Un formulario de contacto tiene un solo trabajo —permitir que una persona real contacte fácilmente con el negocio—, y la protección antispam es muy fácil de calibrar mal de un modo que daña en silencio ese trabajo mientras intenta protegerlo. El fallo habitual no es demasiado poca protección, es una protección lo bastante severa como para que un visitante real abandone el formulario antes de terminarlo, lo cual es peor resultado que el spam que pretendía detener.
Por qué un solo filtro no basta
Los envíos de spam van desde bots automatizados burdos que rellenan cada campo de formulario que encuentran, hasta envíos más deliberados de una persona que se dirige manualmente al formulario de un negocio. Una única defensa tiende a cubrir solo un extremo de ese rango: un campo trampa básico atrapa la automatización burda pero no hace nada contra un humano decidido, mientras que un desafío tipo puzle que detiene a ambos también frena una parte significativa de visitantes reales, especialmente en móvil, donde resolver un puzle de imágenes es más engorroso que en escritorio. Superponer varias comprobaciones ligeras, en vez de depender de una sola pesada, atrapa más spam real exigiendo menos a cada visitante real individual.
Lo que funciona sin que los visitantes lo noten
Un campo oculto, invisible para una persona pero que los bots básicos rellenan igualmente porque no renderizan la página como lo hace un navegador: cualquier envío con ese campo relleno se descarta silenciosamente, sin ninguna fricción para un visitante real que ni siquiera sabe que el campo existe. Medir el intervalo entre la carga de un formulario y su envío atrapa a los bots que rellenan y envían un formulario en menos de un segundo, más rápido de lo que lograría un humano leyendo realmente los campos, sin pedirle a un visitante real que haga nada distinto. Comprobar el contenido de un envío contra una lista corta de patrones habituales en el spam —una avalancha de enlaces, caracteres fuera de lo que el campo debería contener— atrapa una parte significativa sin ningún desafío visible.
Dónde una comprobación visible se gana su lugar
Parte del spam decidido pero de bajo esfuerzo supera las comprobaciones pasivas, y ahí es donde un paso visible ligero —un simple "selecciona cada imagen con un coche" o similar, mostrado solo después de que otras señales sugieran que algo falla, no en cada visita— tiene su sitio. Mostrarlo por defecto a todos los visitantes castiga a todo el mundo por un problema del que la mayoría no forma parte; mostrarlo selectivamente, solo cuando un envío ya parece sospechoso, lo mantiene fuera del camino de las consultas que el negocio realmente quiere recibir.
Cómo se ve esto en la práctica, con nuestra propia web
Nuestro propio formulario de contacto usa exactamente este enfoque en capas —un campo trampa oculto, una comprobación del tiempo de envío y una coincidencia de patrones en el contenido—, sin ningún puzle visible mostrado a un visitante salvo que varias señales se contradigan, porque un formulario realmente rápido de usar convierte mejor que uno simplemente bien protegido, y ambos objetivos no tienen por qué competir entre sí cuando la protección está en capas en lugar de recaer toda de golpe sobre el visitante.
La métrica que realmente importa
El indicador que merece la pena vigilar no es "cuánto spam se bloqueó", sino la proporción de consultas reales y útiles que llegaron frente a cuántas personas empezaron el formulario y lo abandonaron. Un formulario que bloquea el 100% del spam pero frustra a una parte significativa de visitantes reales ha cambiado un problema por otro más costoso.
Este es uno de los detalles prácticos detrás de tratar una web como una parte activa del negocio en lugar de una página estática. Nuestro equipo web integra este enfoque en capas en cada formulario que entrega, no como una idea añadida después.
