Как защитить контактную форму от спама

Вы получаете спам в контактной форме, потому что автоматические боты сканируют код страницы, находят поля, сами их заполняют и нажимают «Отправить» — им не нужно, чтобы кто-то реально видел форму. Хорошая новость: их можно остановить без раздражающей капчи. Для обычного сайта лучшее сочетание — невидимое поле-ловушка (honeypot) плюс проверка по времени, а капчу вы добавляете, только если это действительно ещё нужно.

Почему именно вы получаете спам

Это не личное, и вы ничего не сделали не так. Боты обходят интернет днём и ночью, открывают страницы наугад и, как только натыкаются на `<form>`, автоматически заполняют её текстом и ссылками. Их цель — протолкнуть рекламу, ссылки на сомнительные сайты или попытки фишинга прямо в ваш почтовый ящик. Не важно даже, что вы скрыли адрес электронной почты: сообщение идёт через форму, а не через адрес. Отсюда простой вывод — защита должна стоять на форме, а не в секретности ваших контактов.

Honeypot: невидимая ловушка (первая линия обороны)

Honeypot — это дополнительное поле, которое вы прячете с помощью CSS, так что человек его никогда не видит и не заполняет. Бот же слепо заполняет всё, что находит — включая скрытое поле. Если это поле пришло заполненным, вы точно знаете, что это бот, и молча отбрасываете сообщение.

Почему это наш любимый метод:

• Бесплатно — не зависит ни от какого внешнего сервиса.
• Полностью незаметно для настоящего клиента: ноль кликов, ноль трения.
• Легко добавить на любой тип сайта.

Важная деталь: дайте полю правдоподобное имя (например «website» или «company») и спрячьте его через `position:absolute; left:-9999px` или `opacity:0`, а не через `type="hidden"` — последнее хорошие боты игнорируют. Honeypot останавливает подавляющее большинство автоматического спама, но не совсем весь, поэтому мы его усиливаем.

Проверка по времени: второй тихий фильтр

Человеку нужно несколько секунд, чтобы прочитать и напечатать в форме. Бот заполняет её мгновенно. Если вы зафиксируете момент загрузки страницы и момент отправки, можно отклонять всё, что приходит, скажем, менее чем за 2–3 секунды. Это невидимый барьер без каких-либо затрат для настоящего посетителя, и он ловит именно быстрых ботов, которых honeypot пропустил бы.

Капча: только если это действительно нужно

Капча несёт реальный компромисс: чем больше вы требуете от посетителя, тем больше людей отказываются. Поэтому мы не ставим её рефлекторно. Если она всё же понадобится, выбирайте ненавязчивый вариант:

reCAPTCHA v3 и Cloudflare Turnstile работают в фоне и запрашивают действие, только когда поведение выглядит подозрительно. В подавляющем большинстве случаев настоящий клиент ничего не видит и ничего не делает.

Что мы рекомендуем, кратко

Действуйте поэтапно, не ставьте всё сразу:

1. Honeypot + проверка по времени — покрывает обычный сайт-визитку, никого не беспокоя.

2. Добавьте невидимую капчу только если спам всё равно проходит или у вас высокий трафик.

3. Не ставьте три барьера сразу — вы напрасно усложняете опыт и теряете настоящих клиентов.

Это особенно оправдано, если форма — ваш главный источник обращений: форма, полная мусора, заставляет вас упускать настоящие сообщения среди него.

Чистая форма поддерживает всё остальное: если хотите понять, зачем вам нужен сайт и сколько он будет стоить, у нас есть руководство о том, сколько стоит сайт. А если хотите, чтобы вас действительно находили, прочитайте про локальное SEO.

В MPO Web Studio мы настраиваем защиту от спама на каждой форме, которую создаём — незаметную для вашего клиента, раздражающую только для ботов. Хотите бесплатную демонстрацию без обязательств? Напишите нам в WhatsApp: wa.me/40750257140.