Bloquear bots en formularios para PrestaShop sin captcha

Descripción

El captcha ya no para a nadie, y a tus clientes sí

Los servicios que resuelven captchas por ti cobran céntimos por cada mil, y los modelos de visión hacen el resto gratis. Mientras tanto, el captcha se lo comen tus clientes: una imagen borrosa más entre el carrito y la compra, un problema de accesibilidad y un dato más que se va a un tercero.

Ecom Blockbot le da la vuelta al planteamiento. En vez de poner una prueba delante del cliente, pone una veintena de comprobaciones invisibles detrás. Ninguna es infalible por separado; juntas hacen que mandar spam a tu tienda deje de salir a cuenta, que es de lo que se trata: el spam es un negocio, y cuando cuesta más de lo que rinde, se van a otra tienda.

Un robot de spam envía el formulario directamente a la URL, sin llegar a abrir la página. No ejecuta JavaScript, así que no consigue la ficha firmada que hace falta para enviar. Se queda ahí. Ese es el 95 % del spam.

Qué hace

Rechaza los envíos automáticos de cinco formularios de tu tienda:

• Registro de cuenta
• Formulario de contacto
• Suscripción al boletín
• Creación de cuenta durante la compra
• Identificación (viene apagado; enciéndelo si te atacan las contraseñas por fuerza bruta)

Y lo hace con estas comprobaciones, todas invisibles para tu cliente:

Campos trampa	Campos invisibles dentro del formulario. Si llegan rellenos, los ha rellenado un programa.
Ficha firmada	Un permiso que firma tu servidor con una clave secreta. No se puede falsificar, caduca a los 30 minutos y solo vale una vez.
Prueba de trabajo	El navegador tiene que resolver un cálculo antes de poder enviar. A tu cliente le cuesta unas 50 milésimas de segundo; a quien quiere mandar cien mil envíos le cuesta horas de procesador.
Exigir JavaScript	Es la comprobación que corta a curl, a Python y a todos los robots de línea de órdenes.
Tiempo mínimo	Una persona tarda segundos en rellenar un formulario. Un robot lo envía al instante.
Señales de comportamiento	Ratón, teclado, toques y la marca que encienden Selenium, Puppeteer y Playwright.
Análisis del navegador	Detecta al que dice ser HeadlessChrome, python-requests, Go-http-client o va sin identificar.
Origen y referente	Un formulario de tu tienda se envía desde tu tienda.
Límite por IP	Nadie se registra ocho veces en una hora.
Correos de usar y tirar	569 dominios temporales de serie, más los que añadas tú.
Dominio sin buzón	Si el dominio del correo no puede recibir nada, no es un cliente.
Análisis del contenido	Enlaces de más, alfabetos que no pintan nada en tu tienda y las palabras que tú marques.
Bloqueo automático	Quien acumula detecciones se queda fuera unas horas y se le desbloquea solo.

Cada comprobación que falla suma puntos. Cuando se pasa del umbral —100 de fábrica— el envío se rechaza. De serie solo llegan a 100 por sí solas las comprobaciones que no se equivocan nunca (campo trampa relleno, ficha ausente, ficha manipulada, cálculo sin resolver, ficha reutilizada). Las demás suman entre 25 y 80: hacen falta dos. Por eso el módulo no echa a clientes de verdad recién instalado.

Cómo saber que de verdad está bloqueando

Un módulo antispam que funciona no se nota en nada, y eso deja al comerciante con la duda. Por eso este trae un botón que lo demuestra.

Si sale en verde, está bloqueando y te dice el motivo de cada uno. Si sale en rojo, te dice qué formulario ha pasado el filtro. Si sale en naranja, es que a alguno no se ha podido llegar y te explica por qué. En la misma pantalla tienes además la orden de terminal preparada con la URL de tu tienda, por si prefieres comprobarlo por tu cuenta.

Cómo se configura

Una sola pantalla, cinco pestañas y un único botón de guardar.

General

Formularios

Comprobaciones

Contenido y correo

Límites y bloqueos

El registro: qué se ha bloqueado y por qué

Se puede filtrar por cualquier columna, y cada línea trae los botones Bloquear y Permitir para meter esa IP en una lista de un clic. Las listas admiten una dirección suelta, un rango como 88.20.30.0/24 o un comodín como 88.20.30.*, con caducidad opcional. La lista blanca siempre gana: a una IP que esté ahí no se le comprueba nada. Es la salida de emergencia si alguna vez bloqueas a un cliente por error.

Qué ve el cliente

Nada. Literalmente nada nuevo. Esta captura enseña, resaltados a la fuerza, los campos que el módulo mete en el formulario: en tu tienda no se ve ninguno de estos recuadros.

Requisitos y compatibilidad

PrestaShop	8.0 a 9.x
PHP	7.4 y 8.x
Multitienda	Sí. Cada tienda con su configuración; la pantalla avisa de lo que es común
Servicios externos	Ninguno. No hay claves de API que pedir ni cuentas que crear
Overrides	Ninguno. No toca ni una plantilla del tema ni del núcleo
Composer	No hace falta. El ZIP se sube y ya está
Idiomas	Castellano, con las cadenas fuente en inglés
Caché y CDN	Compatible: lo único que cambia en cada visita se pide aparte y no se cachea
Licencia	AFL-3.0

Preguntas frecuentes

¿Y si bloquea a un cliente de verdad?

Busca su IP en el registro, mira el motivo y mete esa dirección en la lista blanca desde la propia línea. A partir de ahí no se le comprueba nada. Y si prefieres ir sobre seguro, el modo Aprendizaje registra todo sin bloquear nada, para que puedas mirar unos días antes de apretar.

¿Ralentiza la tienda?

No. En una página normal el módulo no hace ni una consulta a la base de datos: solo trabaja cuando alguien envía uno de los formularios protegidos. El cálculo que resuelve el navegador cuesta unas 50 milésimas de segundo y ocurre mientras el cliente rellena.

¿Funciona con mi plantilla?

Sí. No toca ninguna plantilla ni instala ningún override: localiza los formularios por el nombre del campo de envío, que lo pone PrestaShop y no el tema.

Mi tienda tiene overrides y módulos a medida, ¿sirve igual?

Sí, y está pensado para eso. El registro y el boletín se cortan en el despachador de PrestaShop, antes de que la petición llegue a ningún controlador, precisamente porque muchos temas y módulos de compra en un paso traen overrides que no llaman a los hooks del núcleo. Ahí no hay override que valga.

¿Manda datos a algún sitio?

No. Todo se resuelve dentro de tu tienda. Ni Google, ni servicios externos, ni claves de API. No añade nada que declarar en tu política de privacidad.

¿Y si un visitante tiene JavaScript desactivado?

No podrá enviar los formularios protegidos, y es a propósito: es justo lo que corta a los robots de línea de órdenes. Hoy navega sin JavaScript menos del 0,2 % de la gente, y esa gente ya no puede usar medio PrestaShop. Aun así, la comprobación se puede apagar desde la configuración.

Sigo recibiendo spam, ¿qué toco?

Por este orden: mira el registro a ver si esos envíos aparecen y con qué puntuación; sube los segundos mínimos a 4 o 5; baja el umbral a 70; añade a las palabras vigiladas lo que se repita; y baja a 2 las detecciones antes de bloquear una IP.

Qué incluye la compra

• El módulo en un ZIP, listo para subir desde el back-office.
• Manual en PDF con capturas, más tres documentos técnicos (técnico, desarrollo y guía de usuario).
• 569 dominios de correo desechable ya cargados.
• Traducción al castellano completa.
• Actualizaciones y soporte: [PLAZO DE SOPORTE]
• Precio: [PRECIO]