Captcha invisible para WordPress: cuando Turnstile o reCAPTCHA bloquean tus formularios

Turnstile o reCAPTCHA bloquean el formulario: qué está pasando

Si buscas un captcha invisible para WordPress, suele ser después de una sorpresa desagradable: un cliente te avisa de que el formulario de contacto ya no se envía, o tú mismo ves el mensaje «Configuration error detected» debajo del botón de envío. En los foros de WordPress.org, este problema aparece todas las semanas, tanto con Turnstile como con reCAPTCHA.

El principio de funcionamiento de ambos servicios es el mismo. Una pequeña comprobación se ejecuta en el navegador del visitante, y luego el sitio web le pregunta al servicio externo si dicha comprobación es válida. Por lo tanto, es necesario que tres cosas funcionen en conjunto: el script cargado desde Google o Cloudflare, las claves introducidas en tu plugin de formularios y la solicitud de tu servidor al servicio en el momento del envío.

Cuando falta uno de estos tres elementos, el resultado es siempre el mismo para el visitante: un formulario que se queda cargando indefinidamente o que rechaza el envío. Y para ti, mensajes que se pierden sin que lo sepas.

Las causas más frecuentes

Antes de cambiar de herramienta, vale la pena entender de dónde viene el bloqueo. Prácticamente todos los casos en los foros se deben a una de estas situaciones.

• Las claves no corresponden al dominio: sitio copiado a un entorno de pruebas, cambio de www a sin www, o un dominio nuevo no declarado en Google o Cloudflare.
• El tipo de clave no coincide: se utiliza una clave de reCAPTCHA v2 donde el plugin espera una v3, o viceversa.
• Dos plugins cargan cada uno su propio captcha en la misma página, y ambos scripts interfieren entre sí.
• El banner de cookies retiene el script de Google o Cloudflare hasta que se otorga el consentimiento, por lo que el visitante que lo rechaza ya no puede enviar el formulario.
• Una política de seguridad de contenido (CSP) no autoriza el origen del servicio y el navegador bloquea el script.
• Un plugin de optimización pospone o agrupa el código JavaScript, y la verificación deja de ejecutarse.
• El servidor no logra comunicarse con el servicio en el momento del envío, por lo que la verificación del lado del servidor nunca se realiza o falla.

Verificar antes de cambiarlo todo

Abre la página del formulario en una ventana de incógnito y luego la consola del navegador. Un error que mencione el dominio de Google o Cloudflare suele indicar que un script ha sido bloqueado: ya sea por el banner de cookies, por la CSP o por una optimización.

A continuación, revisa las claves en la consola del servicio: el dominio exacto del sitio debe aparecer allí y el tipo de clave debe coincidir con el que solicita tu plugin. Por último, desactiva momentáneamente otros plugins que añadan un captcha para evitar duplicidades.

Si todo esto está en orden y el problema reaparece con cada actualización de dominio o de plugin, surge otra pregunta: ¿realmente necesitas un servicio externo para filtrar los bots en tus formularios?

Un captcha invisible para WordPress sin Google ni Cloudflare

nexya es un conjunto de módulos para WordPress reunidos en un solo panel. El módulo Mail, encargado del envío de correos electrónicos del sitio, incluye también un captcha invisible para los formularios de la web. Es exclusivo de nexya: no utiliza ni Google ni Cloudflare.

En la práctica, esto elimina la mayoría de las causas mencionadas anteriormente. No hay claves que crear en una consola externa, por lo que no existen claves vinculadas a un dominio incorrecto. No hay scripts de terceros que cargar, así que el banner de cookies o la CSP no tienen nada que retener por este motivo. Además, el plugin no envía datos a terceros por defecto.

Por su parte, el visitante no ve nada: sin imágenes que reconocer ni casillas que marcar. El formulario se envía como siempre.

Sin claves y sin scripts de terceros: hay menos elementos que puedan fallar entre el visitante y tu bandeja de entrada.

Sustituir Turnstile o reCAPTCHA por el captcha de nexya

1. 1

   Activar el módulo Mail

   En el panel de nexya, active el módulo Mail desde la lista de módulos. El cambio se guarda inmediatamente.

   
2. 2

   Activar el captcha invisible

   En el módulo Mail, abra la sección dedicada al captcha y actívelo para los formularios del sitio. No es necesario introducir ninguna clave.

   
3. 3

   Eliminar el captcha anterior

   Desactive Turnstile o reCAPTCHA en su plugin de formularios, o en el plugin que los añadía, para evitar tener dos verificaciones en la misma página.

   
4. 4

   Probar y comprobar el registro

   Envíe el formulario desde una ventana de incógnito y, a continuación, abra el registro de envíos del módulo Mail para comprobar que el correo se ha enviado correctamente.

   

Dónde se aplica el captcha de nexya

El captcha protege tres de los lugares donde los bots atacan con más frecuencia: los comentarios, la página de inicio de sesión y los formularios del sitio web.

Los formularios de Elementor son compatibles. La versión 1.2.26 solucionó un caso específico: los formularios de Elementor servidos desde la caché de elementos de Elementor perdían su verificación y eran rechazados con el mensaje «Verification missing». Si experimentaste este rechazo, actualiza el plugin.

Con nexya Pro, el formulario de suscripción a las newsletters de Mailya también utiliza este captcha, y una misma dirección recibe como máximo un correo de confirmación por hora.

Si utilizas otro plugin de formularios, realiza una prueba real después de activarlo: envía el formulario desde una ventana de incógnito y comprueba que el mensaje llegue correctamente.

Lo que el captcha no hace

Un captcha filtra bots. No detiene a una persona real que rellena tu formulario manualmente para enviarte publicidad.

Actualmente, el captcha de nexya no ofrece límite de frecuencia de envíos ni listas de palabras o dominios bloqueados. Si recibes spam redactado por humanos, tendrás que gestionarlo de otro modo, por ejemplo, mediante las reglas de filtrado de tu servicio de correo.

Recuerda también desinstalar el captcha anterior una vez que el nuevo esté funcionando. Tener dos verificaciones en el mismo formulario es precisamente una de las causas de bloqueo descritas anteriormente.

Asegurarse de que el mensaje realmente llegue

Un formulario que supera el captcha es solo la mitad del camino. Todavía es necesario que el correo electrónico se envíe y llegue a su destino. Muchos «captchas que bloquean» son, en realidad, correos electrónicos que nunca llegan a enviarse.

El módulo Mail envía los correos electrónicos del sitio mediante SMTP o un proveedor de API. Permite enviar un mensaje de prueba y mantiene un registro de envíos, donde cada fallo aparece con su causa. Después de cambiar de captcha, un vistazo a este registro basta para saber si el formulario ha generado correctamente un correo y si se ha enviado.

Con nexya Pro, el módulo Mail añade un segundo servidor de envío y alertas en caso de fallo.

Lo que es gratuito y lo que es Pro

El módulo Mail es gratuito, captcha incluido, en tantos sitios como quiera. El registro de envíos y el mensaje de prueba también están en la versión gratuita.

nexya Pro, a la venta en nexya.dev, añade entre otras cosas el segundo servidor de envío, las alertas de fallo y Mailya para los boletines, cuyo formulario de registro aprovecha el mismo captcha. Pro reutiliza los ajustes de la versión gratuita.

Una precisión: las redes multisitio no son compatibles. En una red, la extensión permanece desactivada y lo indica.