Jak chronić checkout WooCommerce przed botami i testowaniem kart
Dokumentacja WooCommerce o testowaniu kart zaleca kilka kroków. Najważniejszy to CAPTCHA w zamówieniu: wymienia wtyczki reCaptcha for WooCommerce i Google reCaptcha for WooCommerce, które dodają obowiązkową weryfikację do procesu zamówienia, oraz darmową wtyczkę Simple Cloudflare Turnstile. Dalej radzi rozważyć wyłączenie zakupów bez konta, wyłączenie płatności zapisanymi kartami w metodach, które to obsługują, oraz czasowe ukrycie tanich produktów, na których testowane są karty. Odradza też produkty typu „zapłać, ile chcesz” i darowizny bez kwoty minimalnej.
Limit zapytań do Store API dla checkoutu
Blokowy koszyk i checkout WooCommerce działają przez Store API, czyli publiczny interfejs sklepu. Według dokumentacji WooCommerce dla deweloperów Store API ma wbudowany limit zapytań (rate limiting), ale jest on domyślnie wyłączony. Po włączeniu przez filtr woocommerce_store_api_rate_limit_options domyślny limit to 25 zapytań w ciągu 10 sekund. Osobno, w ustawieniach zaawansowanych WooCommerce, w sekcji funkcji (Settings > Advanced > Features), można włączyć opcję Rate limiting Checkout block and Store API, która dla samego składania zamówienia ustawia maksymalnie 3 zapytania na 60 sekund.
Różnicę między tymi ustawieniami dobrze widać po przeliczeniu na minutę:
[#chart:woo75b]
Jeśli sklep działa za CDN, serwerem proxy lub load balancerem, dokumentacja zaleca włączenie obsługi proxy (proxy_support). Bez niej wszystkie zapytania mogą wyglądać tak, jakby przychodziły z jednego adresu IP, i limit zablokuje prawdziwych klientów. Blog deweloperski WooCommerce przypomina przy tym, że limit spowalnia ataki, ale ich w pełni nie zatrzymuje, dlatego najlepiej działa razem z CAPTCHA.
CAPTCHA w blokowym checkoutcie
Według bloga deweloperskiego WooCommerce część wtyczek CAPTCHA chroniła tylko klasyczny formularz zamówienia, a nie blokowy checkout i Store API, przez które boty mogły ominąć zabezpieczenie. Wiele wtyczek reCAPTCHA i Cloudflare Turnstile zostało od tego czasu poprawionych, ale po instalacji zawsze sprawdź, czy ochrona działa w Twoim typie checkoutu. Wtyczka Simple Cloudflare Turnstile z repozytorium wordpress.org według opisu obsługuje m.in. zamówienie w WooCommerce, w tym blokowe, płatność za zamówienie, logowanie, rejestrację i reset hasła oraz formularze Contact Form 7, WPForms czy Gravity Forms. Autor podaje, że wtyczka nie ma wersji płatnej.
[#uwaga] Gdy atak już trwa, nie wystarczy usunąć nieudanych zamówień. Dokumentacja WooCommerce zaleca przede wszystkim pilny przegląd ostatnich transakcji i zwrot tych, które wyglądają na oszustwo, żeby uniknąć sporów. Dokumentacja rozszerzenia Anti-Fraud dodaje, że usunięcie zamówienia w sklepie nie usuwa danych przekazanych już do operatora płatności czy systemu ERP. Skontaktuj się też z operatorem płatności, bo ma własne narzędzia ochrony.
Najtrudniejsza decyzja w czasie ataku dotyczy zakupów bez konta. Ustawienie „Włącz opcję płatności przez gościa (zalecane)” ma w nazwie słowo „zalecane” nie bez powodu: wielu klientów nie chce zakładać konta. Wyłączenie go utrudnia życie botom, ale też prawdziwym kupującym:
[#chart:woo75c]
Każde dodatkowe pole i krok w zamówieniu kosztuje część konwersji. Jak utrzymać krótki proces zakupu mimo zabezpieczeń, opisujemy we wpisie o tym, jak skrócić proces zamówienia w WooCommerce.
Dodawanie metod płatności na koncie klienta
Checkout to nie jedyne miejsce, w którym boty sprawdzają karty. Dokumentacja WooCommerce o testowaniu kart zwraca uwagę, że oszuści mogą próbować weryfikować karty, dodając je do konta w sklepie. Dokumentacja rozszerzenia Anti-Fraud for WooCommerce opisuje ten kierunek ataku osobno i wymienia dla niego limity prób, czasowe blokady oraz możliwość wstrzymania funkcji dodawania metod płatności. Jeśli klienci w Twoim sklepie rzadko zapisują karty, sprawdź u operatora płatności, czy ta funkcja jest w ogóle potrzebna.
Jak testować zabezpieczenia, żeby nie blokować klientów
Każde zabezpieczenie wdrażaj jak zmianę w procesie zakupu, a nie jak ustawienie techniczne. Po włączeniu CAPTCHA lub limitów złóż zamówienia testowe na telefonie i komputerze, w oknie prywatnym, z różnymi metodami płatności, także szybkimi płatnościami, które pomijają część formularza. Sprawdź też rejestrację, logowanie i reset hasła. Przez kolejne dni obserwuj liczbę zamówień, porzuconych koszyków i zgłoszeń klientów. Gdy sprzedaż spada bez innego powodu, zabezpieczenie może być zbyt ostre.
Jak chronić formularze kontaktowe i opinie w WooCommerce
Formularz kontaktowy i opinie o produktach to ulubiony cel spamerów, bo treść trafia albo do skrzynki zespołu, albo wprost na stronę. Do formularzy możesz dodać tę samą weryfikację antybotową co do zamówienia, jeśli wtyczka obsługuje Twój kreator formularzy. Drugą warstwą jest filtr treści, np. Akismet z repozytorium wordpress.org, który według opisu blokuje spam w komentarzach i formularzach kontaktowych. Wymaga klucza API, który jest darmowy dla blogów osobistych, a dla firm i stron komercyjnych są dostępne płatne subskrypcje (stan na październik 2026 - sprawdź aktualny cennik).
Przy opiniach najprostsze zabezpieczenie daje sam WooCommerce. W ustawieniach produktów znajdziesz opcję „Opinie mogą być dodane tylko przez „zweryfikowanych właścicieli””, która według dokumentacji pozwala wystawiać opinie wyłącznie osobom, które kupiły produkt. Możesz też włączyć oznaczenie opinii od zweryfikowanych kupujących, co dodatkowo buduje zaufanie klientów.
Jeśli spam w formularzu kontaktowym dotyczy tylko jednego formularza, zanim dodasz kolejną wtyczkę, sprawdź, czy formularz jest w ogóle potrzebny w tym miejscu. Czasem wystarczy jeden formularz na stronie kontaktu i adres e-mail w stopce, a pozostałe, np. przy każdym produkcie, generują więcej spamu niż zapytań od klientów.
Zabezpieczenia WooCommerce przed spamem - zestawienie
Poniższa tabela zbiera miejsca w sklepie, zagrożenia i zabezpieczenia w jednym miejscu, razem z tym, jak bardzo każde z nich odczuwa klient:
| Miejsce w sklepie | Zagrożenie | Zabezpieczenie | Wpływ na klienta |
|---|
| Rejestracja | Fałszywe konta | Odnośnik do ustawienia hasła, weryfikacja antybotowa | Niski |
| Logowanie i reset hasła | Zgadywanie haseł, zalew e-maili | Weryfikacja antybotowa, limit prób logowania | Niski |
| Checkout | Testowanie kart, fałszywe zamówienia | CAPTCHA, limit zapytań Store API | Niski do średniego |
| Konto klienta - dodawanie metod płatności | Testowanie kart przez dodawanie metod | Limity prób, czasowe wyłączenie funkcji | Niski |
| Formularz kontaktowy | Spam i phishing | Weryfikacja antybotowa, filtr treści | Niski |
| Opinie o produktach | Spam i fałszywe opinie | Opinie tylko od zweryfikowanych kupujących | Brak dla kupujących |
Co zrobić z fałszywymi kontami i zamówieniami po ataku
Po opanowaniu ataku zostaje sprzątanie. Przejrzyj nowe konta bez zamówień z okresu ataku i usuń te, które ewidentnie założył bot. Nieudane zamówienia najpierw przeanalizuj, a dopiero potem usuwaj. W ustawieniach kont i prywatności WooCommerce możesz ustawić automatyczne usuwanie starych danych, np. opcją „Zachowaj nieudane zamówienia”, która określa, jak długo sklep je przechowuje. Okresy przechowywania danych ustal ze specjalistą od ochrony danych, bo zależą od Twojej sytuacji prawnej.
Spamowe konta mają też mniej oczywisty skutek: sklep wysyła na fałszywe adresy e-maile powitalne i potwierdzenia, które odbijają się albo trafiają do pułapek antyspamowych. To może pogorszyć dostarczalność wszystkich wiadomości ze sklepu. Jak dbać o e-maile transakcyjne, piszemy w tekście e-maile transakcyjne w WooCommerce - szablony, statusy i dostarczalność. Na koniec ustal prosty monitoring: powiadomienie, gdy liczba nieudanych zamówień lub nowych kont w ciągu godziny przekroczy zwykły poziom. Szerszą listę zabezpieczeń sklepu znajdziesz w tekście bezpieczeństwo WooCommerce - lista kontrolna.
Spisz też krótką procedurę na wypadek kolejnego ataku: kto sprawdza nieudane zamówienia, kto kontaktuje się z operatorem płatności, które ustawienia można szybko zaostrzyć, np. limit zapytań dla zamówień albo zakupy bez konta, i kto decyduje o ich przywróceniu. Ataki często zaczynają się w nocy lub w weekend, więc procedura powinna być dostępna dla osoby, która akurat ma dyżur, a nie tylko dla właściciela sklepu.
Jak Vinson pomaga chronić sklep WooCommerce przed spamem i botami
W Vinson budujemy i rozwijamy sklepy na WooCommerce oraz integrujemy je z Allegro i Base. Zabezpieczenia przed botami dobieramy tak, żeby chroniły sklep, a jednocześnie nie wydłużały zakupów. W praktyce:
sprawdzamy, które formularze w sklepie są celem spamu i ataków,
wdrażamy weryfikację antybotową i testujemy ją w klasycznym i blokowym checkoutcie,
konfigurujemy ustawienia kont, opinii i limitów zapytań do Store API,
pomagamy przejść przez atak testowania kart i uporządkować dane po nim.
Więcej o naszej pracy przeczytasz na stronie sklepy na WooCommerce z Vinson.
Najczęściej zadawane pytania
Jak zablokować fałszywe rejestracje w WooCommerce?
Dodaj weryfikację antybotową, np. Cloudflare Turnstile, do formularza rejestracji i włącz wysyłanie odnośnika do ustawienia hasła. Wyłącz zakładanie kont tam, gdzie nie jest potrzebne, i regularnie usuwaj konta bez zamówień, które wyglądają na automatyczne.
Skąd w WooCommerce dużo nieudanych zamówień?
Nagły wzrost zamówień ze statusem Failed (nieudane), często z notatkami o odrzuconych kartach, to według dokumentacji WooCommerce typowy objaw testowania kart. Dodaj CAPTCHA do zamówienia, przejrzyj i zwróć podejrzane transakcje oraz skontaktuj się z operatorem płatności.
Czy reCAPTCHA w WooCommerce działa z blokowym checkoutem?
Zależy od wtyczki. Według bloga deweloperskiego WooCommerce część wtyczek CAPTCHA nie chroniła blokowego checkoutu i Store API, choć wiele z nich poprawiono. Po instalacji sprawdź w opisie wtyczki i w teście, czy ochrona działa w Twoim checkoutcie.
Czy Cloudflare Turnstile jest darmowy?
Według opisu wtyczki Simple Cloudflare Turnstile w repozytorium wordpress.org zarówno wtyczka, jak i usługa Turnstile są darmowe (stan na październik 2026 - sprawdź aktualne zasady). Wtyczka obsługuje formularze WordPressa, WooCommerce i popularnych kreatorów formularzy.
Czy wyłączyć zakupy bez rejestracji, żeby ograniczyć boty?
Dokumentacja WooCommerce wymienia to jako jedną z możliwości przy testowaniu kart, ale to ustawienie utrudnia też zakupy prawdziwym klientom. Zwykle lepiej najpierw wdrożyć CAPTCHA i limit zapytań, a zakupy bez konta wyłączać czasowo, na czas trwającego ataku.
Spam i boty w WooCommerce to problem, który wraca, dlatego ochrona sklepu powinna być stałą częścią jego utrzymania, a nie reakcją na pierwszy atak. Jeśli chcesz zabezpieczyć rejestrację, checkout i formularze bez utraty konwersji, sprawdź sklep na WooCommerce z Vinson.
