Anti-Spam para Formularios WordPress — Adinso.eu

• Implementar Google reCAPTCHA v3 — NO v2 (el v2 añade fricción con checkbox visible).
• Threshold de aceptación recomendado: score ≥ 0.5
• La validación debe hacerse server-side — no solo client-side.
• Si score < 0.5: rechazar el submit, devolver HTTP 400, NO reenviar a HubSpot.

// PHP — validar token reCAPTCHA v3 antes de enviar a HubSpot
$token   = sanitize_text_field( $_POST['recaptcha_token'] );
$secret  = 'TU_RECAPTCHA_SECRET_KEY';

$response = wp_remote_post( 'https://www.google.com/recaptcha/api/siteverify', [
    'body' => [ 'secret' => $secret, 'response' => $token ],
] );

$data = json_decode( wp_remote_retrieve_body( $response ), true );

if ( ! $data['success'] || $data['score'] < 0.5 ) {
    wp_send_json_error( [ 'message' => 'Verificación fallida' ], 400 );
    exit;
}
// Solo si score >= 0.5: continuar y reenviar a HubSpot

Campo oculto invisible para humanos pero visible para bots. Si llega con valor → es bot. Rechazar submit.

<!-- Añadir dentro del <form>, justo antes del submit -->
<div style="position:absolute;left:-9999px;width:1px;height:1px;overflow:hidden"
     aria-hidden="true" tabindex="-1">
  <label for="website_url">Dejar vacío</label>
  <input type="text" name="website_url" id="website_url"
         autocomplete="off" tabindex="-1">
</div>

// Server-side: rechazar si honeypot viene con valor
if ( ! empty( $_POST['website_url'] ) ) {
    wp_send_json_error( [], 400 );
    exit;
}

El bot actual envía ~1 vez cada 3-5 días para evadir rate-limits por ráfaga. Implementar ventana de 24h además del límite de 5 min.

• Máximo 1 submit por IP cada 5 minutos
• Máximo 5 submits por IP cada 24 horas
• Implementar vía WordPress transients, Redis, o regla WAF de Cloudflare (recomendado si el site ya tiene Cloudflare).

// Implementación con WordPress transients
$ip_key_5m  = 'form_rate_' . md5( $_SERVER['REMOTE_ADDR'] ) . '_5m';
$ip_key_24h = 'form_rate_' . md5( $_SERVER['REMOTE_ADDR'] ) . '_24h';

$count_5m  = (int) get_transient( $ip_key_5m );
$count_24h = (int) get_transient( $ip_key_24h );

if ( $count_5m >= 1 || $count_24h >= 5 ) {
    wp_send_json_error( [ 'message' => 'Demasiados intentos. Intenta más tarde.' ], 429 );
    exit;
}

set_transient( $ip_key_5m,  $count_5m  + 1, 5 * MINUTE_IN_SECONDS );
set_transient( $ip_key_24h, $count_24h + 1, DAY_IN_SECONDS );

Nota: El bot actual usa Gmail dot-aliases — no dominios desechables típicos. Esta capa es útil como defensa adicional contra futuros bots con otros patrones.

• Lista mantenida: github.com/disposable/disposable-email-domains (archivo domains.txt, MIT license, ~5.500 dominios)
• Refrescar mensualmente con un cron de WordPress.
• Mensaje de rechazo genérico: "Email no válido, usa un correo corporativo"

Verificar que el dominio del email tenga un registro MX válido (DNS lookup). Rechazar si no hay MX.

$email  = sanitize_email( $_POST['email'] );
$domain = substr( strrchr( $email, '@' ), 1 );
$mx     = [];
if ( ! checkdnsrr( $domain, 'MX' ) ) {
    wp_send_json_error( [ 'message' => 'Email no válido' ], 400 );
    exit;
}

Registrar cada submit rechazado para auditoría y ajuste de thresholds.

• Campos mínimos: timestamp, IP, motivo (recaptcha / honeypot / disposable / rate-limit), email, página
• Retención mínima: 30 días
• Opciones: tabla custom en BD WordPress, log de texto en wp-content/logs/, o servicio externo (Papertrail, Loggly)