WordPress 网站运行一段时间后，很容易遇到一个让人头疼的问题：垃圾评论和垃圾表单询盘越来越多。

我最近就遇到了这种情况。邮箱垃圾箱里不断出现两类邮件：一类是 WordPress 发来的“评论等待审核”通知，评论内容和网站主题完全无关；另一类则来自 Elementor 表单，提交者使用奇怪的邮箱地址，留言内容可能是博彩、广告、随机文本甚至完全无意义的句子。

一开始很容易怀疑：网站是不是被攻击了？reCAPTCHA 是不是失效了？是不是还要继续安装更多安全插件？实际排查以后，我发现问题没有那么复杂。对于普通企业站来说，先把没有价值的入口关闭，再把真正需要的表单保护好，往往比不停安装插件更有效。

一、先区分两种垃圾信息

首先要搞清楚，WordPress 的垃圾评论和 Elementor 的垃圾询盘并不是同一个入口。

1. WordPress 评论垃圾

典型邮件标题可能类似“请审核：某篇文章标题”。这些邮件通常来自 WordPress 原生评论系统。机器人会扫描公开网站，只要文章允许评论，就可以不断向评论接口提交内容。

如果网站本身并不需要评论功能，这个入口其实没有必要一直开放。

2. Elementor 表单垃圾

另一种邮件通常来自 Contact Form、Homepage Inquiry、Blog Page、Request a Quote 等表单。这类属于网站表单提交。即使开启了验证码，也仍然可能偶尔被更高级的自动程序绕过。

二、企业站不需要评论，可以直接关闭

对于资讯社区、论坛型博客来说，评论有互动价值。但对于很多 B2B 企业站来说，博客的主要作用通常是：SEO 获取流量 → 用户阅读内容 → 浏览产品 → 联系公司。

这种情况下，评论区往往并不能带来多少业务价值，反而很容易成为垃圾机器人的入口。

进入 WordPress 后台 → 设置 → 讨论，可以关闭：

• 尝试通知文章中链接的博客
• 允许其他博客发送 Pingback 和 Trackback
• 允许他人在新文章上发表评论

如果网站以后都不准备开放评论，我更倾向于直接关闭，而不是仅仅设置“14 天后自动关闭”。

注意旧文章

“允许他人在新文章上发表评论”主要影响以后发布的文章。以前已经发布的文章可能仍然允许评论。

因此还需要进入：文章 → 所有文章 → 批量编辑，将评论统一设置为“不允许”。这样才能真正减少垃圾评论入口。

三、博客侧边栏不一定需要完整询盘表单

原来的 Blog 页面侧边栏放了一个完整表单，包括 Full Name、Business Email、Product Details 和 Send。

从营销角度看，好像离客户越近越好。但实际使用以后会发现一个问题：每多一个公开表单，就多一个机器人可以攻击的入口。

对于博客文章页来说，访客通常还处于阅读和了解阶段，没有必要在每一篇文章旁边都放完整询盘表单。更简单的方式是保留一个简洁 CTA，例如：

• Private Label & Wholesale
• Looking for custom printingproducts?
• Get a Quote

点击按钮后，再进入正式的 Contact 页面。这样既保留了转化入口，也减少了一个公开表单。

四、真正需要保留的 Elementor 表单怎么防垃圾

Contact 页面和 Request a Quote 页面不一样。这些表单本身就是企业站的重要询盘入口，所以不能直接删除。

这时可以使用：Honeypot + reCAPTCHA v3。这也是我现在继续保留的组合。

Honeypot 是什么？

Honeypot 可以理解为一个“机器人陷阱字段”。正常访客在网页上看不到这个字段，也不会填写它。但是很多自动填写程序会直接读取网页里的所有表单字段，并尝试全部填写。

一旦 Honeypot 被填写，系统就可以把这次提交判定为可疑。它的优点是：

• 用户看不到
• 不影响正常填写体验
• 不需要点击图片验证码
• 对普通垃圾机器人非常有效

Elementor 中的设置方法：编辑 Elementor Form → Form Fields → 新增一个字段 → Type 选择 Honeypot。

五、继续保留 reCAPTCHA v3

除了 Honeypot，我同时保留了 reCAPTCHA v3。它与传统“选择红绿灯”“选择公交车”的验证码不同，通常在后台根据访问行为判断用户是否可疑，不需要正常访客手动完成验证。

因此 Honeypot + reCAPTCHA v3 是一套比较适合普通企业站的轻量组合。

目前表单字段大致是：

• Full Name
• Business Email
• Product Details
• Honeypot
• reCAPTCHA V3

正常用户前台只会看到前三个字段。

六、为什么开了验证码以后还是会有垃圾邮件？

开启 reCAPTCHA 并不意味着从此以后 100% 不会收到垃圾邮件。反垃圾系统更现实的目标是：大幅降低垃圾量，而不是绝对归零。

一些自动程序会使用真实浏览器环境、动态 IP、JavaScript、模拟用户行为或已被使用过的邮箱地址，因此偶尔仍然可能成功提交。

如果每天只有极少量垃圾，而正常询盘没有受到影响，就没有必要为了追求“0 垃圾”不断增加验证码和安全插件。否则有可能出现另一个问题：机器人还没完全挡住，正常客户反而先被复杂验证码挡住了。

七、Akismet 还需要安装吗？

WordPress 常见的另一个选择是 Akismet Anti-Spam。Akismet 对 WordPress 评论垃圾尤其有用。

如果网站还需要开放评论，可以考虑启用。如果像这次一样，企业站本身没有评论需求，那么直接关闭评论入口往往更加直接。

对于 Elementor 表单，则需要确认所使用的表单版本或插件是否支持 Akismet 集成。因此我的处理原则是：先减少入口，再增加防护，而不是一开始就安装很多插件。

八、我最终采用的方案

经过这次处理，我最后没有继续堆更多插件，而是采用了一套比较简单的结构。

Blog

• 关闭没有业务价值的评论功能
• 删除博客侧边栏的完整询盘表单
• 改成 CTA → Contact / Get a Quote 页面

Contact Form

• 继续保留 Honeypot
• 继续保留 reCAPTCHA v3

邮件

• 继续让 Gmail / 企业邮箱承担最后一层垃圾邮件过滤

这样实际上形成了三层：第一层减少公开入口；第二层 Honeypot + reCAPTCHA v3；第三层邮箱 Spam Filter。对于普通 WordPress 企业站来说，这已经是一套相对简单而实用的方案。

九、不要为了安全无限安装插件

这次排查之后，一个比较明显的感受是：WordPress 的很多问题并不是插件越多越好。

例如垃圾评论很多时，与其安装评论安全插件、验证码插件、IP Block 插件、Firewall 插件，再装一个 Spam Filter，不如先问一句：我的企业站到底需不需要评论？

如果答案是不需要：关掉即可。

同样，博客侧边栏如果不需要完整表单，就没有必要长期暴露一个表单接口。减少不必要的功能，本身就是一种安全优化。

总结

如果你的 WordPress 网站也遇到了大量垃圾评论、Elementor 垃圾询盘、奇怪邮箱地址提交、博彩或广告内容，以及邮箱每天收到大量审核通知，可以先从下面几个地方排查：

• 不需要评论，就关闭 WordPress 评论
• 同时关闭 Pingback 和 Trackback
• 批量关闭旧文章评论
• 删除没有必要存在的 Blog 表单
• Contact Form 保留 Honeypot
• 开启 reCAPTCHA v3
• 观察一段时间后，再决定是否需要增加其他反垃圾工具

安全配置的目标并不是把 WordPress 搞得越来越复杂，而是：用尽量简单的方式减少无效入口，同时不影响正常访客提交询盘。