Los pedidos spam de WooCommerce se producen cuando bots o estafadores realizan pedidos falsos. Estos pedidos saturan la base de datos de tu tienda WordPress, te hacen perder el tiempo e incluso provocan pérdidas económicas por devoluciones de cargos. A diferencia del spam de registro de usuarios, estos pedidos spam afectan directamente a tus ventas y operaciones.
Este problema suele deberse a una configuración de seguridad deficiente, como el registro abierto de invitados, la falta de protección contra bots y una escasa validación.
Como WooCommerce no incluye herramientas integradas para evitar los pedidos spam, deberás tomar medidas adicionales para bloquearlos. Vamos a ver las mejores formas de detenerlos.
1. Configura Cloudflare: tu primera línea de defensa
Cuando se trata de detener el spam de pedidos de WooCommerce, Cloudflare es tu herramienta más eficaz porque puede ayudar a detener el spam antes de que llegue a tu sitio.
Mientras que otras soluciones, como CAPTCHA, plugins antispam y herramientas de prevención del fraude, funcionan filtrando el spam después de que los bots interactúen con tu tienda, Cloudflare bloquea el tráfico malicioso en el edge, impidiendo que los bots lleguen a tus páginas de pago y registro.
Cloudflare es algo más que una Red de Distribución de Contenidos (CDN, Content Delivery Network): es un centro neurálgico de seguridad. Proporciona el modo Bot Fight (Modo Lucha contra Bots), reglas de Cortafuegos de Aplicaciones Web (WAF, Web Application Firewall) y bloqueo de IP, elementos que reducen la carga de tu tienda, protegen tus recursos y evitan que se cuelen pedidos fraudulentos.
¿Por qué crear una cuenta personal de Cloudflare si Kinsta ya incluye Cloudflare?
Mientras escribíamos este artículo, les hicimos esta misma pregunta a los ingenieros de soporte de Kinsta. ¿Su respuesta? La integración de Cloudflare en Kinsta proporciona una seguridad sólida a nivel empresarial, pero crear tu propia cuenta de Cloudflare te da más control.
El Cortafuegos de Aplicaciones Web (WAF) y la protección contra bots integrados de Kinsta aplican reglas de seguridad en toda la plataforma diseñadas para proteger todos los sitios alojados con nosotros. Sin embargo, una cuenta personal de Cloudflare te permite ajustar la configuración de seguridad para tu tienda WooCommerce específica.
Nuestro equipo de soporte suele recomendar a los clientes que creen su propia cuenta de Cloudflare antes que la de Kinsta. Esto te permite:
- Crear reglas WAF personalizadas para desafiar a los visitantes sospechosos en las páginas de pago y registro.
- Bloquear países enteros o permitir sólo las regiones en las que opera tu empresa.
- Aplicar un filtrado de bots adicional antes incluso de que el tráfico llegue al contenedor de tu sitio.
Dicho esto, incluso sin tu propia cuenta de Cloudflare, el equipo de soporte de Kinsta puede bloquear bots o IP específicas a nivel de contenedor cuando sea necesario. Pero si quieres un control adicional y una protección proactiva, lo mejor es que configures tú mismo Cloudflare.
Cómo configurar Cloudflare para la protección antispam de WooCommerce
El primer paso es registrarte para obtener una cuenta gratuita de Cloudflare si aún no tienes una. Una vez que hayas iniciado sesión, se te dirigirá al panel de control de Cloudflare.
Para empezar, haz clic en el menú desplegable + Añadir, haz clic en Dominio existente e introduce el dominio de tu tienda WooCommerce. Esto permite a Cloudflare gestionar el tráfico y aplicar reglas de seguridad a tu sitio.
Tras introducir tu dominio, Cloudflare te pedirá que selecciones un plan. El plan gratuito es suficiente para la mayoría de las tiendas WooCommerce, ya que incluye el Modo Bot Fight (modo lucha contra Bots), protección DDoS básica y reglas de seguridad. Selecciona el plan gratuito y haz clic en Continuar.
A continuación, Cloudflare escaneará tus registros DNS actuales. Verás una lista de registros extraída automáticamente de tu proveedor de alojamiento actual. Asegúrate de que tu dominio principal y tus subdominios aparecen correctamente en la lista. Haz clic en Continuar para seguir.
Cloudflare te proporcionará ahora nuevos servidores de nombres. Para activar las funcionalidades de seguridad de Cloudflare, tendrás que actualizar los servidores de nombres de tu dominio en tu registrador de dominios.
Después de actualizar tus servidores de nombres, vuelve a Cloudflare y haz clic en Done, Check Nameservers (Hecho, Comprobar servidores de nombres). Cloudflare puede tardar unos minutos en detectar los cambios. Una vez que tu sitio esté activo en Cloudflare, puedes configurar reglas de protección contra bots.
Activa el Modo Bot Fight para bloquear bots maliciosos
Una de las funcionalidades de seguridad integradas en Cloudflare es el Modo Bot Fight (Modo Lucha contra Bots), que bloquea los bots maliciosos conocidos antes de que puedan interactuar con tu tienda de WooCommerce.
Para activarlo, ve a Seguridad > Bots en tu panel de control de Cloudflare. Localiza el Modo Bot Fight y actívalo.
Esto ayudará inmediatamente a reducir los pedidos automatizados spam al impedir que los bots lleguen a tus páginas de pago y registro.
Al habilitar el Modo Bot Fight, también es una buena idea activar Block AI Bots (Bloquear bots de IA), que se encuentra justo al lado. Nuestros ingenieros de soporte mencionan que, aunque esta configuración no es estrictamente necesaria para la prevención de spam de WooCommerce, puede ayudar con los picos de rendimiento causados por los bots de IA que rastrean agresivamente tu sitio. Estos bots suelen enviar grandes volúmenes de solicitudes sin almacenar en caché, lo que puede ralentizar tu sitio. Al habilitar Bloquear bots de IA, reduces el tráfico relacionado con el spam y evitas una carga innecesaria en tu servidor, manteniendo tu tienda WooCommerce funcionando sin problemas.
Crear una regla WAF personalizada para la protección contra spam de WooCommerce
El WAF de Cloudflare te permite configurar reglas para filtrar el tráfico de spam antes de que llegue a tu tienda de WooCommerce. Nuestros ingenieros de soporte han compartido ejemplos de dos reglas útiles: una que desafía a los visitantes sospechosos en páginas clave y otra que bloquea el tráfico de países específicos.
Para la protección del proceso de pago y el registro, la regla debe dirigirse tanto a la ruta URI como a la cadena de consulta URL. En Cloudflare, en Seguridad > WAF, crea una regla llamada Protección contra el spam de WooCommerce. Establece la Ruta URI para que contenga /checkout/ y /my-account/, y añade también la Cadena de Consulta URL que contiene wc-ajax=checkout. La acción debe ser un Desafío Gestionado, que obliga a los usuarios sospechosos a verificar que son humanos antes de continuar.
Para el bloqueo basado en países, crea una regla independiente en Seguridad > WAF y establece el campo País como no igual a United States, Canada y United Kingdom (o cualquier país admitido por tu tienda). Establece la acción en Bloquear, asegurándote de que sólo los visitantes de ubicaciones aprobadas puedan acceder a tu sitio.
Estas reglas ayudan a evitar tanto los robots de spam automatizados como los pedidos fraudulentos procedentes de regiones de alto riesgo, al tiempo que permiten el acceso a los clientes legítimos.
Una vez hecho esto, haz clic en Desplegar regla. Cloudflare desafiará ahora el tráfico sospechoso en estas páginas, bloqueando los robots de spam automatizados y permitiendo el paso a los clientes reales.
Aunque Cloudflare es la mejor primera línea de defensa, es posible que necesites un filtrado adicional a nivel de sitio. Los plugins resultan útiles cuando necesitas analizar datos dentro del propio WooCommerce, como por ejemplo:
- Comprobar los datos del cliente antes de bloquear un pedido.
- Filtrar los registros de spam en función de los dominios de correo electrónico o el historial de IP.
- Evitar pedidos falsos que se cuelan en la protección contra bots.
Nuestros ingenieros de soporte recomiendan utilizar Cloudflare siempre que sea posible para bloquear el spam antes de que llegue al sitio. Sin embargo, si Cloudflare por sí solo no es suficiente, o si prefieres gestionar el filtrado de spam directamente en WordPress, aquí tienes otras opciones para ayudar a evitar los pedidos spam de WooCommerce.
2. Añade CAPTCHA a los formularios de pago y registro
Una de las formas más fáciles y eficaces de bloquear los pedidos spam es añadir un CAPTCHA a los formularios clave de tu tienda de WooCommerce.
CAPTCHA son las siglas en inglés de «Completely Automated Public Turing test to tell Computers and Humans Apart» (prueba de Turing pública y completamente automatizada para distinguir ordenadores de humanos). Es una medida de seguridad que ayuda a bloquear el acceso de bots y spammers a tu sitio. CAPTCHA desafía a los usuarios con tareas sencillas como seleccionar imágenes, marcar una casilla o escribir texto distorsionado que son fáciles para los humanos pero difíciles de resolver para los bots.
De este modo, CAPTCHA impide que los robots automatizados envíen pedidos falsos, al tiempo que permite a los clientes reales completar sus compras sin problemas.
Para evitar eficazmente el spam en los pedidos, debes añadir CAPTCHA a:
- Formularios de pago — Impide que los robots realicen pedidos falsos.
- Formularios de registro — Evita que se creen cuentas de cliente de spam.
- Formularios de inicio de sesión — Bloquea los ataques de fuerza bruta con los que los robots intentan acceder a las cuentas.
Varios plugins facilitan la integración CAPTCHA en tu sitio de WooCommerce, pero te recomendamos que utilices Simple Cloudflare Turnstile o Advanced Google reCAPTCHA. Sólo necesitas implementar uno. A continuación, te guiaremos por ambas opciones.
Opción 1: Utilizar Simple Cloudflare Turnstile
Cloudflare Turnstile es una alternativa a Google reCAPTCHA respetuosa con la privacidad. Verifica automáticamente a los usuarios sin exigirles que resuelvan enigmas, lo que facilita el proceso de pago.
Para utilizar Cloudflare Turnstile en tu sitio de WordPress, ve al sitio web de Cloudflare y regístrate o inicia sesión. Una vez hecho esto, accederás a tu panel de control de Cloudflare. En tu panel, busca Turnstile. Si es la primera vez que lo utilizas, haz clic en el botón Añadir Widget.
A continuación, asigna un nombre a tu widget (por ejemplo, WooCommerce Checkout CAPTCHA) para que puedas identificarlo más adelante. Después, haz clic en Añadir nombres de host para añadir tu sitio web.
Ahora desplázate hacia abajo para seleccionar el Modo de Widget Gestionado y haz clic en Crear.
Una vez creado el widget, Cloudflare generará claves API, que necesitarás en tu panel de WordPress. Copia tanto la Clave del Sitio como la Clave Secreta de esta página.
Existen varios plugins para añadir CAPTCHA de Turnstile a WordPress, pero Simple Cloudflare Turnstile es una opción gratuita y muy recomendable.
Para utilizarlo, ve a Plugins > Añadir nuevo plugin. En la barra de búsqueda, escribe Simple Cloudflare Turnstile. A continuación, instala y activa el plugin.
Tras activar el plugin, ve a Configuración > Cloudflare Turnstile. Pega la Clave del Sitio y la Clave Secreta que copiaste antes en los campos respectivos.
Ahora desplázate hacia abajo y marca los formularios en los que quieras activar Turnstile CAPTCHA. Como se muestra a continuación, selecciona Inicio de sesión, Registro y Pago de WooCommerce.
Haz clic en Guardar cambios y ya está. Abre tu página de pago de WooCommerce y verás que aparece el desafío CAPTCHA.
Opción 2: Usar advanced Google reCAPTCHA
Google reCAPTCHA es una de las herramientas de protección contra el spam más utilizadas. Ofrece reCAPTCHA v2 (verificación por casilla de verificación) y reCAPTCHA v3 (verificación en segundo plano).
Para empezar a utilizar reCAPTCHA de Google, inicia sesión en tu cuenta de Google. Una vez iniciada la sesión, ve a la página Productos reCAPTCHA y haz clic en Empezar. Esto te llevará al área de administración, donde puedes registrar un nuevo sitio haciendo clic en + Crear. Introduce una etiqueta para identificar el CAPTCHA y, a continuación, elige un tipo de desafío. Para esta guía, selecciona reCAPTCHA v2 y elige la opción Casilla de verificación «No soy un robot».
Tras seleccionar el tipo de desafío, añade el dominio de tu sitio sin prefijos (como example.com). A continuación, haz clic en Enviar y copia la Clave del Sitio y la Clave Secreta generadas para ti.
A continuación, vuelve a tu panel de WordPress. Ve a Plugins > Añadir nuevo, busca Advanced Google reCAPTCHA y haz clic en Instalar ahora y Activar.
Una vez activado, ve a Configuración > Advanced Google reCAPTCHA. Selecciona el Captcha y pega la Clave del Sitio y la Clave Secreta de Google en sus respectivos campos.
Además, elige cómo quieres que aparezca el CAPTCHA y, a continuación, pasa a la pestaña Dónde Mostrar. Aquí, activa reCAPTCHA en formularios y marca tanto Pago de WooCommerce como Registro de WooCommerce. Por último, haz clic en Guardar cambios para aplicar la configuración.
Una vez completada esta configuración, abre la página de pago de tu tienda para comprobar que el CAPTCHA funciona. Si todo está configurado correctamente, la casilla de verificación No soy un robot debería aparecer ahora donde sea necesario.
3. Utiliza plugins antispam
Aunque el CAPTCHA ayuda a evitar que los bots envíen pedidos spam, no siempre es suficiente, especialmente cuando se trata de tácticas de spam más sofisticadas. Por eso necesitas plugins antispam. Estos plugins funcionan filtrando automáticamente los correos electrónicos de spam, bloqueando las direcciones IP sospechosas y detectando patrones de pedidos fraudulentos antes de que lleguen a tu base de datos de WooCommerce.
WooCommerce no incluye protección antispam integrada para los pedidos, por lo que el uso de un plugin específico puede reducir significativamente el spam sin añadir complicaciones para los clientes reales.
Existen varios plugins antispam eficaces, pero dos de las mejores opciones para las tiendas WooCommerce son CleanTalk Spam Protect y Akismet. Vamos a ver cómo instalar y configurar CleanTalk, que está diseñado específicamente para la prevención de spam en pedidos de WooCommerce.
Cómo configurar CleanTalk Spam Protect para WooCommerce
CleanTalk es un servicio antispam premium que filtra los pedidos de spam, bloquea las cuentas falsas y evita los registros de bots, todo ello sin necesidad de CAPTCHA. Funciona silenciosamente en segundo plano, comprobando los pedidos y los envíos de formularios en su base de datos global de spam.
Para empezar, ve a tu panel de WordPress y ve a Plugins > Añadir nuevo. En la barra de búsqueda, escribe CleanTalk Spam Protect. Cuando lo encuentres, haz clic en Instalar ahora y, a continuación, en Activar.
Tras la activación, ve a Configuración > Antispam de CleanTalk. Se te pedirá que introduzcas una Clave de Acceso. Como CleanTalk es un servicio de pago, tendrás que crear una cuenta en el sitio web de CleanTalk y suscribirte.
Tras registrarte, CleanTalk te proporcionará una Clave de Acceso, que deberás copiar y pegar en la configuración del plugin.
Una vez que hayas introducido la clave, puedes confirmar si funcionará para tus formularios de pago de WooCommerce haciendo clic en el enlace Configuración avanzada y desplazándote hasta la sección WooCommerce.
Cuando hayas activado estos ajustes, haz clic en Guardar cambios. Tu tienda WooCommerce está ahora protegida contra pedidos spam y registros falsos.
4. Desactivar el Pago Invitado
Una de las causas de los pedidos spam en WooCommerce es que la opción de pago invitado está activada por defecto.
Permitir a los clientes realizar pedidos sin crear una cuenta acelera el proceso de pago, pero también permite a los bots y a los estafadores enviar pedidos falsos sin restricciones.
Desactivar el pago invitado obliga a los clientes a crear una cuenta antes de realizar un pedido. Este sencillo paso añade una capa de seguridad porque los bots suelen tener dificultades para completar los campos adicionales necesarios para el registro, especialmente cuando se combina con CAPTCHA o verificación por correo electrónico.
Sin embargo, antes de desactivar el pago como invitado, considera cómo podría afectar a tus ventas. Algunos clientes prefieren una experiencia de compra sin complicaciones y podrían abandonar su carrito si se ven obligados a crear una cuenta. Si tu tienda tiene muchos compradores ocasionales, es posible que quieras explorar otras medidas de seguridad antes de desactivar por completo el pago como invitado.
Para desactivar el pago invitado, ve a tu panel de control de WordPress y ve a WooCommerce > Configuración. En el menú de configuración, haz clic en la pestaña Cuentas y Privacidad.
Una vez hecho esto, desplázate hacia abajo y haz clic en Guardar Cambios.
Una vez desactivada la opción de pago como invitado, los clientes ya no podrán pagar como invitados. En su lugar, se les pedirá que inicien sesión con una cuenta existente o que creen una nueva antes de completar su compra.
5. Utiliza plugins antifraude
Incluso con medidas CAPTCHA y antispam, pueden producirse transacciones fraudulentas. Esto es especialmente común con estafadores que utilizan tarjetas de crédito robadas, datos de clientes falsos o pedidos generados masivamente para explotar las tiendas WooCommerce.
Para combatirlo, los plugins antifraude añaden una capa adicional de seguridad bloqueando las transacciones sospechosas antes de que se completen.
Estos plugins analizan varios factores de riesgo, como direcciones IP, dominios de correo electrónico, detalles de facturación y comportamientos inusuales en los pedidos, para detectar posibles fraudes. Si un pedido se considera de alto riesgo, el plugin puede bloquearlo automáticamente, retenerlo para una revisión manual o notificarlo al administrador de la tienda.
Una de las mejores opciones disponibles para WooCommerce es Fraud Prevention For WooCommerce and EDD (antes Woo Blocker Lite). Veamos cómo configurarlo.
Cómo configurar Fraud Prevention For WooCommerce
Fraud Prevention For WooCommerce and EDD es un plugin antifraude ligero pero potente, diseñado para evitar pedidos falsos y transacciones de spam. Permite a los propietarios de las tiendas crear reglas personalizadas de prevención del fraude, ver los detalles de los usuarios incluidos en la lista negra y generar informes de fraude, todo ello sin afectar a los clientes reales.
Para instalarlo, ve a tu panel de WordPress, ve a Plugins > Añadir nuevo y busca Fraud Prevention For WooCommerce and EDD. Cuando lo encuentres, haz clic en Instalar ahora y luego en Activar.
Tras la activación, se te mostrará un vídeo de demostración en el que se explica lo que puede hacer el plugin. Puedes acceder a la página de configuración de Prevención de Fraudes en Dotstore Plugins > Prevención de Fraudes. Aquí es donde configurarás los ajustes de detección de fraude para tu tienda.
Decide si quieres bloquear a los usuarios fraudulentos durante el registro, el pago o ambos, seleccionando las opciones adecuadas en la sección Configuración de la lista negra. Marca las casillas en función de cuándo quieras que el plugin detecte y evite la actividad fraudulenta.
También puedes incluir manualmente en la lista negra a usuarios concretos en función de su dirección de correo electrónico, dirección IP, estado o código postal. Si has observado intentos de fraude repetidos por parte de una fuente concreta, añadirla a la lista negra evitará que se realicen futuros pedidos de spam.
Además, el plugin proporciona un informe de fraude detallado que te permite supervisar la actividad sospechosa y realizar un seguimiento de los pedidos bloqueados. Esto ayuda a los propietarios de tiendas a identificar rápidamente patrones en las transacciones fraudulentas y a tomar medidas proactivas para asegurar su sitio de WooCommerce.
Una vez que hayas configurado los ajustes necesarios, haz clic en Guardar Cambios. Tu tienda ya está protegida contra las tácticas de fraude más comunes y los pedidos de spam.
Resumen
El spam en los pedidos de WooCommerce puede ser un problema grave, pero con las medidas de seguridad adecuadas, puedes mantener tu tienda a salvo.
En Kinsta, contamos con un equipo de seguridad 24/7/365, escaneos de malware cada tres minutos y protección Cloudflare de nivel empresarial que ayudan a bloquear el spam y la actividad fraudulenta antes de que lleguen a tu tienda. Nuestro alojamiento de alto rendimiento para WooCommerce puede aumentar la velocidad de tu tienda hasta en un 200 %, garantizando transacciones fluidas y seguras.
Si tu alojamiento actual no es suficiente, prueba el Alojamiento para WooCommerce de Kinsta para conseguir mayor velocidad y seguridad.
