Decine di nuovi utenti con nomi strani, email di registrazione continue e nessun acquisto: il sito potrebbe ricevere iscrizioni automatiche.
La prima cosa da capire è da quale modulo entrano. WordPress, WooCommerce, aree riservate e plugin possono avere percorsi di registrazione diversi. Per ridurre lo spam occorre proteggere il punto giusto e mantenere utilizzabili gli account dei clienti reali.
Indice della guida
Distingui account indesiderati, ordini falsi e accessi sospetti
Verifica la presenza delle nuove utenze nel pannello, senza basarti soltanto sulle email ricevute. Annota quando aumentano, quali ruoli hanno e quale flusso le crea. Un nome insolito o l’assenza di un acquisto non dimostrano, da soli, che un account sia falso: anche un cliente può registrarsi prima di scegliere un prodotto.
Registra il fenomeno su un campione ristretto: numero di iscrizioni, intervallo di tempo, pagina usata e schemi ricorrenti. Se sono disponibili registri tecnici, falli esaminare dal referente del sito senza diffondere pubblicamente indirizzi email, IP o dati degli utenti.
- Registrazioni spam: vengono creati nuovi account attraverso un percorso accessibile.
- Ordini sospetti: compaiono acquisti o tentativi di pagamento da verificare con un controllo separato.
- Accessi o privilegi anomali: cambiano credenziali, ruoli o impostazioni senza una spiegazione.
Se trovi amministratori che non riconosci, la verifica deve riguardare anche sicurezza e accessi. Non limitarti ad aggiungere un controllo antispam. Per gli acquisti indesiderati consulta la guida agli ordini falsi su WooCommerce.
Individua tutti i moduli che possono creare un account
Apri il sito senza essere autenticato e cerca i percorsi di registrazione: pagina di accesso WordPress, Il mio account, checkout, area soci, corsi, prenotazioni e moduli personalizzati. Un pulsante nascosto nel menu non dimostra che il relativo indirizzo abbia smesso di accettare richieste.
Nelle impostazioni generali WordPress trovi l’opzione che consente a chiunque di registrarsi e il ruolo predefinito dei nuovi utenti. WooCommerce dispone di impostazioni proprie. Anche un plugin per le iscrizioni può creare account seguendo il suo flusso: controlla il componente realmente responsabile.
Associa ogni modulo a uno scopo concreto. Per esempio, il sito aziendale può avere bisogno dell’accesso per i collaboratori senza richiedere iscrizioni pubbliche; un negozio può avere bisogno degli account clienti, ma non di un secondo modulo lasciato attivo da una vecchia area riservata.
Chiudi soltanto le registrazioni che non servono
Se il sito non offre servizi agli utenti registrati, valuta di disabilitare l’iscrizione pubblica standard. Questo non richiede di eliminare gli account autorizzati esistenti. Controlla poi che il percorso disattivato non crei più nuove utenze e che l’accesso del personale continui a funzionare.
Per il negozio apri WooCommerce → Impostazioni → Account e privacy e confronta le opzioni presenti nella tua installazione con la documentazione WooCommerce. Individua dove è consentita la creazione dell’account e quali percorsi commerciali la richiedono. Le possibilità possono dipendere da versione, checkout ed estensioni.
Prima di chiudere un percorso, prova abbonamenti, corsi, listini riservati e download acquistati. Consentire l’acquisto come ospite può essere utile in alcuni negozi, ma non sostituisce automaticamente tutte le funzioni degli account. La guida a WooCommerce senza registrazione aiuta a valutare quel percorso separatamente.
Proteggi i moduli necessari e verifica il controllo sul server
Scegli una protezione che dichiari il supporto al modulo effettivamente usato: registrazione WordPress, WooCommerce classico, blocchi o estensione specifica. Un controllo presente sul login non è automaticamente attivo anche sulla registrazione. Evita di sovrapporre più strumenti senza sapere chi gestisce ogni verifica.
Tra gli strumenti possibili ci sono filtri per tentativi ripetuti, campi esca e sistemi di verifica del visitatore. Non basta vedere un riquadro nella pagina. Per esempio, la documentazione Cloudflare Turnstile richiede la validazione del token sul server: l’integrazione deve controllare l’esito prima di accettare l’operazione.
Fai provare la protezione anche con controllo non completato o scaduto. Il modulo deve mostrare un messaggio comprensibile, consentire un nuovo tentativo e non creare un account se la verifica richiesta fallisce. Valuta la conferma email quando il flusso la supporta, ma ricorda che ricevere un’email non dimostra da solo l’autenticità della persona.
Le soglie sui tentativi vanno calibrate: più clienti possono condividere la connessione di un ufficio o una rete mobile. Controlla gli errori reali invece di bloccare indiscriminatamente interi paesi o tutti gli indirizzi con una caratteristica generica.
Controlla i ruoli assegnati ai nuovi iscritti
Un nuovo cliente deve poter usare le funzioni previste senza ottenere accessi amministrativi. Confronta il ruolo standard e quelli creati dalle estensioni con la documentazione WordPress su ruoli e capacità. I nomi possono variare, quindi chiedi quali azioni consenta effettivamente ogni ruolo.
Verifica separatamente personale, collaboratori e clienti. Non declassare tutti gli utenti insieme: un gestore del negozio può avere un’autorizzazione legittima. Se un ruolo privilegiato compare senza una ragione, conserva gli elementi utili e fai controllare origine della modifica, componenti e accessi autorizzati.
La guida ai permessi WordPress per dipendenti e collaboratori aiuta a organizzare gli accessi ordinari. L’antispam riguarda la creazione degli account; il controllo dei privilegi tutela le operazioni che quegli account possono compiere.
Verifica gli utenti esistenti prima di rimuoverli
Riduci prima l’ingresso delle nuove registrazioni indesiderate, altrimenti l’elenco continuerà a riempirsi mentre lo pulisci. Prepara una copia recuperabile e definisci con il responsabile del sito criteri verificabili per selezionare gli account. “Non ha mai comprato” e “ha un nome straniero” non sono criteri sufficienti.
Controlla per ogni gruppo interessato ordini, abbonamenti, iscrizioni a corsi, accessi a download, richieste e contenuti collegati. La schermata Utenti di WordPress distingue la rimozione dell’utente dalla destinazione dei suoi contenuti. I dati di un ecommerce e quelli delle estensioni richiedono ulteriori verifiche.
Non usare una cancellazione generale degli ordini o una pulizia diretta delle tabelle per risolvere lo spam degli account. Prima di applicare un’operazione a molti utenti, prova un caso verificato e controlla l’effetto sui collegamenti e sui servizi del cliente. Le impostazioni di conservazione dei dati non sono una scorciatoia per classificare chi sia un bot.
Prova un cliente nuovo e uno già registrato
Esempio ipotetico: un negozio riceve molte iscrizioni dalla pagina Il mio account. La registrazione nel checkout funziona regolarmente e alcuni clienti usano l’account per i download. Il controllo si concentra sul modulo esposto, poi verifica che un nuovo cliente possa acquistare e uno esistente possa ancora scaricare quanto comprato.
- Crea un account di prova con un indirizzo controllato e verifica le email previste.
- Ripeti il percorso da smartphone, compreso un errore correggibile.
- Accedi con un cliente di prova esistente e usa il recupero password.
- Completa un acquisto di test nell’ambiente appropriato.
- Controlla che un tentativo respinto non abbia creato utenti o ordini inattesi.
Segui poi nuove iscrizioni, errori del modulo e richieste di assistenza. Il risultato deve ridurre gli account indesiderati senza far crescere i clienti bloccati. Se emergono problemi di accesso, usa la guida agli account WooCommerce che non riescono ad accedere.
Domande frequenti
Basta togliere la spunta Chiunque può registrarsi?
Disabilita il percorso standard WordPress, ma occorre controllare separatamente WooCommerce e gli eventuali plugin che creano utenti. Identifica il modulo realmente usato dalle registrazioni indesiderate.
Un account senza ordini è sicuramente spam?
No. Una persona può registrarsi prima di comprare o usare altre funzioni del sito. Controlla il contesto e i dati collegati prima di classificare o eliminare un’utenza.
Il CAPTCHA sul login protegge anche il checkout?
Non va dato per scontato. L’integrazione deve supportare e proteggere ciascun modulo interessato. Verifica la registrazione e il checkout effettivi, compreso il controllo sul server.
Posso eliminare tutti gli utenti con il ruolo Cliente?
No: quel gruppo può includere clienti reali con ordini, abbonamenti e accessi acquistati. Servono criteri verificati, una copia recuperabile e un controllo delle conseguenze prima della rimozione.
Le registrazioni spam significano che il sito è stato violato?
Non necessariamente: un modulo pubblico può essere usato automaticamente. Se però trovi amministratori sconosciuti, modifiche ai ruoli o accessi anomali, serve anche una verifica di sicurezza del sito.