Спам через Contact Form 7 и WPForms чаще всего лезет туда, где защита не настроена

Обе формы обычно ломают по одному сценарию: боты массово шлют запросы через публичный endpoint, а сайт принимает их как обычные заявки. Поэтому первая цель — не «поймать весь спам», а отсеять автоматические отправки до записи в базу и письма в почту.

Для Contact Form 7 включите защиту по умолчанию: reCAPTCHA, если она уже используется у вас на сайте, и honeypot-поле через отдельный антиспам-плагин. Для WPForms проверьте встроенный антиспам, скрытое поле-ловушку и ограничение повторных отправок. Если форма на лендинге простая, не перегружайте её лишними полями — спам-фильтр лучше работает, когда есть хоть один дополнительный сигнал.

Дальше добавьте слой на уровне сайта: ограничение частоты отправок с одного IP, блокировку подозрительных стран, если трафик там вам не нужен, и запрет на массовые POST-запросы к странице формы. Полезно также отключить публичные уведомления о неудачных попытках: боты часто проверяют ответ сервера и подбирают обход.

И ещё одна частая ошибка: ставят только капчу и считают задачу закрытой. На практике лучше работает связка из 2–3 барьеров: honeypot, антиспам-логика плагина и серверный фильтр. Так вы режете мусор, но не мешаете живым клиентам отправить заявку.