç kesintiye uğratmaz ve her etkileşim için 0.0 ile 1.0 arasında bir puan döndürür; 1.0 büyük olasılıkla gerçek bir etkileşimi, 0.0 büyük olasılıkla botu gösterir. Belge varsayılan eşik olarak 0.5’i önerir ve token’ların iki dakikada geçersiz olduğunu belirtir. Elementor’un entegrasyon ayarlarında bu eşik “Score Threshold” alanından değiştirilebilir; botlar geçmeye devam ederse eşik yükseltilir.

Cloudflare’in Turnstile belgesi, aracı CAPTCHA’ya akıllı bir alternatif olarak tanımlar: site trafiği Cloudflare üzerinden geçmeden de herhangi bir siteye eklenebilir ve ziyaretçiye görsel bulmaca göstermemeyi hedefler. Belge, sunucu tarafında doğrulama yapılmadan widget’ın tek başına formu korumadığını da vurgular; form eklentisinin resmi entegrasyonu kullanıldığında bu doğrulamayı eklenti üstlenir.

Kullanıcı deneyimi ve KVKK açısından not

Her iki servis de üçüncü taraf bir sağlayıcıdan yüklenir ve ziyaretçinin tarayıcısıyla ilgili bazı verileri işler. Google’ın reCAPTCHA SSS sayfası, risk analizi için _GRECAPTCHA adlı gerekli bir çerez kullanıldığını; rozet gizlenecekse sayfada reCAPTCHA ile korunduğu bilgisinin görünür kalması gerektiğini belirtir. Cloudflare ise Turnstile’ın yalnızca güvenlik işlevi için gereken veriyi işlediğini ve form girişlerine erişmediğini yazar. Bu servislerin aydınlatma metninde ve çerez politikasında nasıl anılacağı bir hukuk danışmanıyla değerlendirilmelidir; buradaki not hukuki görüş değildir.

Contact Form 7 Spam: Akismet ve Engellenen Kelime Listesi

Contact Form 7 spam sorununda eklentinin kendi belgeleri üç yolu öne çıkarır: Akismet ile içerik filtresi, Cloudflare Turnstile ile bot denetimi ve WordPress’in engellenen kelime listesi. Turnstile entegrasyonu eklentinin Entegrasyon menüsünden site ve gizli anahtar girilerek açılır; aşağıda diğer ikisi anlatılır.

Akismet entegrasyonu

Akismet, Automattic’in sunduğu ve gönderilen içeriği “spam” ya da “temiz” diye sınıflandıran bir servistir. Contact Form 7 belgesine göre Akismet eklentisi WordPress ile birlikte gelir, ancak bir API anahtarı gerekir; kişisel bloglar için ücretsiz anahtar alınabilirken kurumsal ve ticari siteler için ücretli abonelik sunulur. Formda Akismet’in devreye girmesi için isim, e-posta ve web sitesi alanlarına sırasıyla akismet:author, akismet:author_email ve akismet:author_url seçenekleri eklenir. Belge, daha doğru sonuç için bu seçeneklerin olabildiğince fazlasının kullanılmasını önerir ve test için ayrılmış özel değerlerle filtrenin denenebileceğini anlatır.

Engellenen kelime listesi (Disallowed Comment Keys)

Contact Form 7’nin engellenen liste belgesi, WordPress yönetim panelinde Ayarlar > Tartışma ekranındaki “Disallowed Comment Keys” kutusunun formlar için de kullanılabildiğini anlatır. Kutuya her satıra bir kelime ya da IP adresi yazılır; bu kelimeyi içeren ya da bu IP’den gelen mesajlar spam sayılır ve iletilmez. Gönderenin IP adresini görmek için belge, bildirim e-postasına [_remote_ip] etiketinin eklenmesini önerir. Bu liste site yorumlarını da etkilediği için genel kelimeler yerine yalnızca spama özgü ifadeler yazılmalıdır.

Elementor Form Spam ve WPForms’ta Ek Filtreler

Elementor form spam için honeypot ve reCAPTCHA’nın yanında Akismet entegrasyonu da sunar; WPForms ise ülke, kelime ve e-posta listesi filtrelerini eklentinin kendi ayarlarında toplar. Hangi özelliğin açılabileceği kullanılan paket ve sürüme bağlıdır.

Elementor’un spam mesajlarını engelleme yardım sayfasına göre Akismet entegrasyonu, form entegrasyonlarını destekleyen Elementor Pro paketlerinde bulunur ve bir Akismet hesabı gerektirir. Kurulumdan sonra form panelinde “Akismet Spam Protection” bölümü belirir; hangi alanların taranacağı, ilgili alanların kısa kodları bu bölüme yapıştırılarak belirlenir. Bölümdeki örnek değerler kendiliğinden çalışmaz, kısa kodların elle girilmesi gerekir.

WPForms’un spam belgesi, form oluşturucudaki “Spam Protection and Security” ayarlarında ülke filtresi ve kelime filtresi seçeneklerini, ayrıca e-posta adreslerine göre izin ve engel listesi kurmayı anlatır. Aynı belgeye göre Akismet, reCAPTCHA, hCaptcha ve Cloudflare Turnstile entegrasyonları ücretsiz WPForms Lite dahil tüm sürümlerde kullanılabilir. Spam olarak işaretlenen gönderimlerin veritabanında saklanması seçeneği de varsayılan olarak açıktır; bu seçenek yanlış yakalanan gerçek talepleri geri kazanmak için önemlidir.

Sunucu Tarafında Hız Sınırı ve E-posta Alanı Doğrulama

Hız sınırı, aynı kaynaktan kısa sürede gelen çok sayıdaki isteği form eklentisine ulaşmadan durdurur; e-posta alanı doğrulaması ise biçimi hatalı ya da istenmeyen adreslerle gönderimi engeller. İkisi de eklenti katmanının yükünü azaltır.

WAF ve hız sınırı

Cloudflare’in hız sınırı kuralları belgesine göre bu kurallar, belirli bir ifadeyle eşleşen istekler için sınır tanımlar ve sınır aşıldığında uygulanacak işlemi belirler. Belgeye göre ücretsiz planda tek kural tanımlanabilir; bu kural yol (path) ile eşleşir, istekleri IP adresine göre sayar ve 10 saniyelik süreyle çalışır. Örneğin yalnızca form isteklerinin gittiği yol için düşük bir sınır koymak, saniyeler içinde onlarca gönderim yapan botu yavaşlatır. Cloudflare’in siteye diğer katkıları Cloudflare nedir yazısında, genel sertleştirme adımları ise WordPress güvenliği rehberinde anlatılır.

E-posta alanı ve form tasarımı

Formdaki e-posta alanının metin yerine e-posta türünde ve zorunlu olması, biçimi bozuk adresleri tarayıcı düzeyinde eler. Sahada işe yarayan diğer düzenlemeler şunlardır:

• Web sitesi alanını kaldırmak: Talep için gerekmiyorsa “web sitesi adresi” gibi bir URL alanı link spamına davetiye çıkarır.
• Engel listesi kurmak: Tekrar tekrar spam gönderen adres veya alan adları WPForms engel listesine ya da Contact Form 7’nin kelime listesine eklenir.
• Telefon alanını doğrulamak: Hizmet yerel ise telefon alanında rakam dışı karakterlerin kabul edilmemesi rastgele metin girişini azaltır.

WordPress form spam engelleme sürecinde bu düzenlemeler tek başına spamı bitirmez, ama filtrelere ulaşan gönderim sayısını düşürür ve gelen kutusunu okunabilir hale getirir.

Spam Gönderimler GA4 ve Google Ads Dönüşüm Verisini Nasıl Bozar?

Spam gönderimler form dönüşümü olarak sayılırsa GA4 raporları ve Google Ads’in otomatik teklif stratejileri gerçek olmayan taleplerden öğrenir. Gerçek müşteri sayısı aynı kalırken raporlarda “dönüşüm arttı” görünebilir.

Google Analytics’in gelişmiş ölçüm belgesine göre form_start olayı oturumda forma ilk etkileşimde, form_submit olayı ise form gönderildiğinde tetiklenir. Olayın tanımı, gönderimin sunucu tarafında spam olarak reddedilip reddedilmediğini içermez. Tarayıcı çalıştıran botlar ve elle gönderilen spam bu olayı şişirebilir; tarayıcı çalıştırmadan doğrudan istek gönderen botlar ise GA4’te hiç görünmeyebilir. Form eklentisinin gönderim kaydı ile GA4 sayısının karşılaştırılması bu farkı ortaya çıkarır.

Google Ads tarafında akıllı teklif stratejileri, Google’ın açıklamasına göre her açık artırmada dönüşüm veya dönüşüm değeri için optimizasyon yapar. Spam dönüşüm olarak işlenirse sistem spam getiren trafiği değerli sanabilir. Dönüşümün yalnızca başarılı gönderimden sonra açılan teşekkür sayfasında ya da eklentinin başarı olayında sayılması, ölçümü spamden ayırmanın yaygın yoludur. Kurulum adımları Google Ads dönüşüm izleme kurulumu yazısında anlatılır.

Yanlış Pozitif Riski: Gerçek Müşteriyi Engellememek

Her spam filtresi bir gün gerçek bir talebi de yanlışlıkla spam sayabilir; bu yüzden filtre sıkılaştırılırken yakalanan gönderimlerin görülebildiği bir kayıt tutulmalıdır. Contact Form 7’nin Akismet belgesi de otomatik spam filtrelemenin hatasız olamayacağını ve gerçek mesajın spam sayılabileceğini açıkça yazar.

Sahada en sık görülen yanlış pozitif nedenleri şunlardır: engellenen kelime listesine “fiyat”, “teklif” ya da “acil” gibi gerçek müşterilerin de kullandığı kelimelerin yazılması, reCAPTCHA puan eşiğinin gereğinden yüksek seçilmesi ve yurt dışından iş alan bir firmada ülke filtresinin açılması. Contact Form 7 için Flamingo eklentisi kurulursa mesajlar veritabanında saklanır; belgeye göre spam listesindeki bir mesaj “Spam değil” olarak işaretlendiğinde bu bilgi Akismet’e bildirilir. WPForms’ta spam kayıtlarını veritabanında saklama seçeneği aynı amaca hizmet eder. Spam klasörü haftada bir göz ucuyla kontrol edildiğinde kaybolan talep fark edilir.

İletişim Formu Spam Kontrol Listesi

Koruma katmanları kurulduktan sonra hem spamın azaldığı hem de gerçek gönderimlerin sorunsuz ulaştığı birlikte doğrulanmalıdır. İletişim formu spam önlemleri tamam sayılmadan önce şu liste gözden geçirilir:

1. Sitedeki her forma görünmez bir katman (Elementor’da Honeypot alanı, WPForms’ta modern anti-spam) eklendi.
2. reCAPTCHA v3 veya Turnstile’dan yalnızca biri seçildi ve anahtarlar eklentinin entegrasyon ekranına girildi.
3. Contact Form 7’de Akismet seçenekleri isim ve e-posta alanlarına eklendi, test değerleriyle denendi.
4. Engellenen kelime listesine yalnızca spama özgü ifadeler yazıldı.
5. Gönderimler ve spam olarak yakalananlar veritabanında saklanıyor.
6. Form yolu için sunucu veya WAF tarafında hız sınırı değerlendirildi.
7. GA4 ve Google Ads dönüşümü yalnızca başarılı gönderimde sayılıyor.
8. Farklı bir cihaz ve tarayıcıdan gerçek bir test gönderimi yapıldı, bildirimin ulaştığı görüldü.

Bu liste eklenti ya da tema güncellemelerinden sonra tekrarlanmalıdır; güncelleme sonrası anahtar ayarlarının sıfırlanması ya da bir alanın kaybolması sık görülür.

İletişim Formu Spam İçin Ne Zaman Uzmana Başvurulmalı?

Katmanlar açıldığı halde spam sürüyorsa, gerçek taleplerin kaybolduğundan şüpheleniliyorsa ya da reklam dönüşümleri spamle karışıyorsa uzman desteği zaman kazandırır. Sunucu tarafındaki hız sınırının, WAF kurallarının ve dönüşüm ölçümünün birlikte düzenlenmesi, form ayarlarından daha fazla erişim ve dikkat ister. Yanlış bir kural formun tamamen çalışmamasına yol açabilir.

Onur Freelance’ta bu tür çalışmalar yıllık WordPress bakım ve güncelleme kapsamında ele alınır: güncellemelerden sonra formlar test edilir, spam koruma ayarlarının yerinde kaldığı kontrol edilir ve yapılan işlem kayıt altına alınır. Bakım ücreti sitenin büyüklüğüne ve kapsamına göre aylık 500–2.000 TL arasındadır; kapsam ön görüşmede netleşir. Form bildirimlerinin kendisi alıcının spam klasörüne düşüyorsa konu farklıdır ve mail spam’e düşüyor rehberinde anlatılır. Hiçbir koruma yöntemi spamı tamamen bitireceği sözünü taşımaz; amaç, spamı yönetilebilir düzeye indirip gerçek talepleri güvenle ulaştırmaktır.