Synth Antispam – Protección antispam con IA

Descripción

Los spammers han aprendido a esquivar los filtros por palabras clave. Synth entiende qué intenta promocionar realmente un comentario.

A las listas de palabras clave y a las listas de bloqueo se les escapa el spam educado y bien redactado: el comentario “¡Gran artículo, muy útil!” con un enlace a un casino en la URL del autor, la falsa agencia de SEO, la oferta de criptomonedas disfrazada de pregunta. Synth usa un modelo de IA para entender la intención de los comentarios nuevos, así que detecta el spam en comentarios que parece escrito por una persona, mientras los comentarios legítimos siguen pasando por la moderación habitual de WordPress. Protección antispam sin CAPTCHA, sin acertijos y sin nada adicional para tus visitantes.

Synth es un filtro antispam con IA para comentarios de WordPress. Analiza qué intenta promocionar un comentario en lugar de compararlo con listas estáticas de palabras clave.

Qué bloquea

• Spam de SEO y de construcción de enlaces (link building), incluidos los enlaces ocultos en el campo de la URL del autor
• Promociones de casinos, criptomonedas, contenido para adultos y farmacia
• Falsos comentarios de “¡Gran entrada!” escritos para colar un enlace
• Spam reformulado o con faltas de ortografía que esquiva las reglas por palabras clave
• Spam en pingbacks y trackbacks, incluidos los envíos automatizados a través de XML-RPC
• Spam enviado a través de la API REST

Por qué es mejor que una lista de reglas

• Reformular no le sirve al spammer. Las reglas buscan cadenas de texto concretas, así que los spammers cambian la cadena. El modelo lee el mensaje, y el mensaje es precisamente lo que se intenta vender.
• Nada que mantener. Sin listas de palabras clave, listas de bloqueo ni expresiones regulares que actualizar.
• Synth nunca borra comentarios automáticamente. El spam va a la carpeta Spam (o a la cola de moderación en el modo estricto) y puede restaurarse con un clic. Synth nunca mueve un comentario a la Papelera.
• Ves el motivo. Una columna de veredicto en la lista de comentarios (y en la pantalla Productos → Valoraciones de WooCommerce) muestra la categoría de spam y el nivel de confianza de cada comentario comprobado.
• Sin CAPTCHA ni molestias para los visitantes. Sin acertijos ni campos adicionales. Al enviar un comentario, se espera al servicio un máximo de 2 segundos; el veredicto llega después, en segundo plano. Sin scripts de seguimiento en tus páginas.
• Tus decisiones tienen prioridad. Synth nunca toca un comentario que tú u otro plugin de moderación ya hayan marcado como spam o enviado a la Papelera, nunca cambia un comentario cuyo estado ya haya cambiado un moderador y nunca publica un comentario que tu sitio haya retenido para revisión, así que funciona sin problemas junto a tu configuración actual. Si Synth considera spam un comentario retenido, este sigue yendo a la carpeta Spam (en el modo estricto se queda en la cola).
• Tu sitio sigue aceptando comentarios. Si el servicio no está accesible o se agotan tus comprobaciones incluidas, la clasificación con IA se pausa y los comentarios siguen la opción de respaldo que hayas elegido: pasan por la moderación habitual de WordPress (por defecto) o quedan retenidos para revisión.

Valoraciones de productos de WooCommerce

Si tu tienda usa WooCommerce, Synth Antispam comprueba las valoraciones de productos igual que los comentarios. Una valoración de producto se envía desde el mismo formulario de comentarios de WordPress, así que las valoraciones quedan cubiertas en cuanto se configura una clave del sitio: no hay que activar nada más.

• Una valoración considerada spam va a la carpeta Spam (o a la cola de moderación en el modo estricto) y puede restaurarse con un clic, igual que un comentario.
• La columna de veredicto aparece en la pantalla Productos → Valoraciones, donde WooCommerce muestra las valoraciones.
• Quienes ya tienen una valoración o un comentario aprobados en tu sitio se consideran de confianza y se omiten.

Synth busca spam promocional y de enlaces en las valoraciones. No juzga si una valoración es auténtica, así que no es un filtro de valoraciones falsas o inventadas.

Contact Form 7

Synth Antispam también comprueba los envíos de Contact Form 7 (Opciones → Synth Antispam → Contact Form 7). El propio Contact Form 7 marca el spam como spam, así que su correo electrónico no se envía. Instala Flamingo para conservar una copia de cada envío.

Empieza a proteger los comentarios en unos pocos clics

1. Instala y activa el plugin.
2. Abre Opciones → Synth Antispam y pulsa Obtener una clave del sitio: no hay que crear ninguna cuenta ni copiar ninguna clave de API.
3. Listo. Todos los sitios empiezan con un cupo incluido de comprobaciones con IA; consulta los planes actuales.

Hasta que configures una clave, el plugin no envía nada, salvo cuando pulsas Obtener una clave del sitio, y WordPress decide sobre cada comentario exactamente igual que antes.

Minimización de datos

Synth envía solo los datos necesarios para clasificar un comentario o un envío de formulario: el texto del comentario, el nombre y la URL del autor, el dominio del correo electrónico y un hash seudónimo del correo electrónico, propio de cada sitio. No recibe la dirección de correo electrónico completa del comentarista, su dirección IP, el User-Agent sin procesar, las cookies ni el contenido de tus entradas. Los comentaristas que ya tienen un comentario aprobado se omiten por completo. Qué se envía, cuándo y durante cuánto tiempo se conserva se detalla más abajo, en “Servicios externos”.

Servicios externos

Este plugin necesita el servicio Synth Antispam (wp-api.synth.locker, operado por LightApps OÜ, Estonia) para clasificar los comentarios y, cuando las comprobaciones de Contact Form 7 están activadas, los envíos de formulario. No se envía nada hasta que se configura una clave del sitio, salvo la solicitud que se hace al pulsar Obtener una clave del sitio.

Todos los ajustes y modos del plugin funcionan en todos los planes; solo el número de comprobaciones con IA depende del plan.

Solicitudes que hace el plugin

Todas las solicitudes siguientes incluyen la versión del plugin y la propia cabecera User-Agent de WordPress, que indica la dirección de tu sitio y la versión de WordPress (no el navegador del comentarista); todas salvo Obtener una clave del sitio incluyen además la clave de tu sitio y, en una cabecera aparte, la dirección de tu sitio.

• Enviar un comentario (o una valoración de producto de WooCommerce, un pingback o un trackback) para obtener un veredicto — con los campos que se indican más abajo. Esta solicitud también incluye la clave de tu sitio y la dirección de tu sitio; la primera solicitud de este tipo es la que asocia la clave a tu sitio.
• Enviar un formulario para obtener un veredicto — solo mientras las comprobaciones de Contact Form 7 están activadas; con los mismos campos (consulta content.body), y el visitante espera el veredicto.
• Recoger el veredicto un momento después — envía solo el identificador que el servicio asignó a ese comentario.
• Informar de una corrección del moderador — desactivado por defecto (el filtro synth_wp_send_feedback devuelve false); cuando está activado, envía solo el identificador y la decisión del moderador (spam / no es spam).
• Obtener una clave del sitio — solo cuando pulsas el botón; envía únicamente la versión del plugin y la cabecera User-Agent.
• Probar la conexión — solo cuando pulsas el botón; envía un comentario de muestra (“ping”, sin datos del comentarista) y consume una comprobación.
• Consultar el cupo restante — solo mientras un administrador tiene abierta la pantalla de ajustes; envía la clave del sitio y la dirección del sitio. No consume ninguna comprobación; con una clave nueva, puede ser la solicitud que asocia la clave a tu sitio.
• Estado de salud del sitio — solo mientras un administrador tiene abierta la pantalla Herramientas → Salud del sitio, como máximo una vez cada 15 minutos; envía un identificador de prueba fijo y no consume ninguna comprobación.
• Iniciar una compra — solo cuando pulsas un botón para mejorar el plan; envía a Synth la clave del sitio, la dirección del sitio, la opción seleccionada y la ruta de la página de ajustes a la que volver, y después abre Stripe Checkout. Los datos de la tarjeta van directamente a Stripe y nunca llegan a tu sitio, a este plugin ni a Synth.

Qué se envía exactamente, campo por campo. La lista completa, que coincide con el constructor de solicitudes del plugin:

• schema_version — la versión del formato de la solicitud.
• plugin_version — la versión instalada del plugin.
• surface — wp_comment o wp_cf7.
• object_type — comentario, valoración, pingback, trackback o formulario.
• content.body — el texto del comentario; en el caso de un formulario, su asunto y su mensaje.
• content.author_name — el nombre introducido.
• content.author_url — el sitio web introducido.
• content.author_email_domain — solo el dominio del correo electrónico, por ejemplo gmail.com, nunca la dirección.
• content.author_id_hash — un hash con sal del correo electrónico, propio de cada sitio; no se puede relacionar entre sitios.
• context.author_status — registered o anonymous.
• context.is_reply — si es una respuesta.
• context.site_locale — el idioma de tu sitio.
• context.client_ip_status — si había una IP, nunca la IP.
• context.has_user_agent — si había un User-Agent, nunca la cadena.

Lo que nunca se envía: la dirección de correo electrónico completa, la dirección IP, el User-Agent sin procesar, el título o el contenido de la entrada, la URL de referencia HTTP y las cookies. De un formulario de Contact Form 7 tampoco se envían los archivos adjuntos, los campos ocultos o internos, las opciones elegidas en listas desplegables, casillas de verificación o botones de selección única, ni los campos de correo electrónico que no sean el del remitente.

Conservación: los registros de veredictos caducan a las 24 horas. Aparte de eso, el servicio conserva copias de cada solicitud enviada, de su veredicto y de cualquier corrección posterior para entrenar y mejorar sus modelos. Estas copias se almacenan tal como se enviaron, no caducan y actualmente no se pueden desactivar. Esto también se aplica a los envíos de formulario: el servicio conserva indefinidamente su copia de cada mensaje de formulario enviado, tal como se envió. Para que se borren las copias de tu sitio, escribe a support@synth.locker indicando la dirección de tu sitio. Desinstalar el plugin borra la sal de tu sitio, pero no las copias ya tomadas. Los envíos de formulario retenidos se conservan en este sitio durante 7 días y después se borran automáticamente; al borrar el plugin se eliminan de inmediato.

• Condiciones de uso: https://synth.locker/assets/legal/wordpress-terms-of-use.html
• Política de privacidad: https://synth.locker/assets/legal/wordpress-privacy-policy.html
• Precios: https://wordpress.synth.locker/pricing
• Stripe: https://stripe.com/legal · https://stripe.com/privacy

Párrafo listo para pegar en tu política de privacidad. La misma lista, para los propietarios de sitios que redactan su política a mano, sin los cuatro campos que describen la forma de la solicitud y no al comentarista ni al envío (schema_version, plugin_version, surface y object_type). Se genera a partir del mismo manifiesto que la lista de campos anterior, así que no puede quedarse desfasado respecto a ella:

Synth Antispam envía cada comentario (y cada valoración de producto de WooCommerce, pingback o trackback) al servicio de clasificación Synth Antispam —un encargado del tratamiento externo— para obtener un veredicto de spam. Qué se envía: el contenido del comentario; el nombre visible del comentarista; la URL del sitio web del comentarista; la parte del dominio (no la dirección completa) de la dirección de correo electrónico del comentarista; un hash unidireccional con sal derivado de esa dirección de correo electrónico; si el comentarista es anónimo o un usuario registrado de este sitio; si el comentario es una respuesta; el idioma del sitio; si había o no una dirección IP, nunca la dirección en sí; si había o no una cadena User-Agent, nunca la cadena en sí. Si las comprobaciones de Contact Form 7 están activadas, los envíos de formulario se envían de la misma manera, y el asunto y el mensaje del formulario ocupan el lugar del contenido del comentario. Los comentarios de personas que ya tienen un comentario aprobado en este sitio no se envían al servicio en absoluto. La dirección de correo electrónico completa del comentarista, su dirección IP y su cadena User-Agent sin procesar no se envían nunca, en ningún caso. El servicio conserva los veredictos durante 24 horas y después caducan automáticamente. Aparte de eso, el servicio conserva su propia copia de todo lo indicado anteriormente, junto con el veredicto que emitió y cualquier corrección que un moderador de este sitio haga después a ese veredicto, y utiliza esas copias para entrenar y mejorar los modelos de clasificación de spam de Synth. Esas copias se conservan indefinidamente y no tienen fecha de caducidad; el texto del comentario y los datos del comentarista indicados anteriormente se conservan tal como se enviaron, sin anonimizar ni agregar. Esto también se aplica a los envíos de formulario: el servicio conserva indefinidamente su copia de cada mensaje de formulario enviado, tal como se envió. Esto se aplica a todos los sitios que usan el servicio: no hay ningún ajuste que lo desactive. Para que se borren las copias almacenadas de este sitio, escribe a support@synth.locker. Al desinstalar este plugin se borra el valor secreto local de este sitio, tras lo cual ningún hash enviado anteriormente puede volver a asociarse a una dirección de correo electrónico, ni por parte de este sitio ni por parte del servicio.

Todas las direcciones que aparecen en el código fuente

Una búsqueda en los archivos de este plugin encuentra estas direcciones y ninguna otra:

• wp-api.synth.locker — el servicio Synth Antispam indicado arriba; se puede cambiar en la pantalla de ajustes o en wp-config.php. Es la única dirección a la que este plugin envía solicitudes.
• checkout.stripe.com — la página de pago de Stripe. El plugin no envía nada allí; solo comprueba que la página de pago que ha recibido es realmente de Stripe antes de abrirla en tu navegador.
• synth.locker, wordpress.synth.locker, stripe.com, wordpress.org, www.gnu.org y fsf.org — enlaces (páginas de condiciones, de privacidad, de precios y de inicio del plugin, documentos de Stripe, el foro de soporte en la plantilla de traducción, la licencia GPL). No se les envía nada.
• support@synth.locker — la dirección de correo electrónico para solicitudes de borrado.
• No son direcciones: el ejemplo your-synth-endpoint.example del campo de ajustes vacío, gmail.com en la lista de campos anterior, el marcador de posición LL@li.org de la plantilla de traducción y nombres que aparecen solo dentro de comentarios del código y con los que nunca se contacta (wp-api-dev.synth.locker, evil.example, https://x, http://api, http://localhost).