Alternativa a Akismet: protezione antispam che non lascia il sito

Akismet è presente in ogni installazione nuova di WordPress, ancora prima che tu installi il primo plugin. E funziona: il tasso di riconoscimento è buono, la configurazione richiede due minuti, l'area commenti resta pulita. Ci sono buoni motivi se il plugin è lo standard da anni.

Due cose danno comunque fastidio. La prima: ogni commento e ogni messaggio dei moduli lascia il tuo sito. Il testo completo va a un server esterno per il controllo, insieme all'indirizzo IP e all'indirizzo e-mail di chi scrive. La seconda: l'uso commerciale richiede una licenza a pagamento, cosa che molti scoprono solo dopo il primo sollecito. Chi gestisce il sito di un'azienda con il piano gratuito si muove fuori dalle condizioni di licenza.

Questo articolo mette in ordine le alternative, spiega come lavora tecnicamente una protezione antispam senza cloud e indica i punti in cui i procedimenti locali rendono meno di un servizio cloud.

Tutti i prezzi sono al netto delle imposte e sono ordini di grandezza, a metà agosto 2026. I fornitori cambiano spesso le tariffe, quindi conviene verificare la pagina prezzi aggiornata prima di decidere.

Dove si inceppa chi usa Akismet

1. Ogni invio lascia il sito

Perché Akismet possa valutare un commento, deve conoscerlo. Non viene quindi trasmesso un semplice codice di controllo, ma il contenuto stesso: testo del commento, nome, indirizzo e-mail, sito indicato, indirizzo IP, user agent e pagina visitata. Per i moduli di contatto vale lo stesso non appena attivi il collegamento con Akismet. Tecnicamente si capisce, perché senza testo non c'è valutazione del testo. Significa però che i messaggi che qualcuno ti scrive in confidenza atterrano prima da un fornitore.

2. L'uso commerciale richiede una licenza a pagamento

Il piano gratuito di Akismet è pensato per siti personali e non commerciali. Non appena sul sito gira pubblicità, è agganciato un negozio o c'è semplicemente un'azienda dietro, l'uso rientra in un piano a pagamento. L'ordine di grandezza per un singolo sito commerciale si aggira sui 120 euro all'anno, a metà agosto 2026. Non è un prezzo ingiusto per uno strumento che lavora ogni giorno. La parte sgradevole è che molti gestori non conoscono il confine e vivono la fattura come una sorpresa.

3. Come lavora tecnicamente la protezione locale

Chi vuole evitare il cloud ha bisogno di procedimenti che facciano a meno di conoscenze esterne. Tre elementi portano la maggior parte del lavoro:

I campi honeypot sono campi di inserimento presenti nel modulo ma nascosti via CSS. Una persona non li vede e li lascia vuoti. Un bot legge il modulo nell'HTML e riempie diligentemente tutto quello che trova. Se il campo invisibile risulta compilato, il mittente è automatizzato con altissima probabilità.

Le trappole temporali misurano quanto tempo passa fra il caricamento della pagina e l'invio del modulo. Una persona impiega almeno qualche secondo per scrivere un messaggio di contatto. I bot riempiono i moduli in millisecondi, perché non leggono il contenuto, popolano soltanto i campi. Un invio dopo 400 millisecondi non è un cliente.

L'analisi di schemi ed euristiche guarda il contenuto stesso: rapporto fra link e testo, caratteri cirillici in mezzo a una frase in italiano, formule pubblicitarie tipiche, messaggi identici da mittenti che cambiano, campi compilati in un ordine che nessun browser produce. Ogni singolo segnale è debole. Sommati danno una decisione solida, e tutto questo sul tuo server.

Le cinque alternative

Antispam Bee: il classico tedesco

Antispam Bee è da molti anni la risposta ovvia alla domanda su Akismet nell'area di lingua tedesca: gratuito, GPL, senza obbligo di account e in buona parte locale. Il plugin combina euristiche, controllo della lingua e confronti facoltativi, ma in esercizio normale tiene il controllo sulla tua installazione. Con lo spam nei commenti il riconoscimento è solido e per la maggior parte dei blog basta e avanza.

Il limite sta nell'ampiezza: Antispam Bee si occupa di commenti e trackback. Non copre moduli di contatto, registrazioni utente né processi WooCommerce come recensioni o note d'ordine. Chi ha spam non solo sotto gli articoli ma anche nella casella di posta ha bisogno di qualcosa in più accanto.

CleanTalk: riconoscimento alto, in cambio cloud

CleanTalk è fra i servizi con i migliori tassi di riconoscimento sul mercato, e ben oltre i commenti: moduli, registrazioni, processi di negozio. Dipende dalla stessa meccanica di Akismet, cioè una banca dati centrale che vede i segnali di moltissimi siti contemporaneamente.

Il prezzo da pagare è lo stesso di Akismet: il controllo avviene nel cloud. Servono un accordo sul trattamento dei dati con il responsabile esterno, una voce nel registro dei trattamenti e un passaggio nell'informativa privacy. Si aggiungono i limiti di richieste del piano, che su un sito molto frequentato si fanno sentire. CleanTalk è la scelta giusta quando il tasso di riconoscimento viene prima di tutto il resto.

Cloudflare Turnstile: captcha senza rompicapo di immagini

Turnstile è la risposta snella al problema del captcha: niente semafori, niente biciclette, niente lettere deformate. Di norma il visitatore vede solo un breve segno di spunta e la valutazione avviene in secondo piano. Per l'usabilità è un chiaro passo avanti rispetto ai rompicapo di immagini.

Restano due limiti. Primo: sposti di nuovo il controllo su un servizio statunitense, quindi la questione della protezione dei dati non è risolta, ha solo cambiato indirizzo. Secondo: Turnstile protegge l'atto di invio, non il contenuto. Distingue il bot dalla persona, ma non il testo pubblicitario dalla richiesta reale. Una persona pagata per digitare spam passa.

reCAPTCHA: diffuso e discusso

Il reCAPTCHA di Google è il procedimento più noto ed è montato in innumerevoli moduli. Riconosce i bot in modo affidabile e con volumi normali non costa nulla. In cambio richiede consenso, perché prima ancora del controllo passano dati personali verso Google, il che lo obbliga a entrare nel banner del consenso e lo lega a un assenso attivo.

Si aggiunge l'accessibilità: l'alternativa audio funziona ma è faticosa, e chi usa uno screen reader o ha limitazioni motorie fallisce molto più spesso della media. Su captcha e accessibilità abbiamo un articolo a parte. Per un modulo di contatto che deve portare richieste, ogni ostacolo in più è una richiesta persa.

Wellenbrecher: controllo locale per tutto il sito

È il nostro plugin, quindi qui a visiera alzata. Wellenbrecher è antispam local-first per WordPress e protegge commenti, moduli, registrazioni e WooCommerce. Il controllo avviene sul tuo server: niente cloud, nessun accordo sul trattamento da firmare, nessun limite di richieste, e l'uso commerciale è libero.

Questo chiude esattamente la lacuna che resta aperta fra le opzioni precedenti. Antispam Bee lavora in locale ma copre solo i commenti. CleanTalk copre tutto ma controlla nel cloud. Wellenbrecher unisce le due cose: la stessa ampiezza, senza deflusso di dati. Come parte della flotta hafenstudios si intende con Leadlotse come sorgente dei moduli, così i moduli di contatto risultano protetti senza configurazione aggiuntiva. Se stai già mettendo ordine sul lato moduli, il nostro confronto fra alternative a Contact Form 7 è l'articolo vicino che serve.

I prezzi: Free non costa nulla. Pro sta a 19 euro all'anno per un sito, la licenza flotta copre 10 siti per 69 euro. Wellenbrecher è nella directory di WordPress dal 21 agosto 2026 e il livello Free si usa gratuitamente anche in ambito commerciale. Tutti i livelli sono sulla pagina dei prezzi. Per collocare le cifre: Akismet si muove intorno ai 120 euro all'anno per uso commerciale, mentre CleanTalk e servizi simili controllano nel cloud e limitano le richieste. Entrambi i dati a metà agosto 2026 e senza garanzia che i fornitori la settimana prossima facciano ancora così.

Tabella di confronto

GDPR: un inquadramento, non consulenza legale

Prima di tutto, perché conta: quello che segue è il nostro inquadramento da sviluppatori, non consulenza legale. Per una valutazione vincolante sul tuo sito concreto conviene rivolgersi a chi ne ha il titolo.

La differenza fra controllo locale e controllo nel cloud non è un dettaglio in materia di protezione dei dati, è il nocciolo. Con un controllo nel cloud trasmetti, per ogni commento e ogni messaggio dei moduli, in genere: il testo completo, nome e indirizzo e-mail di chi scrive, il suo indirizzo IP, lo user agent e l'URL visitata. Indirizzo IP e indirizzo e-mail sono dati personali, e anche il testo del messaggio può esserlo, cosa che nelle richieste di contatto succede quasi sempre.

Ne discendono tre conseguenze pratiche. Prima: serve un accordo sul trattamento con il fornitore, nominato responsabile esterno, e una voce nel registro dei trattamenti. Seconda: il trasferimento deve comparire nell'informativa privacy, con fornitore, finalità e paese destinatario. Terza: con fornitori fuori dall'Unione europea va documentato il trasferimento verso paesi terzi, il che comporta lavoro aggiuntivo di verifica e motivazione.

Se invece il controllo avviene sul tuo server, tutto questo blocco cade. Non c'è destinatario, quindi niente accordo, niente trasferimento e nessun paragrafo dell'informativa da spiegare. È il vero vantaggio dei procedimenti locali, e nella pratica pesa più di qualunque punto percentuale di riconoscimento.

Dove il controllo locale trova il suo limite

Un conto onesto anche dall'altra parte fa parte del gioco, altrimenti il confronto non è un confronto. Un controllo locale non dispone di una reputazione di rete. Se un'ondata di spam colpisce migliaia di siti nello stesso momento, un servizio cloud vede quello schema dopo le prime centinaia di casi e da lì blocca ovunque. La tua installazione vede solo quello che arriva da te e deve formarsi il giudizio da sola.

I procedimenti locali compensano con euristiche, trappole temporali e honeypot, e nella pratica quotidiana questo porta sorprendentemente lontano, perché la maggior parte dei bot cade sui controlli meccanici prima ancora che il contenuto venga valutato. Davanti a schemi nuovissimi restano però più lenti di una rete che osserva milioni di pagine contemporaneamente.

Una nota sullo stato attuale: la versione Free è disponibile nella directory di WordPress e si può usare anche in ambito commerciale. Se prima vuoi vedere quanto intercetta sul tuo sito un controllo puramente locale, la prova non costa nulla oltre all'installazione.

Domande frequenti