Alternativa a Akismet: protección antispam que no sale de tu web

Akismet viene en cada instalación nueva de WordPress, antes incluso de que instales tu primer plugin. Y funciona: la tasa de detección es buena, la puesta en marcha lleva dos minutos y la zona de comentarios se mantiene limpia. Hay motivos sólidos para que el plugin lleve años siendo el estándar.

Aun así, hay dos cosas que molestan. La primera: cada comentario y cada mensaje de formulario abandona tu web. El texto completo viaja a un servidor ajeno para su análisis, junto con la dirección IP y el correo de quien lo envía. La segunda: el uso comercial exige licencia de pago, algo que muchos descubren tras el primer aviso. Quien gestiona la web de una empresa con el plan gratuito está fuera de las condiciones de licencia.

Este artículo ordena las alternativas, explica cómo funciona por dentro una protección antispam sin nube y señala los puntos en los que los métodos locales rinden peor que un servicio en la nube.

Todos los precios son netos y órdenes de magnitud, a mediados de agosto de 2026. Los proveedores cambian sus tarifas a menudo, así que revisa la página de precios vigente antes de decidir.

Dónde se atascan quienes usan Akismet

1. Cada envío sale de tu web

Para que Akismet pueda valorar un comentario, tiene que conocerlo. Por eso no se transmite una simple suma de comprobación, sino el contenido en sí: texto del comentario, nombre, dirección de correo, web indicada, dirección IP, agente de usuario y la página visitada. Con los formularios de contacto ocurre lo mismo en cuanto activas la conexión con Akismet. Técnicamente se entiende, porque sin texto no hay valoración de texto. Pero significa que los mensajes que alguien te escribe en confianza aterrizan primero en casa de un proveedor.

2. El uso comercial exige licencia de pago

El plan gratuito de Akismet está pensado para webs personales y no comerciales. En cuanto la web lleva publicidad, tiene una tienda enganchada o simplemente hay una empresa detrás, el uso corresponde a un plan de pago. El orden de magnitud para una web comercial individual ronda los 120 euros al año, a mediados de agosto de 2026. No es un precio injusto para una herramienta que trabaja a diario. Lo incómodo es que mucha gente no conoce la frontera y vive la factura como una sorpresa.

3. Cómo funciona por dentro la protección local

Quien quiere evitar la nube necesita métodos que se apañen sin conocimiento ajeno. Tres piezas cargan con la mayor parte del trabajo:

Los campos honeypot son campos de entrada que existen en el formulario pero están ocultos por CSS. Una persona no los ve y los deja vacíos. Un bot lee el formulario en el HTML y rellena obedientemente todo lo que encuentra. Si el campo invisible viene lleno, el remitente es automatizado con altísima probabilidad.

Las trampas de tiempo miden cuánto pasa entre que se carga la página y se envía el formulario. Una persona necesita unos segundos como mínimo para escribir un mensaje de contacto. Los bots rellenan formularios en milisegundos, porque no leen el contenido, solo pueblan los campos. Un envío a los 400 milisegundos no es un cliente.

El análisis de patrones y heurísticas mira el contenido en sí: proporción de enlaces respecto al texto, caracteres cirílicos en mitad de una frase en español, frases publicitarias típicas, mensajes idénticos desde remitentes cambiantes, campos rellenados en un orden que ningún navegador produce. Cada señal por separado es débil. Sumadas dan una decisión sólida, y todo ello en tu propio servidor.

Las cinco alternativas

Antispam Bee: el clásico alemán

Antispam Bee lleva muchos años siendo la respuesta obvia a la pregunta por Akismet en el ámbito de habla alemana: gratuito, GPL, sin cuenta obligatoria y trabajando en buena parte en local. El plugin combina heurísticas, comprobación de idioma y cotejos opcionales, pero en funcionamiento normal mantiene el análisis dentro de tu instalación. Con el spam de comentarios la detección es sólida y a la mayoría de blogs les sobra.

El límite está en el alcance: Antispam Bee se ocupa de comentarios y trackbacks. No cubre formularios de contacto, registros de usuarios ni procesos de WooCommerce como reseñas o notas de pedido. Quien tiene spam no solo bajo las entradas del blog, sino también en el buzón, necesita algo más al lado.

CleanTalk: mucha detección, pero en la nube

CleanTalk está entre los servicios con mejores tasas de detección del sector, y bastante más allá de los comentarios: formularios, registros, procesos de tienda. Eso viene de la misma mecánica que en Akismet, una base de datos central que ve señales de muchísimas webs a la vez.

El precio a pagar es el mismo que con Akismet: el análisis ocurre en la nube. Necesitas un contrato de encargado del tratamiento, una entrada en el registro de actividades de tratamiento y un apartado en la política de privacidad. A eso se suman los límites de peticiones del plan, que se notan en una web con mucho tráfico. CleanTalk es la elección correcta cuando la tasa de detección está por encima de todo lo demás.

Cloudflare Turnstile: captcha sin acertijos de imágenes

Turnstile es la respuesta ligera al problema del captcha: sin semáforos, sin bicicletas, sin letras deformadas. Por lo general el visitante solo ve una marca de verificación breve y la valoración ocurre en segundo plano. Para la usabilidad es una mejora clara frente a los acertijos de imágenes.

Quedan dos limitaciones. La primera: vuelves a trasladar el análisis a un servicio estadounidense, así que el asunto de la protección de datos no está resuelto, solo se ha mudado de sitio. La segunda: Turnstile protege el acto de enviar, no el contenido. Distingue bot de persona, pero no texto publicitario de consulta real. Alguien que teclea spam a sueldo entra igual.

reCAPTCHA: extendido y discutido

reCAPTCHA de Google es el método más conocido y está incrustado en incontables formularios. Detecta bots con fiabilidad y en volúmenes normales no cuesta nada. A cambio necesita consentimiento, porque antes de la comprobación ya fluyen datos personales hacia Google, lo que obliga a meterlo en el banner de consentimiento y a atarlo a una aceptación activa. Cómo montar esa parte con orden lo explicamos en nuestro artículo sobre el aviso de cookies y el RGPD.

A eso se suma la accesibilidad: la alternativa en audio funciona, pero es penosa, y las personas con lector de pantalla o con limitaciones motrices fracasan con una frecuencia superior a la media. Sobre captchas y accesibilidad tenemos un artículo aparte. Para un formulario de contacto que debe traer consultas, cada obstáculo adicional es una consulta perdida.

Wellenbrecher: comprobación local para toda la web

Es nuestro propio plugin, así que aquí vamos con la visera levantada. Wellenbrecher es antispam local-first para WordPress y protege comentarios, formularios, registros y WooCommerce. El análisis ocurre en tu propio servidor: sin nube, sin necesidad de contrato de encargado del tratamiento, sin límite de peticiones, y el uso comercial es libre.

Eso cierra exactamente el hueco que queda abierto entre las opciones anteriores. Antispam Bee trabaja en local, pero solo cubre comentarios. CleanTalk lo cubre todo, pero comprueba en la nube. Wellenbrecher junta ambas cosas: el mismo alcance, sin fuga de datos. Como parte de la flota de hafenstudios se entiende con Leadlotse como fuente de formularios, de modo que los formularios de contacto quedan protegidos sin configuración adicional. Si ya estás ordenando el lado de los formularios, nuestra comparativa de alternativas a Contact Form 7 es el artículo vecino que toca.

Los precios: Free no cuesta nada. Pro está en 19 euros al año para una web y la licencia de flota cubre 10 webs por 69 euros. Wellenbrecher figura en el directorio de WordPress desde el 21 de agosto de 2026 y su nivel Free se puede usar también de forma comercial sin coste. Todos los niveles están en la página de precios. Para situarlo: Akismet se mueve en el orden de los 120 euros al año en uso comercial, y CleanTalk y servicios comparables comprueban en la nube y limitan las peticiones. Ambas cosas a mediados de agosto de 2026 y sin garantía de que los proveedores lo mantengan así la semana que viene.

Tabla comparativa

RGPD: una valoración, no asesoramiento jurídico

Por delante, porque importa: lo que sigue es nuestra valoración como desarrolladores, no asesoramiento jurídico. Para una evaluación vinculante de tu web concreta, pregunta a alguien con la habilitación correspondiente.

La diferencia entre comprobación local y comprobación en la nube no es un detalle en materia de protección de datos, es el núcleo del asunto. En una comprobación en la nube transmites, por cada comentario y cada mensaje de formulario, lo siguiente: el texto completo, el nombre y el correo de quien escribe, su dirección IP, el agente de usuario y la URL visitada. La IP y la dirección de correo son datos personales, y el texto del mensaje puede serlo también, cosa que en las consultas de contacto ocurre casi siempre.

De ahí salen tres consecuencias prácticas. Primera: necesitas un contrato de encargado del tratamiento con el proveedor y una entrada en el registro de actividades de tratamiento. Segunda: la transmisión tiene que figurar en la política de privacidad, con proveedor, finalidad y país de destino. Tercera: con proveedores fuera de la UE hay que documentar la transferencia internacional, lo que supone trabajo adicional de análisis y justificación.

Si en cambio la comprobación ocurre en tu propio servidor, ese bloque desaparece. No hay destinatario, así que tampoco hay contrato, ni transferencia, ni párrafo en la política de privacidad que haya que explicar. Esa es la ventaja real de los métodos locales, y en la práctica pesa más que cualquier punto porcentual de tasa de detección.

Dónde llega a su límite la comprobación local

Una contracuenta honesta forma parte del trato, si no la comparativa no lo es. Una comprobación local no tiene reputación de red. Si una oleada de spam golpea a la vez miles de webs, un servicio en la nube ve ese patrón tras los primeros cientos de impactos y desde ahí bloquea en todas partes. Tu instalación solo ve lo que llega a tu casa y tiene que formarse el juicio por su cuenta.

Los métodos locales lo compensan con heurísticas, trampas de tiempo y honeypots, y eso llega sorprendentemente lejos en el día a día, porque la mayoría de los bots caen en las comprobaciones mecánicas antes de que el contenido llegue a valorarse. Con patrones recién estrenados, en cambio, son más lentos que una red que observa millones de páginas a la vez.

Una nota sobre el estado actual: la versión Free está disponible en el directorio de WordPress y se puede usar también de forma comercial. Si primero quieres ver cuánto caza en tu web una comprobación puramente local, la prueba no te cuesta más que la instalación.

Preguntas frecuentes