Как запретить регистрацию ботов в WordPress без плагинов

Проблема регистрации фейковых пользователей и ботов в WordPress остаётся актуальной, особенно если на сайте открыта регистрация для всех. Такие нежелательные регистрации захламляют базу данных, создают нагрузку и могут привести к проблемам с безопасностью. В этой статье мы рассмотрим, как запретить регистрацию ботов в WordPress без использования плагинов, применяя только код и базовые методы проверки.

Почему важно ограничивать регистрацию ботов

Автоматические боты часто используют форму регистрации для создания спам-аккаунтов. Это приводит к:

• Увеличению базы данных с неактивными или вредоносными пользователями;
• Росту нагрузки на сервер из-за лишних запросов;
• Увеличению риска взлома и рассылки спама с вашего сайта;
• Потере репутации сайта и ухудшению SEO.

Ограничение регистрации ботов помогает сохранить чистоту базы, снизить нагрузку и повысить безопасность.

Основные методы защиты от регистрации ботов без плагинов

Существует несколько эффективных способов минимизировать регистрацию ботов, которые можно реализовать самостоятельно:

1. Добавление простого скрытого поля (honeypot)

Идея заключается в добавлении в форму регистрации скрытого поля, которое пользователь не видит, а бот заполняет автоматически. Если поле заполнено, значит это бот, и регистрацию можно отклонить.

Пример добавления поля и проверки:

function wptemp_add_honeypot_field() {
    echo '<p style="display:none;"><label for="wptemp_hp">Оставьте это поле пустым</label><input type="text" name="wptemp_hp" id="wptemp_hp" value="" /></p>';
}
add_action('register_form', 'wptemp_add_honeypot_field');

function wptemp_check_honeypot_field($errors, $sanitized_user_login, $user_email) {
    if (!empty($_POST['wptemp_hp'])) {
        $errors->add('wptemp_hp_error', __('Ошибка регистрации: подозрение на бота.'));
    }
    return $errors;
}
add_filter('registration_errors', 'wptemp_check_honeypot_field', 10, 3);

В этом коде мы добавляем скрытое поле и проверяем, что оно пустое. Если поле заполнено, регистрация отклоняется.

2. Проверка User-Agent и IP адреса

Многие боты используют стандартные или подозрительные User-Agent. Можно добавить проверку и блокировать запросы со странными User-Agent или из подозрительных диапазонов IP.

Пример кода для проверки User-Agent:

function wptemp_block_bad_user_agents() {
    $bad_agents = array('bot', 'curl', 'spider', 'crawler');
    $user_agent = strtolower($_SERVER['HTTP_USER_AGENT'] ?? '');
    foreach ($bad_agents as $agent) {
        if (strpos($user_agent, $agent) !== false) {
            wp_die('Регистрация с вашего устройства запрещена.');
        }
    }
}
add_action('register_post', 'wptemp_block_bad_user_agents');

Этот метод не идеален, так как User-Agent можно подделать, но он помогает от большинства простых ботов.

3. Ограничение количества попыток регистрации с одного IP

Можно хранить количество регистраций с IP в transient и блокировать, если превышено допустимое число.

Пример реализации:

function wptemp_limit_registrations_per_ip($errors, $sanitized_user_login, $user_email) {
    $ip = $_SERVER['REMOTE_ADDR'];
    $count = (int) get_transient('wptemp_reg_count_' . md5($ip));
    if ($count >= 3) {
        $errors->add('wptemp_limit_error', __('Превышено количество регистраций с вашего IP. Попробуйте позже.'));
    } else {
        // Увеличиваем счетчик на 1 и обновляем срок жизни transient на 1 час
        set_transient('wptemp_reg_count_' . md5($ip), $count + 1, HOUR_IN_SECONDS);
    }
    return $errors;
}
add_filter('registration_errors', 'wptemp_limit_registrations_per_ip', 10, 3);

Так мы ограничим количество регистраций с одного IP, что затруднит массовую регистрацию ботов.

Использование рекапчи Google для дополнительной защиты

Хотя мы не используем плагины, интеграция Google reCAPTCHA — мощный способ фильтрации ботов. Реализация потребует регистрации на сайте Google и добавления ключей в форму.

Пример добавления reCAPTCHA v2 на форму регистрации:

1. Получите site key и secret key на https://www.google.com/recaptcha/admin/create.
2. Добавьте в форму регистрацию HTML код reCAPTCHA:

function wptemp_add_recaptcha() {
    echo '<div class="g-recaptcha" data-sitekey="ВАШ_SITE_KEY"></div>';
    echo '<script src="https://www.google.com/recaptcha/api.js" async defer></script>';
}
add_action('register_form', 'wptemp_add_recaptcha');

3. Проверьте ответ на сервере:

function wptemp_verify_recaptcha($errors, $sanitized_user_login, $user_email) {
    if (empty($_POST['g-recaptcha-response'])) {
        $errors->add('wptemp_recaptcha_error', __('Пожалуйста, подтвердите, что вы не робот.'));
        return $errors;
    }
    $response = wp_remote_post('https://www.google.com/recaptcha/api/siteverify', array(
        'body' => array(
            'secret' => 'ВАШ_SECRET_KEY',
            'response' => $_POST['g-recaptcha-response'],
            'remoteip' => $_SERVER['REMOTE_ADDR'],
        )
    ));
    $success = false;
    if (!is_wp_error($response)) {
        $result = json_decode(wp_remote_retrieve_body($response), true);
        $success = $result['success'] ?? false;
    }
    if (!$success) {
        $errors->add('wptemp_recaptcha_error', __('Ошибка подтверждения reCAPTCHA. Попробуйте снова.'));
    }
    return $errors;
}
add_filter('registration_errors', 'wptemp_verify_recaptcha', 10, 3);

Интеграция рекапчи значительно снижает количество регистраций ботов.

Рекомендации по дополнительным мерам безопасности

Используйте SSL для защиты передачи данных

Обязательно используйте HTTPS на сайте, чтобы данные форм регистрации передавались в зашифрованном виде. Это защитит пользователя и повысит доверие.

Регулярно очищайте базу от неактивных пользователей

Для поддержания чистоты базы полезно периодически удалять пользователей, которые не активировались или не заходили долгое время. Это можно сделать вручную через админку или автоматизировать с помощью WP-CLI.

Мониторьте логи и анализируйте активность

Отслеживайте подозрительную активность, например, всплески регистраций с одного IP или с одних User-Agent. Это поможет вовремя выявлять и блокировать ботов.

Полезные плагины для усиления защиты (опционально)

Хотя мы рассмотрели методы без плагинов, для комплексной защиты можно использовать плагины, которые легко интегрируются и расширяют функционал:

• Clearfy Pro — оптимизация и защита сайта, включая блокировку ботов;
• WPRemark — расширенные возможности работы с пользователями;
• My Popup — можно использовать для показов дополнительных проверок при регистрации.

Эти инструменты помогут повысить безопасность, если вы решите расширить функционал без глубокого кодирования.