Generatore CAPTCHA: serve davvero e come aggiungerlo

Una titolare di un negozio di articoli regalo controlla la casella dei moduli di contatto un lunedì mattina.

Durante la notte sono arrivate quaranta nuove richieste.

Sono tutte senza senso: parole a caso, link rotti, un nome falso ripetuto tre volte. Nemmeno una sembra un cliente vero che chiede di un ordine personalizzato.

Ha sentito dire che un captcha risolve il problema. Ha sentito anche che i captcha infastidiscono i visitatori veri, fanno abbandonare il modulo a metà o in qualche modo danneggiano il posizionamento del sito. Non possono essere vere entrambe le cose del tutto, quindi qual è la verità?

Un generatore captcha è lo strumento che risponde davvero alla seconda parte di quella domanda: una volta deciso che un captcha vale la pena, il generatore crea il codice per te, senza bisogno di uno sviluppatore. La prima parte, cioè se ti serve davvero, dipende da cosa stanno facendo i bot al tuo sito. Ecco come distinguere le due situazioni e come aggiungere un captcha in circa 20 minuti, una volta deciso che ne vale la pena.

Quando i bot di spam danneggiano davvero il sito di una piccola impresa

Non ogni bot che visita il tuo sito è un problema. I motori di ricerca lo scansionano continuamente, ed è traffico normale e necessario. La nostra guida sul traffico dei bot sul sito web spiega la differenza tra i bot che aiutano il tuo sito e quelli che gonfiano un numero di cui nessuno dovrebbe fidarsi. I bot di spam sono un'altra categoria e tendono a causare danni in tre modi precisi.

Invii di moduli falsi che riempiono la casella

È il problema più comune, quello che i piccoli imprenditori notano per primo. Un bot trova il tuo modulo di contatto e lo invia decine o centinaia di volte, di solito con testo senza senso, un link di spam o un tentativo di spingere una persona a cliccare qualcosa nella risposta automatica. Oltre al fastidio, il costo è concreto: seppellisce le richieste reali dei clienti sotto il rumore e, se il modulo ti invia una notifica sul telefono, ti abitua a non controllarla con attenzione, ed è proprio allora che una richiesta vera passa inosservata.

Bot che pubblicano recensioni false o commenti

Se il tuo sito ha una sezione commenti, un blog con commenti aperti o una funzione in cui i visitatori possono pubblicare testo in pubblico, i bot la troveranno. Le recensioni false e i commenti di spam non fanno solo una brutta figura. Possono contenere link a siti estranei o sospetti e, se restano senza moderazione per troppo tempo, fanno sembrare un'attività che non presta attenzione al proprio sito.

Scraper che copiano le tue pagine

Alcuni bot non cercano di inviare nulla. Copiano le tue pagine, i prezzi, le descrizioni, gli articoli del blog, per ripubblicarli altrove o per alimentare un altro sistema. Una piccola quantità di questo succede a quasi ogni sito pubblico e di solito non vale la pena combatterla. Diventa un problema reale quando lo scraping è così aggressivo da rallentare il sito per i visitatori veri, ed è un problema di carico del server tanto quanto di contenuti.

Segnali che il tuo sito ha un problema di bot di spam

Prima di aggiungere qualsiasi cosa, conviene verificare che la causa siano davvero i bot, e non un mese lento o un modulo che si è rotto in silenzio.

Controllare gli invii del modulo alla ricerca di schemi

Apri le ultime settimane di richieste dal modulo e cerca schemi che una persona non produrrebbe: lo stesso messaggio ripetuto in molte richieste, nomi dall'aspetto falso abbinati a domini email apparentemente reali ma senza alcun legame, oppure invii che arrivano a grappoli a distanza di pochi secondi invece di distribuirsi nell'arco della giornata come farebbero i visitatori veri.

Controllare analytics e Search Console per picchi anomali

Un improvviso picco di traffico verso una singola pagina, soprattutto se non corrisponde a un aumento di attività reali come telefonate o acquisti, merita un'occhiata. La nostra guida su come diagnosticare un calo del traffico organico tratta una situazione simile, cioè numeri che non corrispondono alla realtà, e lo stesso criterio di verificare i dati prima di presumere il peggio vale anche qui.

Questi dati sono indicativi.

Cos'è un captcha: cosa fa davvero (e cosa non fa)

Un captcha è un piccolo test posto davanti a un modulo o a una casella di commento, pensato per essere facile per una persona e difficile per un software automatico. Il nome stesso è un acronimo di un test progettato per distinguere computer ed esseri umani. Non impedisce a un bot di visitare il tuo sito. Serve a bloccare gli invii di spam nei moduli, impedendo al bot di completarli con successo una volta arrivato.

Captcha a spunta, con immagini e invisibile spiegati

La maggior parte dei captcha oggi in uso rientra in tre stili. Il captcha a spunta chiede al visitatore di cliccare semplicemente un riquadro che conferma di non essere un robot, spesso supportato da un'analisi del comportamento che avviene in silenzio sullo sfondo. Il captcha con immagini chiede al visitatore di selezionare oggetti specifici in una serie di fotografie, uno stile diventato meno comune man mano che per i bot è diventato più facile risolverlo. Il captcha invisibile funziona interamente sullo sfondo, valutando il comportamento del visitatore senza mai chiedergli di cliccare, e interrompe con una prova solo se il punteggio appare sospetto.

Cosa un captcha non fermerà

Un captcha protegge un modulo o un campo di input specifico. Non ferma una persona pagata per inviare spam a mano, non blocca lo scraping dei contenuti che avviene fuori da qualsiasi modulo e non modera le recensioni lasciate direttamente su una piattaforma esterna come il profilo Google Business, dove il captcha non ha alcuna presenza. È un livello, mirato agli invii automatici, non una soluzione di sicurezza generale.

Confronto delle principali opzioni di captcha

Una volta deciso che un captcha vale la pena, la scelta successiva è quale tipo si adatta al tuo sito e quanto sei a tuo agio con i compromessi di ciascuno. Se cerchi un captcha gratuito per sito web, più di una delle opzioni qui sotto rientra nel piano gratuito.

Questi dati sono indicativi.

Come scegliere un generatore CAPTCHA gratuito

Un generatore captcha non è un software separato da installare. Di solito è una pagina del sito del fornitore del CAPTCHA, come la pagina di amministrazione di Google reCAPTCHA o la dashboard di hCaptcha, dove registri il tuo sito e ottieni due cose: una coppia di chiavi e un frammento di codice già pronto.

La chiave del sito è la parte che va nella tua pagina web, visibile nel codice della pagina, e indica al servizio CAPTCHA quale sito sta chiedendo una verifica. La chiave segreta resta lato server ed è usata per verificare che un invio abbia davvero superato il controllo, non solo che il browser del visitatore lo dichiari. La maggior parte delle piccole imprese non tocca mai direttamente la chiave segreta, perché il plugin o il generatore di moduli se ne occupa quando la incolli in un campo delle impostazioni.

Cosa ti serve prima di iniziare

Non serve alcuna conoscenza di programmazione, ma ti servono tre cose: l'accesso all'area di amministrazione del tuo sito (WordPress, Squarespace, Wix o la piattaforma che usi), un indirizzo email con cui registrarti presso il fornitore del CAPTCHA e l'indirizzo web esatto del tuo sito, perché il generatore collega le chiavi a quello specifico dominio. Averle pronte prima di iniziare trasforma l'intero procedimento in un'operazione da dieci minuti, invece di un pomeriggio fatto di continue interruzioni.

Come aggiungere un CAPTCHA al tuo sito: guida passo dopo passo

Il procedimento è sempre lo stesso, qualunque fornitore di CAPTCHA tu scelga. Cambiano solo le schermate esatte.

Passo 1: registra il tuo sito per ottenere le chiavi

Vai al sito del fornitore (la pagina di amministrazione di Google reCAPTCHA o la dashboard di hCaptcha sono le due più diffuse), accedi con un account che hai già e registra un nuovo sito. Ti verrà chiesto quale tipo di CAPTCHA vuoi (di solito per un modulo di una piccola impresa la scelta giusta è la casella di controllo o l'invisibile) e il dominio esatto su cui gira il tuo sito. Una volta inviato, la pagina ti fornisce una chiave del sito e una chiave segreta. Copiale in un posto sicuro, un file di note o un gestore di password va benissimo, perché ti serviranno nel passo successivo.

Passo 2: genera il frammento di codice

La maggior parte dei generatori di captcha produce il frammento in automatico una volta completata la registrazione: un breve blocco di codice costruito a partire dalla tua chiave del sito, che devi incollare nella tua pagina. Se usi un plugin o un generatore di moduli invece di modificare il codice a mano, non vedrai affatto questo frammento. Incollerai semplicemente la chiave del sito e la chiave segreta in due campi nelle impostazioni del plugin, e il plugin creerà il frammento al posto tuo, dietro le quinte.

Passo 3: inseriscilo nel tuo modulo

Dove vadano questo frammento o la coppia di chiavi dipende interamente dalla piattaforma. Un plugin di moduli di contatto per WordPress di solito ha una scheda dedicata alle impostazioni del CAPTCHA. Un blocco modulo di Squarespace o Wix spesso ha un interruttore per attivare la protezione dallo spam, che gestisce le chiavi per te in modo discreto. Se stai modificando un modulo costruito su misura, il frammento va di norma vicino al pulsante di invio del modulo, nel codice della pagina. La nostra guida su Google reCAPTCHA per WooCommerce spiega in dettaglio questo stesso passaggio per il checkout di un negozio, che segue lo stesso schema di qualsiasi altro modulo.

Passo 4: provalo come farebbe un visitatore

Una volta online, apri il modulo in una finestra di navigazione privata o in incognito, così lo testi come lo vedrebbe un visitatore che entra per la prima volta, senza accessi salvati o impostazioni in cache. Compilalo e invialo. Verifica che il CAPTCHA compaia davvero, che l'invio funzioni e ti arrivi la notifica o l'email che ti aspetti, e che nulla sembri rotto o confuso. Un CAPTCHA che blocca in silenzio gli invii reali è un risultato peggiore dello spam che doveva fermare.

Aggiungere un CAPTCHA senza scrivere alcun codice

Per la maggior parte dei piccoli imprenditori, la strada più rapida salta del tutto i generatori di captcha e i frammenti di codice, perché la piattaforma o il plugin ne ha già uno integrato.

Plugin di WordPress con impostazioni CAPTCHA integrate

I plugin più diffusi per i moduli di contatto di WordPress includono di solito un'opzione CAPTCHA direttamente nelle impostazioni, spesso sotto forma di menu a tendina in cui scegli reCAPTCHA o hCaptcha e incolli le chiavi ottenute con la registrazione. Alcuni plugin di sicurezza offrono anche un proprio filtro antispam, che funziona insieme a un CAPTCHA visibile oppure al suo posto. In ogni caso, raramente c'è bisogno di toccare il codice reale della pagina.

Squarespace, Wix e strumenti per la creazione di moduli

Squarespace e Wix includono entrambi opzioni di protezione dallo spam nei loro blocchi modulo nativi, di solito un'impostazione semplice che attivi, invece di una chiave da generare e incollare. Gli strumenti dedicati alla creazione di moduli, quelli che le aziende usano per inserire un modulo su qualsiasi sito web, spesso includono lo stesso interruttore. Queste opzioni integrate di solito vale la pena provarle per prime, perché eliminano del tutto il passaggio della registrazione.

Un esempio pratico: bloccare gli invii di spam nei moduli senza perdere clienti reali

Questo esempio è illustrativo, non il resoconto di risultati reali di un'attività.

Immaginate un piccolo negozio di articoli regalo il cui modulo di contatto veniva inondato da settimane, lo stesso problema descritto all'inizio di questa guida. Il titolare aggiunge un CAPTCHA a casella di controllo al modulo usando un generatore captcha gratuito, seguendo i quattro passaggi descritti sopra, e controlla cosa succede nelle due settimane successive invece di presumere che abbia funzionato fin dal primo giorno.

Questi dati sono illustrativi.

Il numero totale di invii è calato bruscamente, il che è prevedibile, perché la maggior parte di ciò che arrivava prima non era mai stato un cliente reale. Il dato importante è l'ultima colonna. Le richieste reali non sono diminuite e, in questo esempio, sono addirittura aumentate leggermente, probabilmente perché il titolare tornava finalmente a controllare la posta con attenzione invece di scorrere via tra un muro di messaggi senza senso. È questo il risultato da tenere d'occhio: meno invii in totale, ma lo stesso numero o un numero migliore di invii che contano davvero.

Se anche le richieste reali fossero calate insieme allo spam, sarebbe stato un segnale che il CAPTCHA stava creando problemi, da verificare anziché ignorare. Controllare entrambi i numeri, non solo il totale, è ciò che dice se la soluzione funziona davvero.

Errori comuni nell'aggiunta di un CAPTCHA

La maggior parte dei problemi con un CAPTCHA deriva da qualche abitudine sbagliata, non dal fatto che il CAPTCHA sia difettoso.

Checklist di configurazione in 20 minuti

Aggiungere un CAPTCHA non richiede un intero pomeriggio libero. Ecco più o meno come si distribuisce il tempo per il modulo tipico di una piccola attività.

• Minuti da 0 a 5: decidere quale modulo ha davvero bisogno di protezione, in base a dove compare lo spam.

• Minuti da 5 a 10: registrare il sito presso un fornitore di CAPTCHA e copiare la chiave del sito e la chiave segreta.

• Minuti da 10 a 15: incollare le chiavi nelle impostazioni del plugin, nell'interruttore della protezione antispam del tuo generatore di moduli, oppure nel frammento di codice se stai modificando direttamente un modulo personalizzato.

• Minuti da 15 a 18: aprire il modulo in una finestra di navigazione privata e inviarlo come prova, verificando che il CAPTCHA compaia e che l'invio vada comunque a buon fine.

• Minuti da 18 a 20: controllare che il messaggio di conferma o l'email di notifica arrivino come prima, così sai che il modulo non si è rotto nel processo.

Se un passaggio si blocca, l'intoppo più comune è un dominio non corrispondente: le chiavi sono state registrate per un indirizzo web leggermente diverso da quello su cui si trova davvero il modulo. Verificare questo dettaglio risolve la maggior parte dei problemi di configurazione prima che diventino una risoluzione dei guasti molto più lunga.

Dove si colloca il CAPTCHA nella sicurezza generale del tuo sito

Un CAPTCHA risolve un problema specifico: impedisce ai software automatici di inviare un modulo. Non è lo stesso strumento di quelli che gestiscono quali bot possono effettivamente scansionare il tuo sito, e confondere i due porta a decisioni poco chiare.

CAPTCHA contro il blocco dei bot nel file robots.txt

Il file robots.txt indica ai motori di ricerca e agli altri crawler quali parti del tuo sito possono visitare. È una richiesta, non un blocco, e i bot che si comportano correttamente, come Googlebot, di solito la rispettano. Il CAPTCHA funziona in modo diverso. Non chiede a un bot di stare lontano, ma verifica chiunque compili un modulo e blocca l'invio se la verifica non viene superata. Puoi usare entrambi insieme senza conflitti, e la maggior parte dei siti di piccole imprese dovrebbe farlo. La nostra guida agli esempi di user-agent spiega quali bot conviene consentire e quali conviene bloccare a livello di robots.txt, una decisione separata dal fatto che un singolo modulo abbia bisogno di un CAPTCHA in aggiunta. I due strumenti risolvono problemi diversi e nessuno dei due sostituisce l'altro. Bloccare un bot nel robots.txt non fermerà uno spammer che ignora completamente il file, e un CAPTCHA sul tuo modulo di contatto non controllerà quali pagine un crawler dei motori di ricerca indicizza.

Dove si colloca RepGet

RepGet non genera CAPTCHA, non gestisce lo spam nei moduli e non modera le recensioni. Se cerchi uno strumento per occuparti di queste cose, questo non lo è, e nulla di quanto scritto qui va inteso come un sostituto della configurazione descritta in precedenza in questa guida.

RepGet lavora su una parte diversa dello stesso sito: i contenuti e lo stato tecnico che i motori di ricerca e gli assistenti IA valutano davvero. RepGet riunisce in un unico flusso di lavoro l'audit del sito, la ricerca delle parole chiave, la pianificazione dei contenuti, la scrittura degli articoli, la pubblicazione sul tuo sito e il report sulle prestazioni di ricerca da Google Search Console. Un sito privo di spam, che si carica rapidamente e ha moduli accurati è una base migliore per questo lavoro, ma il compito di RepGet si ferma al livello dei contenuti e della SEO, non a quello del filtraggio dello spam.

Se non sei sicuro che i bot di spam stiano davvero influendo sulle prestazioni del tuo sito, o se qualcos'altro lo stia rallentando, il audit gratuito del sito di RepGet analizza il sito e gli assegna un punteggio SEO da 0 a 100, con l'elenco dei problemi tecnici e di contenuto che vale la pena correggere. Non serve un account né una carta di credito. Gli strumenti SEO gratuiti di RepGet coprono controlli correlati, come verificare che il file robots.txt del tuo sito sia impostato correttamente per i bot che vuoi davvero far entrare, cosa utile da confermare insieme a qualsiasi CAPTCHA tu aggiunga.

RepGet non garantisce che l'aggiunta di un CAPTCHA fermi ogni invio di spam, e non tiene traccia dell'attività nei moduli né verifica l'autenticità delle recensioni. Quello che può aiutare a fare è assicurarsi che il resto del sito, la parte che i bot di spam non toccano, svolga davvero il suo compito.

In sintesi

Un CAPTCHA non è qualcosa di cui ogni sito ha bisogno per impostazione predefinita. È una soluzione a un problema specifico e misurabile: un modulo inondato di voci false, o una sezione commenti che attira spam più velocemente di quanto chiunque riesca a moderarlo. Se non sta succedendo sul tuo sito, ci sono pochi motivi per aggiungere attrito per visitatori che non stavano causando problemi in partenza.

Se sta succedendo, un generatore captcha gratuito rende la soluzione rapida. Registra il tuo sito, copia due chiavi, incollale in un plugin o nelle impostazioni del modulo e testalo come farebbe un visitatore reale prima di fidarti che funzioni. L'intera operazione richiede circa 20 minuti per la maggior parte dei siti di piccole imprese, e le richieste senza senso che riempivano la tua casella di posta di solito spariscono entro uno o due giorni dalla messa online.

Scopri per prima cosa di cosa ha bisogno il tuo sito

Esegui un audit gratuito del sito con RepGet per verificare cosa serve al tuo sito oltre alla protezione dallo spam. Non serve un account né una carta di credito.