WordPress yorum spamı ile mücadele: Gerçek yorumları kaybetmeden botları durdurmak

Yorum spamı, internetin en eski ve en inatçı sorunlarından biridir. Botlar sürekli olarak WordPress sitelerini tarar, yorum formlarını bulur ve içinde kumar, ilaç ya da sahte ürün bağlantıları bulunan yorumlar bırakır. Amaçları, bu bağlantılarla arama motorlarında kendi sitelerinin sıralamasını yükseltmek ya da ziyaretçileri dolandırıcılık sitelerine çekmektir.

Bu yorumlar onaylanırsa sitenizde istenmeyen bağlantılar yayımlanmış olur. Onaylanmasa bile veritabanınızda birikir ve moderasyon kuyruğunu gerçek yorumları bulmanın imkânsız olduğu bir çöplüğe çevirir.

1. Önce ihtiyacı sorgulayın

Gerçekten yoruma ihtiyacınız var mı? Kurumsal bir sitede, ürün sayfalarında ya da duyurularda yorum kutusu çoğu zaman gereksizdir. Ayarlar → Tartışma sayfasında yorumları tamamen kapatabilirsiniz.

Not: Bu ayar yalnızca yeni yazıları etkiler. Mevcut yazılarda yorumları kapatmak için Yazılar listesinde toplu düzenlemeyi kullanın ya da WP-CLI ile:

wp post list --post_type=post --format=ids | xargs -n1 -I{} wp post update {} --comment_status=closed

2. WordPress'in yerleşik ayarları

Ayarlar → Tartışma sayfasında, eklenti gerektirmeyen ama çok etkili seçenekler var:

• "Yorum yazarının daha önce onaylanmış bir yorumu olmalı": İlk yorumu siz onaylarsınız, sonrakiler doğrudan yayımlanır.
• "Bir yorum şu sayıda bağlantı içeriyorsa moderasyon kuyruğunda bekletilsin": Bu değeri 1 yapın. Spam yorumların neredeyse hepsi bağlantı içerir.
• "Şu kadar günden eski yazılarda yorumları otomatik kapat": Örneğin 30 ya da 60 gün. Botlar özellikle eski ve unutulmuş yazıları hedefler.
• Moderasyon ve izin verilmeyen anahtar kelime listeleri: Spam yorumlarda sık geçen kelimeleri ve alan adlarını ekleyebilirsiniz. Ama dikkatli olun: Kısa kelimeler başka kelimelerin içinde de geçebilir ve gerçek yorumları engelleyebilir.

3. Spam filtreleme servisi

Akismet, Automattic'in geliştirdiği ve milyonlarca sitedeki spam verisinden öğrenen bir filtreleme servisidir. Yorumu, kendi veritabanındaki örneklerle karşılaştırarak spam olup olmadığına karar verir. Kişisel bloglar için ücretsiz, ticari siteler için ücretli planları var.

Bunun bir bedeli olduğunu bilin: Yorum içeriği ve yorumu yapanın IP adresi gibi bilgiler değerlendirme için Akismet sunucularına gönderilir. Bunu gizlilik politikanızda belirtmeniz gerekir. KVKK ya da GDPR açısından hassas bir siteniz varsa, yerel çalışan alternatifleri de değerlendirin.

4. Görünmez tuzaklar (honeypot)

Botlar formdaki bütün alanları doldurma eğilimindedir. Honeypot yöntemi bundan yararlanır: Forma, gerçek kullanıcıların göremeyeceği şekilde CSS ile gizlenmiş bir alan eklenir. Bu alan dolu gelirse, gönderen bir bottur.

Antispam Bee gibi bazı eklentiler honeypot ve benzeri yöntemleri, verileri dışarı göndermeden yerel olarak uygular. Gerçek kullanıcı hiçbir şey fark etmez; ne bir kutu işaretler ne de resim seçer.

5. CAPTCHA: Son çare

reCAPTCHA, hCaptcha ya da Cloudflare Turnstile gibi araçlar botları büyük ölçüde durdurur. Ama gerçek kullanıcılar için de bir engeldir. Özellikle görme engelli kullanıcılar ve yavaş bağlantılar için sorun yaratabilir. Görünmez çalışan sürümleri (Turnstile ya da reCAPTCHA v3 gibi) tercih edin ve yalnızca diğer yöntemler yetmediğinde kullanın.

6. XML-RPC ve geri bildirimler (pingback)

Spamın bir kısmı yorum formundan değil, pingback ve trackback adı verilen eski geri bildirim mekanizmalarından gelir. Günümüzde neredeyse hiç meşru kullanımları kalmadı. Kapatın:

• Ayarlar → Tartışma → "Bağlantı bildirimlerine izin ver (pingback ve trackback)" seçeneğinin işaretini kaldırın.
• Kullanmıyorsanız xmlrpc.php dosyasına erişimi sunucu seviyesinde engelleyin.

7. Birikmiş spamı temizlemek

Moderasyon kuyruğunda binlerce yorum biriktiyse, onları tek tek incelemek imkânsızdır:

wp comment list --status=spam --format=count
wp comment delete $(wp comment list --status=spam --format=ids) --force

Onay bekleyen yorumların tamamı spam ise:

wp comment delete $(wp comment list --status=hold --format=ids) --force

Bu ikinci komutu çalıştırmadan önce kuyruğa bir göz atın; arada gerçek bir yorum olabilir.

8. Yayımlanan yorumlardaki bağlantılar

WordPress, yorumlardaki bağlantılara varsayılan olarak rel="nofollow ugc" ekler. Bu, arama motorlarına "Bu bağlantıyı ben önermiyorum, bir kullanıcı ekledi" der. Spamcılar için bağlantının değerini düşürür, ama onları tamamen caydırmaz. Bu yüzden diğer önlemler yine de gereklidir.

Önerilen düzen

Küçük ve orta ölçekli bir blog için iyi çalışan bir kombinasyon: Bağlantılı yorumları moderasyona alan yerleşik ayar, eski yazılarda yorumların otomatik kapatılması, kapalı pingback'ler ve yerel çalışan honeypot tabanlı bir spam eklentisi. Bu düzenle spamın büyük kısmı ziyaretçileri hiç rahatsız etmeden durdurulur. Kuyruğa düşen birkaç yorum da birkaç dakikada temizlenir.