Как запретить регистрацию поддельных пользователей в WordPress

Диагностика проблемы с регистрацией поддельных пользователей

Если ваш сайт WordPress стал жертвой массовой регистрации спам-аккаунтов или ботов, это может привести к нагрузке на сервер, дополнительным рискам безопасности и снижению качества пользовательской базы. Признаки проблемы:

• Внезапный рост количества новых зарегистрированных пользователей.
• Множество новых аккаунтов с подозрительными e-mail адресами (например, временные почты).
• Высокая активность с IP-адресов, характерных для ботов или прокси.
• Сообщения об ошибках в логе хостинга при попытках регистрации.

Почему встроенные средства WordPress не всегда эффективны

Стандартная форма регистрации WordPress не имеет встроенной защиты от спама: нет капчи, проверки e-mail или ограничений по IP. Это делает сайт уязвимым для автоматических ботов. Отключение регистрации полностью часто невозможно, если вы хотите принимать легитимных пользователей.

Пошаговое решение: запрет регистрации поддельных пользователей

1. Добавляем капчу в форму регистрации

Самый простой и эффективный способ — интегрировать Google reCAPTCHA v2 или v3 в форму регистрации WordPress. Для этого можно использовать плагин Clearfy Pro или реализовать вручную.

Пример добавления Google reCAPTCHA v2 в форму регистрации через хуки:

function add_recaptcha_to_registration() {
    echo '<div class="g-recaptcha" data-sitekey="ВАШ_КЛЮЧ_SITE_KEY"></div>';
}
add_action('register_form', 'add_recaptcha_to_registration');

function verify_recaptcha_on_registration($errors, $sanitized_user_login, $user_email) {
    if (empty($_POST['g-recaptcha-response']) || !verify_recaptcha_response($_POST['g-recaptcha-response'])) {
        $errors->add('captcha_error', __('Пожалуйста, подтвердите, что вы не робот.'));
    }
    return $errors;
}
add_filter('registration_errors', 'verify_recaptcha_on_registration', 10, 3);

function verify_recaptcha_response($response) {
    $secret = 'ВАШ_СЕКРЕТНЫЙ_КЛЮЧ';
    $remoteip = $_SERVER['REMOTE_ADDR'];
    $verify = wp_remote_post('https://www.google.com/recaptcha/api/siteverify', [
        'body' => [
            'secret' => $secret,
            'response' => $response,
            'remoteip' => $remoteip,
        ],
    ]);
    if (is_wp_error($verify)) {
        return false;
    }
    $success = json_decode(wp_remote_retrieve_body($verify));
    return $success->success;
}

2. Ограничение регистрации по e-mail и IP

Добавьте проверку при регистрации, чтобы отклонять временные почты и блокировать подозрительные IP.

function block_temp_email_on_registration($errors, $sanitized_user_login, $user_email) {
    $temp_domains = ['mailinator.com', '10minutemail.com', 'tempmail.com'];
    $email_domain = substr(strrchr($user_email, "@"), 1);
    if (in_array($email_domain, $temp_domains)) {
        $errors->add('temp_email', __('Регистрация с временных почтовых сервисов запрещена.'));
    }
    return $errors;
}
add_filter('registration_errors', 'block_temp_email_on_registration', 15, 3);

function block_ip_on_registration() {
    $blocked_ips = ['123.456.789.0', '111.222.333.444']; // список заблокированных IP
    $ip = $_SERVER['REMOTE_ADDR'];
    if (in_array($ip, $blocked_ips)) {
        wp_die('Ваш IP заблокирован для регистрации.');
    }
}
add_action('register_form', 'block_ip_on_registration');

3. Использование плагина для комплексной защиты

Если хотите готовое решение с настройками, рассмотрите плагины:

Плагин	Преимущества	Недостатки
WP Cerber Security	Защита регистрации, капча, блокировка IP, антиспам	Сложноват для новичков
reCAPTCHA by BestWebSoft	Простая интеграция reCAPTCHA	Нет блокировки IP
Stop Spammers	Многофункциональный, блокировка по IP, e-mail, поведению	Иногда ложные срабатывания

Как проверить, что регистрация поддельных пользователей заблокирована

• Попытайтесь зарегистрироваться с временным e-mail (например, mailinator.com) — регистрация должна быть отклонена с ошибкой.
• Включите капчу и попробуйте отправить форму без её прохождения — должна появиться ошибка.
• Проверьте логи сервера и WordPress — не должно быть новых спам-аккаунтов.
• Используйте плагин WP Security Audit Log для мониторинга регистраций.

Частые ошибки и как их исправить

• Ошибка: Капча не отображается на странице регистрации.
  Причина: Не подключен скрипт Google reCAPTCHA.
  Решение: Добавьте в functions.php или плагин подключение скрипта:
  

  function add_recaptcha_script() {
      wp_enqueue_script('google-recaptcha', 'https://www.google.com/recaptcha/api.js', [], null, true);
  }
  add_action('login_enqueue_scripts', 'add_recaptcha_script');

• Ошибка: Ошибка с валидацией reCAPTCHA, регистрация всегда отклоняется.
  Причина: Неверно указаны ключи или сервер не может обратиться к API Google.
  Решение: Проверьте правильность ключей, убедитесь, что сервер может делать исходящие HTTPS-запросы на https://www.google.com.
• Ошибка: Ложные срабатывания блокировки по IP.
  Причина: Использование динамических IP или общих прокси.
  Решение: Тщательно собирайте данные и не блокируйте широкие диапазоны без тестов.

Практические советы по безопасности и производительности

• Отключайте регистрацию, если она не нужна, через Settings > General.
• Регулярно обновляйте WordPress, темы и плагины для защиты от уязвимостей.
• Логируйте и мониторьте регистрации с помощью плагинов типа WP Security Audit Log.
• Используйте CDN и кэширование, чтобы снизить нагрузку при массовых регистрациях.
• Периодически проверяйте базу данных на наличие подозрительных пользователей и удаляйте их.