Spam i kontaktformulär: honeypot, reCAPTCHA och Turnstile

Du stoppar spam i kontaktformuläret genom att lägga skydd som besökaren inte märker: det din plattform redan har, ett dolt fält som bara robotar fyller i (en så kallad honeypot) och vid behov en osynlig kontroll som reCAPTCHA v3 eller Cloudflare Turnstile. Bildpussel behövs sällan, och de stänger ute riktiga kunder.

Det här är för dig som har ett formulär på Wix, Squarespace eller WordPress och får falska förfrågningar med länkar i inkorgen. När du är klar har du ett skydd som passar din plattform, en plats där misstänkt spam sparas så att du kan rädda felmarkerade meddelanden och ett test som visar att en riktig kund kommer fram. Räkna med en timme. Menynamn kan skilja sig i din version, och uppgifterna gäller i skrivande stund, oktober 2026.

Det här behöver du

Administratörsrätt på sajten och åtkomst till formulärets inställningar.
Ett tiotal exempel på spam du fått. Robotarna fyller i allt och klistrar in länkar. Människor som skickar säljbrev stoppas inte av något CAPTCHA, så de två slagen kräver olika grepp.
En mobil på mobilnät och en andra e-postadress att testa med.
På WordPress: vilket formulärtillägg du kör, till exempel WPForms, Contact Form 7 eller Gravity Forms.

Steg för steg

Sortera spamet. Slumpmässiga namn, engelska texter och länkar är robotar, och dem stoppar du tekniskt. Personliga säljbrev om SEO eller webbdesign stoppar du med innehållsfilter eller genom att leva med dem.
Slå på det plattformen redan har.
- Wix: Edit Form, Settings, Spam filter settings. Det finns tre nivåer: bara osynlig reCAPTCHA, Basic och reCAPTCHA, samt Advanced och reCAPTCHA. Wix sparar spam i fliken Spam i 30 dagar. Gå upp en nivå åt gången.
- Squarespace: reCAPTCHA v3 är enligt Squarespace på som standard för formulärblock, om den inte stängts av tidigare. Kontrollera under Storage, Google reCAPTCHA, Enable Google reCAPTCHA. I förhandsvisningen ska en reCAPTCHA-logga synas nere till höger när du klickar i ett formulärfält. Squarespace skriver att det inte går att stoppa allt, och spam-mejlen har knapparna Report spam och Report not spam.
- WPForms: skyddet bygger på honeypot-tekniken, kräver JavaScript och är på för nya formulär. Under Spam Protection and Security finns också Akismet, reCAPTCHA, hCaptcha, Turnstile samt filter för land och nyckelord. Spam sparas som standard i en egen lista. Akismet är enligt tilläggets sida gratis för personliga bloggar, och för företagssajter finns betalda prenumerationer, se aktuell prislista.
- Contact Form 7: Turnstile ligger under Contact, Integration enligt tilläggets dokumentation, som rekommenderar det framför reCAPTCHA om du inte har skäl till motsatsen. Deras reCAPTCHA-sida gick inte att öppna för mig, så kontrollera både den och menyvägen i din version.
- Gravity Forms: slå på Anti-spam honeypot under Form Options och välj att skapa en post markerad som spam, så att inget försvinner tyst.
Lägg till en honeypot om verktyget har det. W3C nämner dolda fält som ett alternativ till CAPTCHA. Fältet syns inte för människor, men robotar fyller i det.
Behövs mer? Välj en osynlig kontroll, inte två.
- reCAPTCHA v3 ger varje besök en poäng från 0,0 (troligen robot) till 1,0 (troligen människa) utan att störa besökaren. Googles exempel använder 0,5 som utgångsvärde. Googles v3-sida är markerad som föråldrad och hänvisar till dokumentationen för Google Cloud Fraud Defense, så följ instruktionen i ditt tillägg.
- Turnstile är Cloudflares alternativ. Du behöver ett Cloudflare-konto, men sajten behöver inte ligga hos dem. Skapa en widget, välj läget Managed och klistra in site key och secret key i formulärtillägget.
Filtrera innehåll mot mänskligt spam. Länkar i meddelandefältet och några nyckelord räcker långt, men ordet "SEO" kan stå i en riktig förfrågan. Titta på det som filtreras bort.
Se var spamet hamnar. Läs spamlistan en gång i veckan. Där hittar du de riktiga meddelanden som blivit felmarkerade.

Cookies, samtycke och reCAPTCHA

reCAPTCHA körs i besökarens webbläsare och skickar uppgifter till Google. Googles FAQ säger att den sätter en nödvändig kaka, _GRECAPTCHA, för riskanalysen. Om en kaka räknas som nödvändig är en bedömning som tillsynsmyndigheterna gör, inte du eller Google. PTS har tillsyn över kakreglerna och IMY över hur personuppgifter används efteråt (IMY, april 2025). Jag har inte hittat något uttalande från PTS eller IMY om just reCAPTCHA, så det här är försiktighetsråd:

Nämn reCAPTCHA i integritetspolicyn, eftersom uppgifter går till Google. Samma sak gäller Akismet, som kontrollerar inskicken mot sin databas.
Blockerar din kakbanner skript tills besökaren samtyckt kan formuläret sluta fungera för den som nekar. Testa båda utfallen.
Honeypot och nyckelordsfilter skickar inget till tredje part. För Turnstile skriver Cloudflare att tjänsten bara behandlar det som behövs för säkerhetsfunktionen och inte läser formulärsvaren. Läs deras Privacy Addendum.

Det här är inte juridisk rådgivning. IMY:s och PTS vägledning avgör. Hur du sätter upp bannern står i Cookie-samtycke och GA4.

Så vet du att det fungerar

Skicka ett riktigt testmeddelande från mobilen på mobilnät, med en länk i texten. Det ska synas i formulärets lista och i din inkorg, inte i skräpposten. Hamnar det där, läs SPF, DKIM och DMARC.
Upprepa med en annan webbläsare, och med kakbannern både godkänd och nekad.
Låt det gå två veckor. Räkna spam som tagit sig igenom och läs spamlistan efter riktiga meddelanden.

Vanliga fel

Honeypoten flaggar riktiga människor. Gravity Forms support pekar på cachade sidor och JavaScript-fel, eftersom skriptet då inte körs. Töm cachen och testa.
Egenbyggt formulär utan serverkontroll. Cloudflare skriver att kontrollen mot deras server är obligatorisk. Googles token går ut efter två minuter, så hämta den när formuläret skickas.
Gräns satt i blindo. Google säger att poängen kan skilja i testmiljö och strax efter lansering. Titta på poängen i konsolen först, och agera i bakgrunden i stället för att blockera rakt av.
Bildpussel. W3C skriver att traditionella CAPTCHA är problematiska för bland annat blinda och dyslektiker. Se tillgänglighet på hemsidan.
Spamet fortsätter in i CRM:et. Lägg ett filter före allt annat, se kontaktformulär rakt in i CRM.

När du inte behöver mer

Får du några spam i veckan räcker plattformens standardskydd och en titt i spamlistan. Starkare skydd är till för stora volymer. Och ingen teknik stoppar en människa som skriver ett säljbrev. Jag brukar hellre sortera dem för hand.

Källor

Vanliga frågor

Vad är bäst mot spam i ett kontaktformulär?

Ett lager som besökaren inte märker, som honeypot eller en osynlig kontroll, ovanpå plattformens standardskydd. Bildpussel är det sista du tar till.

Vad är en honeypot?

Ett dolt fält som människor aldrig ser. Fylls det i räknas inlägget som spam. Det fungerar bara om skripten körs, så testa efter att du tömt cachen.

Måste jag ha Cloudflare för att använda Turnstile?

Nej. Cloudflare skriver att Turnstile kan bäddas in på vilken sajt som helst utan att trafiken går via dem. Du behöver bara ett konto för nycklarna.

Är reCAPTCHA förenligt med GDPR?

Det kan jag inte ge besked om. Jag har inte hittat något uttalande från IMY eller PTS om just reCAPTCHA. Läs avsnittet om cookies ovan och fråga din dataskyddskontakt.

Varför får jag spam trots CAPTCHA?

Antingen är det människor som skriver, eller så har skyddet inte laddat på sidan. Skicka ett test och kontrollera inställningen.

Fastnar du?

Det här är ett av de jobb jag gör åt enmansföretag och små team, ofta på en eller två timmar tillsammans på skärmen. Om du har fastnat på ett steg, eller hellre vill att jag sätter upp skyddet och lämnar över det dokumenterat, mejla mig med rubriken "Fastnat: Spam i kontaktformuläret". Skriv vilken plattform och vilket formulärtillägg du har och hur mycket spam du får, så svarar jag med vad jag tror det tar. Jag sitter i Stockholm och jobbar med hela Sverige på distans. Vill du först veta hur jag arbetar finns så arbetar jag.

Stoppa spam i kontaktformuläret utan att stänga ute riktiga kunder