Bild mit KI erstellt (OpenAI)
Spam über Kontaktformulare kostet Zeit. Jede Nachricht muss jemand lesen, bevor sie im Papierkorb landet, und zwischen vielen Werbe-Mails geht leicht eine echte Anfrage unter. WP Armour ist ein kostenloses WordPress-Plugin, das diesen Spam abfängt, ohne dass deine Besucher ein Captcha lösen müssen. Über 400.000 Webseiten setzen es ein.
Ich habe WP Armour auf meiner eigenen WordPress-Webseite eingesetzt. Über die Formulare kam danach fast kein Spam mehr.
Warum ein Captcha gegen Spam die schlechtere Wahl ist
Ein Captcha lässt jeden Besucher beweisen, dass er ein Mensch ist. Er klickt Bilder mit Ampeln an, tippt verzerrte Buchstaben ab oder setzt ein Häkchen. Wer dir eine Anfrage schicken will, muss also erst mal eine Aufgabe lösen, auf dem Handy oft mit spitzen Fingern.
Dazu kommt der Datenschutz. Google reCAPTCHA baut beim Laden eine Verbindung zu den Servern von Google auf, und Daten können dabei in die USA gehen. Das Bayerische Landesamt für Datenschutzaufsicht schreibt dazu: „Website-Betreiber sollten unbedingt Alternativen prüfen.“ Viele Webseiten holen für reCAPTCHA deshalb eine Einwilligung im Cookie-Banner ein. Lehnt ein Besucher dort ab, kann er das Formular dann nicht abschicken.
So arbeitet der Honeypot von WP Armour
Ein Honeypot ist ein Formularfeld, das echte Besucher nie zu sehen bekommen. Der Name kommt vom Honigtopf, an dem Bots hängen bleiben.
Im Browser baut WP Armour dieses Feld erst per JavaScript in das Formular ein. Bei den meisten Spam-Bots fehlt es deshalb beim Absenden, denn sie führen kein JavaScript aus. Daran erkennt das Plugin sie. Viele andere Honeypot-Plugins gehen den umgekehrten Weg. Sie bauen das Feld auf dem Server ein und schlagen an, wenn ein Bot es ausfüllt.
WP Armour vergibt jeder WordPress-Installation einen eigenen Feldnamen. Kennt ein Bot eine Webseite mit WP Armour, kommt er bei der nächsten also nicht automatisch durch. Laut Hersteller fängt das rund 98 Prozent des Spams ab. Von hundert Spam-Nachrichten kommen also noch etwa zwei in deinem Postfach an.
Welche Formulare WP Armour schützt
Die kostenlose Version schützt die Kommentare und die Registrierung von WordPress und arbeitet mit diesen Formular-Plugins zusammen:
- Contact Form 7
- WPForms
- Gravity Forms, allerdings nur einseitige Formulare ohne AJAX, also solche, bei denen die Seite beim Absenden neu lädt
- Formidable Forms und Fluent Forms
- Elementor Forms und die Kontaktformulare von Divi
- bbPress, Caldera Forms, Toolset Forms, Theme My Login und WooCommerce Reviews Pro
Einrichten musst du dafür nichts. Das Plugin erkennt die Formulare selbst.
Einige verbreitete Formulare fehlen in der kostenlosen Version, darunter Ninja Forms, Forminator, die Kasse und die Kundenregistrierung von WooCommerce sowie die Formulare von Bricks. Wer seine Webseite mit Bricks baut, braucht deshalb die Extended-Version.
WP Armour einrichten und prüfen
Du installierst WP Armour wie jedes andere Plugin unter „Plugins“ und „Installieren“ mit dem Suchbegriff „WP Armour“ und aktivierst es. Danach ist der Schutz aktiv.
Ob der Schutz greift, prüfst du als angemeldeter Administrator auf einer Seite mit Formular. Darunter erscheint ein Testhinweis, den nur du siehst. Den Text, den ein abgewiesener Absender bekommt, kannst du in den Einstellungen ändern. Kommt trotzdem noch Spam durch, empfiehlt der Hersteller, dort auch den Namen des Honeypot-Felds zu ändern.
Was der Honeypot gegen Spam nicht kann
Gegen Spam, den ein Mensch von Hand ins Formular tippt, hilft WP Armour nicht, das schreibt der Hersteller selbst. Dafür braucht es einen Filter, der auf den Inhalt schaut, etwa die Stichwortliste der Extended-Version. Dasselbe gilt für Bots, die eine Seite wie ein normaler Browser laden und JavaScript ausführen. Sie sehen das Feld und kommen durch.
Der Honeypot schützt nur die Formulare, nicht WordPress selbst. Gegen Angriffe auf Lücken in WordPress oder in Plugins helfen regelmäßige Updates und Backups, die sich zurückspielen lassen. Wie du WordPress dagegen absicherst, zeigt der Beitrag zur WordPress-Sicherheit.
WP Armour Extended: Funktionen und Preise
In der Extended-Version siehst du, was geblockt wurde, also jede abgefangene Nachricht samt Inhalt und die IP-Adresse des Absenders. Versucht es eine Adresse immer wieder, sperrt WP Armour sie. Hinzu kommen der Filter für Stichwörter und die Formulare, die in der kostenlosen Version fehlen.
| Lizenz | Webseiten | Preis im Jahr |
|---|---|---|
| Personal | 1 | 19,99 € |
| Business | bis 5 | 49,99 € |
| Corporate | bis 100 | 99,99 € |
Die Lizenz verlängert sich nicht automatisch, du erneuerst sie selbst, und innerhalb von 30 Tagen gibt es das Geld zurück. Preise und Lizenzen stehen auf der Seite des Herstellers. Ihre Aufmachung ist schlicht, das Plugin dahinter gibt es aber seit 2020, und bei 1.460 Bewertungen hat es im Schnitt fünf Sterne.
Hängt dein Geschäft an den Anfragen über die Webseite, etwa bei Angeboten oder Buchungen, lohnt sich die Extended-Version. Bleibt einmal eine echte Anfrage im Filter hängen, merkst du es sofort.
Fazit: Spam-Schutz für WordPress ohne Captcha
Für die meisten WordPress-Webseiten reicht die kostenlose Version von WP Armour. In wenigen Minuten ist sie installiert und braucht weder Einstellungen noch einen Eintrag im Cookie-Banner. Deine Besucher merken nichts davon. Zur Extended-Version rate ich, wenn du mit Bricks, Ninja Forms oder der WooCommerce-Kasse arbeitest oder wenn über das Formular Aufträge hereinkommen, die du nicht verlieren darfst. Dann gehört sie wie Updates und Backups zur WordPress-Sicherheit.
Quellen
Häufige Fragen zu WP Armour
Ist WP Armour DSGVO-konform?
Laut Hersteller setzt WP Armour keine Cookies, verfolgt niemanden und ruft keine fremden Server auf. Es fließen also keine Besucherdaten an Dritte, und für das Plugin braucht es keinen Eintrag im Cookie-Banner.
Brauche ich zusätzlich zu WP Armour noch reCAPTCHA?
Nein. Der Hersteller schreibt selbst, dass ein Captcha neben WP Armour nicht nötig ist. Wer bisher Google reCAPTCHA einsetzt, kann es nach dem Wechsel entfernen und spart sich damit die Frage nach der Einwilligung.
Wie prüfe ich, ob WP Armour aktiv ist?
Melde dich als Administrator an und ruf eine Seite mit Formular auf. Unter dem Formular erscheint dann ein Testhinweis von WP Armour. Besucher, die nicht angemeldet sind, sehen ihn nicht.
Was kostet WP Armour?
Die kostenlose Version kostet nichts, die Extended-Version 19,99 Euro im Jahr für eine Webseite, 49,99 Euro für bis zu fünf und 99,99 Euro für bis zu 100 Webseiten. Die Lizenz verlängert sich nicht automatisch.
