Neželena pošta je rešen problem. Če pa uporabite napačno rešitev, boste izgubili konverzije. Funkcija »Označi vse slike s semaforjem« je odgovorna za polovico zapuščenih plačil. Tukaj je vodnik o tem, katero rešitev za zaščito pred neželeno pošto uporabiti leta 2026 in kako uravnotežiti varnost z uporabniško izkušnjo.

Tri vrste neželene pošte na spletnem mestu

• Neželena pošta v komentarjih (komentarji na blogih WP) – boti, ki puščajo povezave do svojih strani za izboljšanje SEO.
• Neželena pošta (kontaktni obrazec, registracija) – boti pošiljajo lažne potencialne stranke, polnijo poštne nabiralnike, včasih izvajajo lažno prijavo.
• Neželena pošta v računih/na blagajnah – lažne registracije, testiranje kartic, strganje podatkov.

Orodja za neželeno pošto v komentarjih WordPressa

Akismet (Automattic)

Najbolj priljubljen WP anti-spam program je vnaprej nameščen. Vsak komentar pošlje v Akismet API, ki na podlagi ogromnega nabora podatkov vrne odločitev o »neželeni pošti« ali »ni neželena pošta«.

Plus: nastavitev traja 30 sekund, zelo visoka natančnost (>99 % za običajno neželeno pošto), brezplačno za osebne bloge.

Minus: komercialna uporaba je plačljiva (~10 EUR/mesec). Pošlje komentar Akismetu (upoštevanje zasebnosti, AUtomattic ima EU DPA).

Čebela proti neželeni pošti

Odprtokodna alternativa Akismetu, v celoti lokalna (nikamor ne pošilja podatkov).

Plus: brezplačno za vse, lokalno, prijazno do GDPR.

Slabosti: nekoliko nižja natančnost, manj naborov podatkov, nekaj lažno pozitivnih rezultatov.

Tehnika medenega lonca

V obrazec dodate nevidno polje (CSS display:none ). Pravi uporabnik ga ne vidi in ne izpolni. Bot izpolni vsa polja (vključno s honeypotom) → blokirate.

Plus: odlična uporabniška izkušnja (nevidno), brezplačno, zelo učinkovito proti preprostim botom.

Minus: sofisticirani boti prepoznajo in preskočijo.

Vtičniki: Honeypot za kontaktni obrazec 7, WP Armour.

Orodja CAPTCHA za obrazce

Google reCAPTCHA v2 (»Nisem robot«)

Klasika. Potrditveno polje »Nisem robot«. V primeru dvoma dodatni slikovni izziv (»izberi vse semaforje«).

Plus: visoka natančnost.

Slabosti: katastrofa UX (izziv s sliko), sledenje Googlu (vsaka zahteva pošlje piškotke in prstni odtis Googlu – težava z GDPR), težave z dostopnostjo, počasnost.

Razsodba: izogibajte se leta 2026.

Google reCAPTCHA v3 (nevidni rezultat)

Brez interakcije – Google vrne oceno 0–1 (0 = bot, 1 = človek). Prag določite sami (npr. blok <0,5).

Plus: brez trenja za uporabnika.

Slabost: Googlovo sledenje, razmišljanje po GDPR, rezultat je črna skrinjica – lažno pozitivne rezultate je težko odpraviti. Rezultat se izračuna s prstnim odtisom brskalnika, za katerega organi GDPR vse pogosteje menijo, da zahteva soglasje.

Vrtljivi križ Cloudflare

Cloudflarejeva CAPTCHA, ki je prijazna do GDPR-ja, brezplačna in je ne uporablja Google. Zasebnost na prvem mestu.

Plus: v večini primerov neviden izziv, neomejeno brezplačno, skladno z zakonodajo EU o zasebnosti, ne potrebuje piškotkov, prijazno do uporabnika.

Slabost: manj zgodovine kot pri reCAPTCHA, odvisno od ekosistema Cloudflare.

Razsodba: trenutno najboljša izbira za večino spletnih mest.

hCaptcha

Alternativa Google reCAPTCHA, ki je na prvem mestu glede zasebnosti in se je pred Turnstile privzeto uporabljala na Cloudflare. Skladna z EU, plačuje založnikom, ki jo uporabljajo (redko).

Plus: prijazno do GDPR, slikovni izziv podoben reCAPTCHA v2 (kar zadeva uporabniško izkušnjo).

Slabost: izziv s sliko še vedno frustrira uporabnike. Počasnejši od vrtljivega križišča.

Prijazna kapča

Alternative EU (Nemčija). Izziv dokazila o delu – brskalnik v ozadju 1–2 sekundi rešuje matematično uganko. Brez sledenja, brez slik.

Plus: popolnoma EU, dostopno, nevidno.

Minus: plačati morate za produkcijo (od ~9 EUR/mesec). Mobilne naprave (malo) porabljajo baterijo.

Primerjava

Naše priporočilo za vsak primer uporabe

Komentarji na blogu (WP)

Akismet (komercialno, 10 EUR/mesec) + honeypot. Kombinacija zagotavlja >99 % zaznavanje neželene pošte z minimalnimi lažnimi pozitivnimi rezultati.

Kontaktni obrazec (majhna spletna stran)

Honeypot + Cloudflare Turnstile. Brezplačno, prijazno do GDPR, odlična uporabniška izkušnja. Blokiranih je več kot 95 % neželene pošte.

Registracija/blagajna v spletni trgovini

Vrtljiva vrata + omejitev hitrosti + preverjanje e-pošte. Testiranje kartic poteka s 3D Secure in Stripe Radar (če uporabljate Stripe). Pri blagajni ne uporabljajte slikovne CAPTCHA – izguba konverzije > škoda zaradi neželene pošte.

Prijava v WordPress

Vtičnik Limit Login Attempts + 2FA. CAPTCHA ob prijavi je odveč, če imate ta dva.

Končne točke javnega API-ja

Ključ API + omejitev hitrosti + seznam dovoljenih IP-jev. CAPTCHA ni za API – API potrebuje preverjanje pristnosti.

Večplastna obramba

Nikoli samo ena obramba. Dobra postavitev:

1. Cloudflare WAF + upravljanje botov na robu – blokira znane pošiljatelje neželene pošte, še preden dosežejo spletno mesto.
2. Honeypot v obliki – lovi preproste bote.
3. Cloudflare Turnstile ali Friendly Captcha – zajame sofisticirane bote.
4. Akismet / Antispam Bee za komentarje WP — filtriranje na podlagi vsebine po oddaji.
5. Omejitev hitrosti (na ravni nginx/Cloudflare) – na IP, npr. največ 10 oddaj obrazcev na uro.
6. Potrditev e-pošte za registracijo – lažni e-poštni naslov = brez potrditve klik = brez računa.

Zlata pravila uporabniške izkušnje

• Nikoli ne slikajte CAPTCHA pri blagajni. Zapravljate denar.
• Nikoli ne slikajte CAPTCHA za prijavljenega uporabnika. Pristnost ste ga že preverili.
• Dostopnost: vsak izziv mora imeti zvočno alternativo (za slepe uporabnike).
• Najprej mobilne naprave: preizkusite na mobilnih napravah – slikovne mreže so na majhnih zaslonih katastrofa.
• Neuspešen preizkus ne izbriše obrazca. Uporabnik mora imeti možnost ponovnega poskusa, ne da bi moral ponovno vnesti vsa polja.

GDPR in CAPTCHA

Organi EU za varstvo zasebnosti so v letih 2024–2025 vse pogosteje zahtevali soglasje za Google reCAPTCHA, ker ta pošilja piškotke in prstne odtise Googlu. Nekatere odločitve (CNIL, Datenschutz BW) zahtevajo izrecno soglasje pred nalaganjem skripte reCAPTCHA.

Varnejša izbira za spletno mesto v EU: Turnstile, hCaptcha ali Friendly Captcha – ne zahtevajo soglasja, ker ne nastavijo nebistvenih piškotkov.

WMD in boj proti neželeni pošti

Vsa gostovanja WMD WordPress imajo prednameščen Akismet (stranka se odloči, ali bo plačala za komercialno licenco) in možnost vtičnika Honeypot. Nastavitev Cloudflare Turnstile je vključena v vzdrževalni načrt WordPressa – dodamo ga v kontaktni obrazec, registracijo, polje za komentarje. Za stranke spletnih trgovin nastavimo Stripe Radar + Turnstile + preverjanje e-pošte kot večplastno zaščito pri blagajni. Omejitev hitrosti WAF na ravni strežnika – blokiranje IP-ja po 20 oddajah obrazcev na uro.

Pogosta vprašanja

Ali Google reCAPTCHA deluje brez soglasja v EU? Trenutno je to sivo območje – nekateri organi zahtevajo soglasje (CNIL FR, Datenschutz DE). Varnejša možnost je Turnstile/hCaptcha/Friendly Captcha.

Honeypot ne deluje za moj obrazec – zakaj? Morda vtičniki jQuery/JS spremenijo polje. Preverite, ali je polje pravilno skrito s CSS-om, vendar obstaja v DOM-u, in ali bot preveri, ali mora biti polje »polje prazno«.

Kako preprečiti neželeno pošto v komentarjih, če ne želim Akismeta? Antispam Bee + honeypot + moderiranje komentarjev za nove komentatorje + onemogočanje sledilnih povezav/pingbackov.

Turnstile po posodobitvi Cloudflare blokira vse obrazce – kaj pa zdaj? Preverite sitekey in secret. Če uporabljate »upravljani« način, Cloudflare določi prag – lahko preklopite na »neviden«.

Iz kontaktnega obrazca dobivam veliko neželene pošte – kaj pride prej? Honeypot. Nanj se prilega 80 % bota. Če to ne pomaga, dodajte Turnstile.

Potrebujete pomoč pri nastavitvi zaščite pred neželeno pošto? WMD nastavi honeypot, Turnstile, Akismet in omejevanje hitrosti WAF za WordPress, WooCommerce in obrazce po meri. Stopite v stik z nami prek kontaktnega obrazca .