Google reCAPTCHA per WooCommerce: guida alla configurazione che protegge le vendite

Un gestore di negozio aggiunge reCAPTCHA dopo una serie di ordini falsi e registrazioni spam.

Nel giro di una settimana, gli ordini falsi si fermano. Si fermano anche alcuni ordini veri.

Un cliente scrive su Instagram dicendo che il checkout non lo lasciava andare avanti davanti a un puzzle di semafori e strisce pedonali. Un altro rinuncia e compra dalla concorrenza.

Il gestore del negozio non voleva rendere più difficile il checkout. Voleva solo eliminare i bot.

Configurare Google reCAPTCHA per WooCommerce di solito è semplice. Far sì che le impostazioni blocchino i bot senza bloccare i clienti richiede un po' più di attenzione. Ecco come aggiungerlo nel modo che protegge il tuo negozio, invece di costarti silenziosamente delle vendite.

Cosa protegge davvero Google reCAPTCHA su un negozio WooCommerce

reCAPTCHA è un servizio gratuito di Google che verifica se un visitatore che compila un modulo è una persona o uno script automatico. Lavora in background su una pagina, di solito un modulo di accesso, un modulo di registrazione o il checkout, e restituisce al sito un segnale sulla probabilità che quel visitatore sia un bot.

reCAPTCHA v2 e v3, in parole semplici

Google ha pubblicato due versioni principali che funzionano in modo diverso. reCAPTCHA v2 è la versione che la maggior parte delle persone riconosce: una casella che dice

una casella con scritto “Non sono un robot”, a volte seguita da una sfida in cui bisogna individuare semafori o strisce pedonali in una griglia di foto. reCAPTCHA v3 funziona in modo diverso. Viene eseguito in modo invisibile in background, assegnando un punteggio al comportamento di ogni visitatore, senza casella e senza puzzle da superare. La documentazione ufficiale di Google su come funziona reCAPTCHA descrive entrambe le versioni in modo più tecnico, incluso il funzionamento del punteggio e delle richieste di verifica.

Cosa protegge davvero su un negozio

Su un tipico sito WooCommerce, reCAPTCHA viene di solito aggiunto a uno o più moduli: la pagina di checkout, l'accesso dei clienti, la registrazione dell'account e il modulo di contatto. Ognuno di questi può essere preso di mira dai bot per un motivo diverso, e quali moduli proteggere e con quale versione conta più che attivare la funzione ovunque contemporaneamente.

Perché i gestori dei negozi aggiungono reCAPTCHA

La maggior parte dei gestori non aggiunge reCAPTCHA per curiosità. Lo fa dopo aver notato uno schema che sta già costando tempo o denaro.

Problemi comuni di bot e ordini spam su WooCommerce

Un modulo di contatto pieno di messaggi spam è uno dei motivi più comuni, perché un modulo aperto senza protezione è un bersaglio facile per gli script automatici. Le registrazioni di account falsi sono un altro problema, spesso create in massa da bot che testano liste di email rubate o cercano di costruire account per abusi successivi. Un'ondata di ordini effettuati con lo stesso numero di carta rubata, testata con piccoli importi su molti negozi, è un terzo caso, ed è spesso quello che spinge il gestore ad agire in fretta. La nostra guida su perché un bot di traffico danneggia la SEO invece di aiutarla illustra uno schema correlato: traffico automatico che sembra attività ma non rappresenta clienti reali, cioè lo stesso problema di fondo che compare in un'altra parte del sito.

Perché il card testing conta al checkout

Il card testing è il motivo specifico per cui la protezione del checkout viene prima di altri moduli. Un bot fa passare una lista di numeri di carta rubati attraverso il checkout di un negozio con transazioni piccole e veloci, verificando quali sono ancora validi prima di usarli altrove per un acquisto più grande. Ogni tentativo può generare una commissione del processore di pagamento anche quando l'addebito viene rifiutato, e un lotto abbastanza grande può far finire il conto di pagamento del negozio sotto revisione, un disagio maggiore delle sole commissioni. reCAPTCHA al checkout è uno dei modi più diretti per rendere questo tipo di test automatici più difficili da eseguire su larga scala.

Dove reCAPTCHA può creare problemi al checkout

Il checkout è anche la pagina in cui un errore di reCAPTCHA costa di più, perché è l'unico passaggio tra un cliente e una vendita completata.

Perché il checkout è diverso da un modulo di accesso

Un cliente che non supera una sfida di accesso di solito riprova, perché sa già di voler entrare nel suo account. Un cliente al checkout sta spesso prendendo una decisione sul momento, soprattutto da telefono, di fretta o confrontando prezzi in più schede. Un puzzle confuso, una sfida che si carica lentamente o un falso allarme che blocca una carta valida non sono, in quel momento, un piccolo ritardo. Sono un motivo per chiudere la scheda e comprare altrove.

Segnali che reCAPTCHA ti sta facendo perdere vendite

Un aumento dell'abbandono del carrello subito dopo l'attivazione di reCAPTCHA è il segnale più chiaro che qualcosa non va, soprattutto se coincide con la data in cui è stato aggiunto. I messaggi dei clienti che parlano di una casella confusa, di un puzzle che non si caricava o di un ordine che non andava a buon fine vanno presi sul serio anche se rari, perché la maggior parte dei clienti frustrati non si prende nemmeno la briga di scrivere. Un calo degli ordini completati, in particolare da mobile, è un altro schema da controllare, perché le sfide con immagini e i widget lenti tendono a creare più problemi su uno schermo piccolo e con una connessione più debole che da desktop.

Scegliere la versione giusta di reCAPTCHA per ogni modulo

Non ogni modulo di un negozio ha bisogno della stessa versione, e trattare il checkout come una pagina di accesso è uno dei motivi più comuni per cui reCAPTCHA finisce per costare vendite.

Perché v3 è la scelta migliore per il checkout

Poiché reCAPTCHA v3 funziona in modo invisibile e restituisce un punteggio senza chiedere al cliente di fare nulla, non aggiunge alcun passaggio visibile al checkout. Questo conta nel momento in cui chi acquista è più vicino a completare l'acquisto e meno disposto a tollerare un clic in più. La documentazione di Google su reCAPTCHA v3 spiega che il punteggio viene generato da segnali in background e non da un'azione del visitatore, ed è proprio per questo che si adatta a una pagina ad alto rischio come il checkout meglio di una sfida visibile.

Quando la casella v2 ha ancora senso

Una casella visibile è una scelta ragionevole per i moduli in cui un po' di attrito non minaccia una vendita, come una pagina di accesso, un modulo di registrazione dell'account o un modulo di contatto. Sono momenti a basso rischio in cui il cliente si aspetta comunque un passaggio in più, e la casella offre al gestore uno strato di protezione più chiaro e visibile contro i tentativi ripetuti dei bot sui moduli che non devono sembrare senza attrito.

Ottenere le chiavi reCAPTCHA prima di iniziare

Prima che un plugin o un'impostazione lato WooCommerce abbia effetto, lo store ha bisogno di una chiave del sito e di una chiave segreta rilasciate da Google, collegate al proprio dominio.

Registrare il sito nella console di amministrazione di reCAPTCHA

Registrare un sito richiede pochi minuti nella console di amministrazione di reCAPTCHA di Google. Il processo chiede il dominio su cui verranno usate le chiavi, insieme alla versione per cui generarle, v2 o v3. Una volta registrato, Google rilascia due chiavi: una chiave del sito, che viene usata sul front end dello store, e una chiave segreta, che viene usata lato server per verificare le risposte. Entrambe sono necessarie perché la configurazione funzioni, e nessuna delle due serve a qualcosa senza l'altra.

Mantenere le chiavi e i domini abbinati correttamente

Le chiavi sono legate al dominio esatto con cui sono state registrate, quindi una chiave del sito generata per example.com non funzionerà correttamente su www.example.com o su un sottodominio di staging, a meno che anche quel dominio non sia stato aggiunto durante la registrazione. Se uno store gira su un ambiente di staging prima del lancio, conviene aggiungere anche quel dominio nella console di amministrazione, altrimenti i test falliranno in modi che sembrano un problema del plugin quando in realtà si tratta di un dominio non corrispondente. Conservare una copia di entrambe le chiavi in un posto sicuro, al di fuori della sola schermata delle impostazioni del plugin, fa risparmiare tempo anche se il plugin dovesse un giorno essere reinstallato o sostituito con un altro.

Passo dopo passo: installare reCAPTCHA su WooCommerce

Con entrambe le chiavi in mano, l'installazione vera e propria su uno store WooCommerce è di solito la parte più veloce dell'intero processo.

Scegliere un plugin recaptcha wordpress

La maggior parte degli store aggiunge reCAPTCHA tramite un plugin di WordPress anziché modificando direttamente i file del tema, perché un plugin gestisce il collegamento tecnico tra le chiavi e i moduli del sito. Alcune estensioni di WooCommerce e plugin di pagamento includono già il supporto a reCAPTCHA, e conviene verificarlo prima di installare un plugin separato. Un plugin reCAPTCHA dedicato resta comunque l'opzione più flessibile per la maggior parte degli store, perché di solito permette di scegliere quali moduli proteggere e quale versione applicare a ciascuno, invece di imporre al sito intero una sola impostazione.

Qualunque plugin scegliate, verificate che supporti la versione che volete davvero su ogni modulo. Un plugin costruito solo intorno alla casella di controllo v2 non offrirà il comportamento invisibile di v3 di cui ha bisogno il checkout, e vale anche il contrario.

Un esempio pratico: la configurazione su un piccolo store

Immaginate una piccola pasticceria che vende online scatole regalo tramite WooCommerce. Questo esempio è illustrativo. Il titolare registra il sito nella console di amministrazione di reCAPTCHA di Google due volte, una per v3 e una per v2, dato che lo store intende usare entrambe le versioni su pagine diverse. Da questo passaggio escono due chiavi del sito e due chiavi segrete.

Poi il titolare installa un plugin reCAPTCHA e incolla tutte e quattro le chiavi nella sua schermata delle impostazioni, abbinando ogni coppia alla versione giusta. Nelle impostazioni dei moduli del plugin, il checkout passa a v3 senza alcuna casella visibile. Login, registrazione e pagina di contatto passano a v2 con la casella di controllo attiva. Il plugin viene salvato e lo store ha ora due tipi diversi di protezione attivi su due tipi diversi di pagine, senza che l'uno interferisca con l'altro.

L'intero processo, dalla registrazione delle chiavi al salvataggio delle impostazioni del plugin, richiede meno di mezz'ora per uno store di questa dimensione. La parte che richiede più tempo, e che conta di più, è tutto ciò che viene trattato di seguito: impostare la soglia e testarla come si deve prima che i clienti la vedano.

Impostare la soglia del punteggio per il recaptcha v3 checkout senza bloccare i clienti veri

Il punteggio invisibile di reCAPTCHA v3 è utile solo quando lo store decide cosa fare con il punteggio restituito, e questa singola impostazione è il punto in cui nasce gran parte dell'attrito al checkout.

Come funziona davvero la soglia del punteggio

reCAPTCHA v3 assegna a ogni visitatore un punteggio su una scala da 0,0 a 1,0, dove un punteggio più vicino a 1,0 suggerisce che l'interazione sembra opera di una persona reale, e un punteggio più vicino a 0,0 suggerisce che sembra automatizzata. Lo store, non Google, decide cosa fare in ciascun punto di quella scala. Un approccio comune è scegliere un valore soglia e trattare come sospetto qualsiasi punteggio inferiore, bloccando direttamente l'azione oppure segnalandola per un secondo controllo.

Il punteggio in sé non è un giudizio di colpevolezza. È una stima di probabilità basata su segnali di sfondo come il comportamento di navigazione e i modelli di interazione, e come ogni stima di probabilità sbaglia alcuni visitatori in entrambe le direzioni.

Partire con una soglia permissiva e regolarla nel tempo

Impostare la soglia troppo severa fin dall'inizio è uno dei modi più comuni in cui reCAPTCHA finisce per bloccare acquirenti veri. Un nuovo visitatore che naviga da un dispositivo nuovo, da una rete condivisa in ufficio o da un browser orientato alla privacy può talvolta ottenere un punteggio più basso di un cliente abituale su un dispositivo familiare, anche se entrambi sono genuini. Partire da una soglia più bassa e permissiva, e stringerla solo dopo aver osservato il traffico reale per alcune settimane, dà allo store la possibilità di vedere come si collocano i punteggi della sua clientela effettiva, invece di indovinare un numero che suona ragionevole solo in teoria.

La maggior parte degli store fa meglio a trattare un punteggio basso come un motivo per un controllo secondario più leggero, come un passaggio di conferma extra, invece che come un blocco automatico. Così un punteggio basso sbagliato non si trasforma in una vendita persa.

Testare reCAPTCHA prima del lancio

Una configurazione che sembra corretta nelle impostazioni del plugin può comportarsi in modo diverso quando un visitatore reale, su un dispositivo reale, con una connessione reale, arriva davvero sulla pagina.

Un test di 20 minuti prima del lancio

Prima di affidarsi a reCAPTCHA con clienti veri, vale la pena percorrere il checkout e ogni altro modulo protetto come se foste voi stessi un acquirente, su più di un dispositivo e in più di uno stato del browser. Venti minuti di solito bastano per individuare i problemi più importanti.

Il nostro checklist per l'audit SEO descrive un approccio simile per una revisione tecnica del sito: esaminare il sito pagina per pagina, come farebbe un visitatore, invece di dare per scontato che un'impostazione sia corretta solo perché è stata salvata. La stessa abitudine vale anche qui.

Errori comuni che frustrano i clienti reali

La maggior parte dei reclami legati a reCAPTCHA deriva da una breve lista di scelte di configurazione, ripetute in moltissimi negozi diversi.

Ciascuno di questi errori si risolve una volta per tutte, non appena viene individuato, ed è proprio per questo che la fase di test prima del lancio conta più di quanto sembri. Individuare una mancata corrispondenza o una soglia troppo rigida in un test di venti minuti non costa nulla. Scoprirla dopo una settimana di vendite perse costa molto di più.

Monitorare reCAPTCHA dopo il lancio

Attivare reCAPTCHA non è l'ultimo passaggio. Le settimane successive al lancio sono il momento in cui emerge una soglia impostata leggermente male, o un modulo che si comporta diversamente con il traffico reale rispetto a quanto visto nei test.

Cosa controllare nella console di amministrazione di reCAPTCHA

La console di amministrazione di reCAPTCHA di Google mostra una ripartizione dei punteggi restituiti per il tuo sito, che offre un quadro indicativo di dove si collocano le visite reali sulla scala da 0,0 a 1,0. Se una quota consistente di traffico dall'aspetto genuino si concentra appena sotto la soglia impostata, è un segnale che la soglia va allentata, non che il traffico sia sospetto. Controllare questo dato ogni settimana nel primo mese dopo il lancio permette di individuare un'impostazione tarata male molto prima che costi molte vendite.

Quando ha più senso un approccio alternativo

reCAPTCHA non è l'unico modo per ridurre spam e frodi, e non è sempre la soluzione migliore per ogni negozio. Un honeypot, cioè un campo nascosto del modulo invisibile a un visitatore reale ma compilato dai bot più semplici, può intercettare molto spam di base senza alcun passaggio visibile per nessuno. La limitazione dei tentativi di checkout, tramite un processore di pagamento o un plugin di sicurezza, può rallentare i test di carte rubate senza toccare affatto l'esperienza del cliente. Se reCAPTCHA continua a generare lamentele anche dopo aver regolato la soglia e testato ogni modulo, vale la pena verificare se uno di questi approcci più leggeri risolverebbe lo stesso problema con meno attrito. La nostra guida all'audit SEO tecnico spiega come dare priorità a interventi di questo tipo su un sito, un'abitudine utile da applicare quando si decide se mantenere così com'è, modificare o sostituire un'impostazione di sicurezza.

Dove si inserisce RepGet

RepGet non configura reCAPTCHA, non imposta le soglie dei punteggi e non gestisce le impostazioni del checkout di WooCommerce. Questo lavoro avviene nella console di amministrazione di Google e nelle impostazioni del plugin del tuo negozio, e richiede qualcuno che conosca il traffico e i clienti reali del negozio per trovare l'equilibrio giusto.

Ciò che RepGet copre è il quadro tecnico e dei contenuti più ampio attorno a un negozio come questo. Il suo audit gratuito del sito web analizza un sito e gli assegna un punteggio SEO da 0 a 100, segnalando problemi tecnici e di contenuto che meritano un approfondimento, il genere di cose che possono restare su un negozio per mesi senza che nessuno se ne accorga mentre l'attenzione è concentrata sulle impostazioni del checkout. Non serve un account né una carta di credito. È un modo sensato per verificare cosa altro potrebbe richiedere attenzione sullo stesso sito in cui reCAPTCHA è appena stato installato.

RepGet non garantisce un posizionamento, una riduzione delle frodi o un tasso di conversione specifico del checkout, e non sostituisce le valutazioni illustrate in tutta questa guida: quale versione usare dove, quale soglia adottare all'inizio e quando una lamentela di un cliente merita di essere presa in carico.

In sintesi

Google reCAPTCHA per WooCommerce svolge un compito concreto: riduce gli invii di spam, le registrazioni di account falsi e le frodi con test di carte rubate, ed è gratuito. Ciò che determina se aiuta o danneggia un negozio non è se aggiungerlo, ma quale versione usare dove, quanto rigida sia la soglia di partenza e se qualcuno lo abbia davvero testato da cliente prima che fossero gli acquirenti reali a scoprirne i problemi.

Per il checkout serve il reCAPTCHA v3 invisibile, avviato con una soglia permissiva e regolato una volta che il traffico reale mostra come appaiono i tuoi clienti al sistema di punteggio di Google. Login, registrazione e moduli di contatto possono usare la casella visibile v2 senza grandi rischi, perché un piccolo passaggio in quei punti non costa una vendita come accade al checkout. Nulla di tutto questo deve essere complicato, ma saltare la fase di test è il modo in cui una soluzione ben intenzionata contro lo spam si trasforma silenziosamente in un motivo per cui i clienti abbandonano senza acquistare.

Scopri per prima cosa di cosa ha bisogno il tuo sito

Prima o dopo aver configurato reCAPTCHA, vale la pena capire cos'altro necessita il sito del tuo negozio. Esegui un audit gratuito del sito web con RepGet per vedere i problemi tecnici e di contenuto che meritano di essere risolti. Non serve un account né una carta di credito.