Contact Form 7-spam: waarom CAPTCHA's menselijke spammers niet kunnen stoppen
Contact Form 7 kan ongewenste pitches ontvangen, zelfs wanneer een bezoeker reCAPTCHA of Turnstile passeert. Browsercontroles stellen niet vast of het ingediende bericht gewenst is. Zo ziet menselijke spam er echt uit, en hoe u berichtcontroles naast botbescherming toevoegt.
JevShield Security & Engineering Team
Praktische gids voor berichtfiltering en uitrol
Contact Form 7 configureren en levering testen
Volg de installatiestappen, veldtoewijzing, voorbeeldformulier en drie leveringstests in onze WordPress-gids. Begin met Alleen observeren voordat je blokkeringen afdwingt.
Open de installatiechecklist voor Contact Form 7 →Ons lokale bezorglab van 3 oktober verifieert het gedrag bij Observeren, Blokkeren en niet-beschikbare service met behulp van geïnjecteerde uitspraken en een echte Mailpit-mailbox. Bekijk de schermafbeeldingen, resultaten en testlimieten →
Samenvatting voor het management / Snelle analyse
- Sommige spam kan van echte mensen komen. SEO-outreach, gastblogpitches, DMCA-afpersing en cryptoscams worden getypt door echte mensen of door mensen ondersteunde workflows — CAPTCHA's verifiëren browsers, niet berichten, dus ze komen er per ontwerp doorheen.
- Vier patronen domineren: ongevraagde SEO-/linkbuilding-pitches, afpersing via auteursrechtchantage, crypto-investeringsfraude en phishingmeldingen voor inloggegevens. Alle vier delen één eigenschap: commercieel of kwaadaardig intentie leesbaar in de tekst.
- Botcontroles beoordelen de berichtintentie niet. reCAPTCHA moeilijker maken straft alleen echte bezoekers; menselijke afzenders kunnen dezelfde uitdagingen doorstaan als legitieme bezoekers.
- De oplossing is een semantische laag. Classificeer de berichtintentie na indiening — toestaan, beoordelen of blokkeren — en houd botchecks als de eerste laag, niet de enige.
De spam in je inbox is niet wat je denkt
Vraag een WordPress-site-eigenaar hoe contactformulier-spam eruitziet en ze beschrijven bots: onzintekst, verdachte links, overduidelijk nepnamen. Dat beeld is een decennium achterhaald. Haal een week aan inzendingen op uit welke drukke Contact Form 7-installatie dan ook en je vindt iets anders — beleefde, grammaticaal correcte, juist opgemaakte berichten van "digital marketing specialists" die gastblogs aanbieden, "legal departments" die beweren dat er sprake is van auteursrechtinbreuk, en "investment advisors" die 400% wekelijks rendement beloven.
U kunt op basis van alleen de berichttekst niet vaststellen of deze door een persoon is getypt of door automatisering is ingediend. Beide kunnen plausibele tekst produceren. reCAPTCHA, hCaptcha en Cloudflare Turnstile beantwoorden allemaal één vraag: is deze bezoeker een mens die een echte browser bedient? Voor menselijke spam is het antwoord ja. De check slaagt. De spam belandt in je inbox.
De 4 menselijke spampatronen die Contact Form 7 overspoelen
De volgende synthetische voorbeelden illustreren vier patronen van ongewenste berichten. Ze tonen niet aan hoe vaak deze patronen voorkomen of wie een bericht heeft ingediend:
1. Ongevraagde SEO- en linkbuilding-pitches
“Beste webmaster, wij verkopen backlinks met hoge DA en gastblogs. Antwoord voor prijzen.” Buitenlandse linkfarms zetten kamers vol mensen in wier hele baan het is om deze in te dienen. Ze omzeilen elke botcheck omdat een persoon je formulier echt heeft ingevuld.
2. Auteursrecht- en DMCA-afpersing
“U heeft inbreuk gemaakt op onze auteursrechtelijk beschermde afbeelding. Betaal $500 in Bitcoin of we dienen een federale rechtszaak in.” Roofzuchtige chantage bedoeld om site-eigenaren in paniek te laten betalen. De taal is bewust formeel en dreigend — triviaal leesbaar door intentieanalyse, onzichtbaar voor botchecks.
3. Cryptoscams en nep-investeringsaanbiedingen
“Sluit je aan bij onze VIP-arbitragegroep voor gegarandeerd 400% wekelijks rendement.” Door mensen beheerde scamfunnels die hun bewoording aanpassen zodra filters bijwerken — precies de tegenstander waar statische regels tegen verliezen.
4. Meldingen van inloggegevens-phishing
“Uw account wordt binnen 24u opgeschort. Dien onmiddellijk uw wachtwoord en verificatiecode in.” Urgentie + autoriteit, met de hand ingediend. Browserchecks alleen beoordelen de betekenis van deze tekst niet.
Waarom moeilijkere CAPTCHA's het erger maken
De instinctieve reactie — “mijn spamfilter is zeker niet streng genoeg” — pakt averechts uit. Elke extra puzzel, checkbox of uitdaging filtert je bezoekers, niet de spammers. Echte prospects verlaten formulieren; conversie daalt. Ondertussen voegt de menselijke spamoperatie nog een laagbetaalde werker toe om de hele dag puzzels op te lossen. U betaalt de frictiekosten. Zij betalen centen.
Dit is de fundamentele asymmetrie: botchecks testen de bezoeker, maar spam is een eigenschap van het bericht. Verschillende checks richten zich op verschillende signalen. Wat u echt nodig hebt, is een tweede laag die leest wat is ingediend en een andere vraag stelt: is dit een aangevraagde, oprechte aanvraag — of een ongevraagd verkooppraatje?
De gelaagde opstelling die echt werkt
- 1
Houd een gratis botcheck (Cloudflare Turnstile of vergelijkbaar) als eerste laag. Het verwijdert goedkoop geautomatiseerde scripts tegen nul kosten — zie waarom Turnstile alleen niet genoeg is.
- 2
Voeg semantische intentieclassificatie toe als tweede laag. Een geslaagde check retourneert een verdict — toestaan, beoordelen of blokkeren — op basis van het ingediende bericht. Begin met Alleen observeren in de nieuwste WordPress-plugin om een representatieve set van uw eigen aanvragen te beoordelen voordat u blokkades handhaaft. Observeren verwerkt nog steeds berichten en gebruikt quota.
- 3
Inspecteer onzekere resultaten. De WordPress-plugin van JevShield blokkeert een review-uitspraak niet. Gebruik Account → Detectielogs → Onzeker — beoordelen om die checks te inspecteren. De logs bewaren of herstellen geen e-mails; verifieer de levering in je formuliersysteem en beoordeel de berichten daar.
Lees voor een diepere methodologie onze complete gids van 2026 om contactformulier-spam te stoppen, die de volledige vijf-laags verdediging in detail behandelt.
Zie wat uw formulier werkelijk ontvangt
Plak een verdachte inzending in de live demo en zie semantische intentieanalyse deze in realtime classificeren — geen aanmelding vereist. Of installeer de officiële WordPress.org-plugin en krijg 100 gratis checks per maand.