Spam op je website bestrijden: formulieren en reacties beschermen Fighting spam on your website: protecting forms and comments

Elke website met een formulier of reactiemogelijkheid krijgt er vroeg of laat mee te maken: spam. Geautomatiseerde bots vullen contactformulieren in met reclame, phishing-links of nonsens. Het kost je tijd, vervuilt je inbox en kan zelfs je e-mailreputatie schaden.

Spam website bestrijden formulieren: 1. Soorten spam op websites

2. Honeypot-methode

Een honeypot is een onzichtbaar formulierveld dat mensen niet zien (en dus niet invullen), maar bots wél. Vult een bot het in? Dan weet je dat het spam is.

Lees ook: Website beveiliging: de complete gids van wachtwoord tot firewall

<!-- Dit veld is verborgen via CSS. Bots vullen het in, mensen niet. -->
<div style="position: absolute; left: -9999px;" aria-hidden="true">
  <label for="website_url">Laat dit veld leeg</label>
  <input type="text" name="website_url" id="website_url" tabindex="-1" autocomplete="off">
</div>

// Als het honeypot-veld is ingevuld, is het spam
if (!empty($_POST['website_url'])) {
    // Stuur een nep "succes" response (zodat de bot denkt dat het werkt)
    wp_send_json_success(['message' => 'Bedankt!']);
    exit;
}

3. reCAPTCHA en alternatieven

Google reCAPTCHA v3 (onzichtbaar)

reCAPTCHA v3 werkt op de achtergrond en geeft elke bezoeker een risicoscore (0.0 = bot, 1.0 = mens). Geen puzzels, geen klikken. de gebruiker merkt er niets van.

Alternatieven voor reCAPTCHA

4. Comment spam aanpakken

WordPress reacties zijn een magneet voor spam. Enkele effectieve maatregelen:

Akismet: pre-installed WordPress plugin, filtert spam-reacties automatisch. Gratis voor persoonlijke sites.

Reacties uitschakelen: als je geen reacties nodig hebt, schakel ze uit via Instellingen > Discussie.

Handmatige goedkeuring: vereis dat de eerste reactie van een nieuw adres handmatig goedgekeurd wordt.

// Pingbacks en trackbacks uitschakelen (vaak misbruikt voor spam)
add_filter('xmlrpc_methods', function($methods) {
    unset($methods['pingback.ping']);
    return $methods;
});
add_filter('wp_headers', function($headers) {
    unset($headers['X-Pingback']);
    return $headers;
});

5. Server-niveau blokkering

Blokkeer bekende spam-netwerken voordat ze je WordPress bereiken:

<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{HTTP_USER_AGENT} (semrushbot|ahrefsbot|dotbot|mj12bot) [NC]
  RewriteRule .* - [F,L]
</IfModule>

Methoden vergeleken

Gerelateerde artikelen

• WordPress website traag? Zo spoor je de oorzaak op
• WordPress gehackt? Stap-voor-stap herstelplan
• SEO voor beginners: beter gevonden worden in Google
• WordPress migratie: je website veilig verhuizen naar een nieuwe host
• Website Hulp Den Haag
• Terug naar Websitehelper.nl

Every website with a form or comment section will eventually deal with it: spam. Automated bots fill out contact forms with ads, phishing links or nonsense. It costs you time, pollutes your inbox and can even damage your email reputation.

1. Types of website spam

2. Honeypot method

A honeypot is an invisible form field that humans don't see (and therefore don't fill in), but bots do. If a bot fills it in, you know it's spam.

<!-- This field is hidden via CSS. Bots fill it in, humans don't. -->
<div style="position: absolute; left: -9999px;" aria-hidden="true">
  <label for="website_url">Leave this field empty</label>
  <input type="text" name="website_url" id="website_url" tabindex="-1" autocomplete="off">
</div>

// If the honeypot field is filled, it's spam
if (!empty($_POST['website_url'])) {
    // Send a fake "success" response (so the bot thinks it worked)
    wp_send_json_success(['message' => 'Thank you!']);
    exit;
}

3. reCAPTCHA and alternatives

Google reCAPTCHA v3 (invisible)

reCAPTCHA v3 works in the background and gives each visitor a risk score (0.0 = bot, 1.0 = human). No puzzles, no clicking: the user doesn't notice a thing.

Alternatives to reCAPTCHA

4. Tackling comment spam

WordPress comments are a magnet for spam. Some effective measures:

Akismet: pre-installed WordPress plugin, automatically filters spam comments. Free for personal sites. Disable comments: if you don't need comments, turn them off via Settings > Discussion. Manual approval: require that the first comment from a new address is manually approved.

// Disable pingbacks and trackbacks (often abused for spam)
add_filter('xmlrpc_methods', function($methods) {
    unset($methods['pingback.ping']);
    return $methods;
});
add_filter('wp_headers', function($headers) {
    unset($headers['X-Pingback']);
    return $headers;
});

5. Server-level blocking

Block known spam networks before they reach your WordPress:

<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{HTTP_USER_AGENT} (semrushbot|ahrefsbot|dotbot|mj12bot) [NC]
  RewriteRule .* - [F,L]
</IfModule>

Methods compared