Si tens un formulari de contacte a la teva web, tard o d'hora rebràs correu brossa: missatges automàtics de SEO, ofertes irrellevants, enllaços sospitosos o intents d'injecció de codi. El problema no és només molest: una bústia plena de brossa fa que perdis consultes reals entre centenars de correus falsos.
La protecció antispam en formularis web equilibra dos objectius: bloquejar bots i abusos sense afegir fricció a un client que vol demanar-te pressupost. En aquesta guia repassem les tècniques que funcionen en webs d'empresa, quan usar cada una i com implementar-les sense perdre conversions.
Per què el correu brossa en formularis és un problema de negoci
No és un caprici tècnic. El spam en formularis impacta directament en la teva operativa:
- Consultes reals perdudes: si reps 50 missatges diaris i 45 són brossa, és fàcil no veure la consulta legítima.
- Temps de l'equip: algú filtra manualment correus que mai no haurien d'haver arribat.
- Risc de seguretat: formularis sense validació poden ser vector d'atacs XSS, injecció SQL o enviament massiu (spam relay).
- Reputació del domini: si el teu servidor envia correus brossa, el domini pot acabar en llistes negres i afectar el correu corporatiu.
- Dades brossa al CRM: leads falsos contaminen la base de dades i distorsionen mètriques de conversió.
Protegir el formulari no és opcional: és part bàsica del manteniment d'una web professional.
Senyals que el teu formulari necessita protecció antispam
- Reps missatges en idiomes que no corresponen al teu mercat.
- Els camps nom o empresa contenen URLs o paraules clau de SEO.
- Diversos enviaments idèntics en pocs segons des de la mateixa IP.
- Missatges amb enllaços sospitosos o fitxers adjunts inesperats.
- La bústia de contacte@ creix cada dia sense que augmentin les vendes.
- Mai has revisat quines validacions té el formulari des que es publicà.
Si t'hi reconeixes en dos o més punts, necessites actuar abans que el problema escali.
Tècniques de protecció antispam: de menys a més intrusives
No cal aplicar tot d'una. Comença per capes lleugeres i afegeix més protecció només si el spam persisteix:
- Validació al servidor: camps obligatoris, longitud màxima, format d'email vàlid, sanejament d'HTML. Mai confiïs només en validació JavaScript del navegador.
- Camp honeypot: un camp ocult que els humans no veuen però els bots omplen automàticament. Si arriba amb valor, es descarta l'enviament. Invisible per l'usuari i molt efectiu contra bots bàsics.
- Timestamp / temps mínim d'enviament: si el formulari s'envia en menys de 2-3 segons després de carregar la pàgina, probablement és un bot.
- Rate limiting per IP: limitar enviaments per IP (per exemple, màxim 3 per hora). Protege contra atacs de força bruta sense afectar l'usuari normal.
- CAPTCHA invisible (reCAPTCHA v3, hCaptcha, Cloudflare Turnstile): analitza comportament sense mostrar puzzles en la majoria de casos. Només demana verificació quan detecta risc.
- CAPTCHA visible: checkbox «No sóc un robot» o puzzle d'imatges. Més efectiu contra bots avançats, però afegeix fricció. Usa'l només si el spam persisteix després de les capes anteriors.
- Llista negra de dominis i paraules: bloquejar emails de dominis temporals (mailinator, guerrillamail) i missatges amb patrons típics de brossa.
La clau és capes combinades: un honeypot sol no n'hi ha prou contra bots sofisticats, però honeypot + rate limiting + CAPTCHA invisible cobre el 95 % dels casos sense molestar el visitant.
Com triar la solució adequada per la teva web
- Web amb poc trànsit i formulari simple: honeypot + validació servidor sol bastar.
- Web amb trànsit mitjà o sector molt spamejat (SEO, hosting, legal): afegeix CAPTCHA invisible i rate limiting.
- E-commerce o formularis amb dades sensibles: CAPTCHA + validació estricta + possible verificació d'email (doble opt-in).
- WordPress o altre CMS: plugins com Akismet, CleanTalk o reCAPTCHA; revisa que no alenteixin la càrrega.
- Formulari a mida (Laravel, React, etc.): implementació directa amb llibreries del proveïdor (Google reCAPTCHA, Cloudflare Turnstile).
Evita afegir tres CAPTCHAs visibles seguits. Cada capa de fricció redueix conversions. Mesura l'impacte amb analítica web abans i després d'activar proteccions.
Errors habituals en protegir formularis
- Només validar al navegador: els bots envien peticions directes al servidor sense executar JavaScript.
- CAPTCHA visible en tots els formularis: en formularis de newsletter o descàrrega de PDF, un puzzle pot reduir subscripcions un 20-30 %.
- No provar el formulari després d'activar protecció: configuracions mal fetes bloquegen enviaments legítims sense que t'enteris.
- Ignorar el correu de notificació: si el formulari envia a contacte@, protege també aquest compte amb filtres i regles.
- Oblidar el RGPD: reCAPTCHA i serveis de tercers poden implicar transferència de dades. Informa a la teva política de privacitat.
- No monitoritzar: revisa periòdicament si arriben enviaments i si les alertes funcionen. Complementa amb monitorització de la teva web.
Checklist de protecció antispam per formularis
- Validació i sanejament al servidor (no només al client).
- Camp honeypot ocult amb CSS (display:none o posició fora de pantalla).
- Rate limiting: màxim 3-5 enviaments per IP per hora.
- CAPTCHA invisible activat (reCAPTCHA v3 o Turnstile).
- Bloqueig de dominis d'email temporals.
- Longitud màxima en camps de text (evita payloads enormes).
- Prova manual: envia un formulari real i verifica que arriba el correu.
- Prova amb eina de spam: envia dades típiques de bot i confirma que es bloqueja.
- Revisa la carpeta de spam de la bústia receptor per si les alertes legítimes cauen allà.
- Documenta la configuració per futures actualitzacions de la web.
Antispam, conversions i experiència d'usuari
L'objectiu no és bloquejar tot, sinó deixar passar clients reals i aturar bots. Un formulari protegit ha de:
- Carregar ràpid (l'script de CAPTCHA no ha de retardar la pàgina més de 200-300 ms).
- Mostrar missatges d'error clars si alguna cosa falla («No hem pogut verificar l'enviament, torna-ho a provar»).
- Funcionar en mòbil sense puzzles impossibles de resoldre amb una mà.
- Ser accessible: alternatives d'àudio en CAPTCHA visible, etiquetes en camps honeypot per lectors de pantalla (aria-hidden).
Si després d'activar protecció baixen les conversions, revisa quina capa causa fricció abans de desactivar tot.
Preguntes freqüents sobre antispam en formularis web
El honeypot n'hi ha prou?
Per webs amb poc spam, sí. Contra bots avançats que analitzen CSS, combina-ho amb rate limiting i CAPTCHA invisible.
El reCAPTCHA és gratuït?
Google reCAPTCHA té pla gratuït amb límits generosos per la majoria de webs d'empresa. Cloudflare Turnstile és una altra alternativa gratuïta i lleugera.
El spam pot afectar el SEO de la meva web?
Indirectament: si el formulari genera pàgines indexables amb brossa o el domini es marca com emissor de correu brossa, pot haver-hi conseqüències. Protege el formulari i revisa que no creï URLs públiques amb els enviaments.
Què faig si bloquejo clients reals?
Ofereix canal alternatiu visible: telèfon, WhatsApp Business o correu directe. Revisa logs del servidor per veure quina regla bloqueja enviaments legítims i ajusta els llindars.
Conclusió: menys spam, més leads qualificats
La protecció antispam en formularis no és un detall tècnic menor: és el que separa una web que genera oportunitats d'una que genera soroll. Comença amb validació servidor + honeypot + rate limiting, afegeix CAPTCHA invisible si cal, i mesura l'impacte en conversions.
El teu formulari rep spam cada dia i no saps per on començar? A aatsoft auditem formularis, implementem protecció per capes i verifiquem que les consultes reals segueixin arribant. Explica'ns el teu cas i et proposem la solució adequada per la teva web.
