Обновлено: октябрь 2026 года. Возможности уточнены по исходникам CF7 Universal Validator 3.0.3. Когда через форму идут десятки рекламных сообщений, проблема не только в переполненной почте. Менеджеру сложнее замечать реальные обращения, а владельцу — понимать, работает ли сайт как канал продаж. В SeoУслуга для таких задач разработали собственный инструмент CF7 Universal Validator.
Почему мы разработали CF7 Universal Validator
Сначала нам нужно было защищать формы клиентских сайтов, а не выпускать отдельный продукт. При работе с повторяющимся мусором потребовались собственные правила для имён, телефонов, почты и сообщений, исключения для разных форм и журнал результатов. Решение выросло из внутреннего инструмента в плагин, который мы используем и дорабатываем.
При этом у Contact Form 7 есть собственные антиспам-возможности: поддержка Akismet, интеграция Cloudflare Turnstile и список запрещённых значений. Поэтому неверно утверждать, что стандартная защита отсутствует или всегда бесполезна. Свой инструмент мы выбрали ради управляемых правил на конкретных проектах. Официальное описание антиспам-возможностей Contact Form 7.
Далее описываем возможности версии 3.0.3 из нашей рабочей папки разработки. Они сверены с кодом проверок и документацией плагина; это не утверждение, что на каждом клиентском сайте уже установлена именно эта версия. Для отдельного сайта сверяйте установленную версию, настройки и шаблон формы.
Что действительно работает на наших клиентских сайтах
CF7 Universal Validator используется почти на всех клиентских сайтах SeoУслуга. По нашему опыту особенно полезны два правила: нельзя отправлять HTML и скриптоподобные вставки в текстовых полях, а имя в русскоязычной форме должно соответствовать выбранному формату. Такие правила помогают отсекать характерный мусор до отправки письма, а не только разбирать его в почте.
Это наш практический опыт сопровождения, а не лабораторная оценка эффективности в процентах. Когда говорим о непонятных именах, имеем в виду цифры, случайные сочетания и символы, не соответствующие назначению поля. Сам язык или национальность человека не являются признаком спама: форму настраиваем под аудиторию сайта.
Решение появилось давно и затем заметно выросло. Теперь оно объединяет проверку содержимого, контактов, частоты отправок и управление инструментом в WordPress. Главная польза для бизнеса остаётся прежней: меньше мусора в заявках и меньше ручной работы с ним.
Проверка полей: что фильтруем и где нужны исключения
Имя
При включённой строгой проверке разрешены русские буквы, включая «ё», и пробелы. Цифры не принимаются; латиница, дефисы и апострофы тоже не проходят строгий шаблон. Например, «Анна» соответствует правилу, а «Анна123» — нет. Для международной аудитории или составных имён такой режим нужно пересмотреть.
Есть исключения отдельных форм из проверки кириллицы. В версии 3.0.3 это именно исключение из правила алфавита: отдельный запрет цифр в распознанном поле имени остаётся. Не следует обещать, что исключённая форма принимает вообще любое значение.
Телефон и email
Для проверки по чёрному списку и списку исключений телефон приводится к единому виду +7XXXXXXXXXX. Основная проверка поля дополнительно требует формат с +7 после удаления пробелов, скобок и дефисов. Нормализация списка не означает, что любая запись номера автоматически будет принята формой.
Предусмотрены маска ввода, чёрный список, исключения и ограничения длины. Проверки ориентированы на формат +7: международные номера нельзя объявлять поддержанными без отдельной адаптации. Сам по себе правильный формат также не подтверждает, что номер существует и принадлежит отправителю.
Для email реализованы чёрный список и ограничения длины. Дополнительные серверные правила проверяют телефоноподобную часть адреса до @ и совпадение её цифр с телефоном из формы. Это помогает обнаруживать характерные шаблоны мусорных заявок, но не проверяет существование ящика и требует теста с реальными адресами аудитории.
Повторяющийся контакт можно добавить в чёрный список после проверки обращений: повторная отправка сама по себе не означает спам. В настройках длины тоже важен сценарий: слишком короткий максимальный предел может отсечь корректный корпоративный адрес.
Сообщение
Для текста предусмотрены минимальная и максимальная длина, фильтрация ссылок и доменов, списки запрещённых слов. Проверка в браузере помогает сразу показать ошибку, а серверная часть нужна для обработки отправок вне обычного интерфейса.
В версии 3.0.3 проверка сообщения распознаёт ссылки с протоколом, записи с www и домены без протокола, в том числе кириллические и punycode. Запрещённые слова ищутся по вхождению в текст, поэтому список нельзя заполнять без учёта обычных обращений покупателей: слово «купить» может быть частью настоящей заявки.
Если клиент заказывает аудит и должен прислать URL, отключите запрет ссылок для подходящего сценария в рамках доступных настроек. Правило алфавита относится к имени, а не к запрету кириллических сообщений: покупатель может описывать задачу обычным русским текстом.
Запрет HTML и скриптоподобных вставок: как устроено правило
В коде есть общий обработчик проверки содержимого. При включённой опции он выявляет HTML-теги, их запись через HTML-сущности и конструкции inline-обработчиков событий. Поле отклоняется с сообщением «HTML-разметка и скрипты в форме не допускаются», а не очищается незаметно для посетителя.
Это важно для обычной формы обращения, где ожидаются текст и контакты, а не исполняемый код. Но фильтр ищет определённые признаки: его нельзя представлять как распознавание любого вредоносного скрипта или замену всей безопасности WordPress.
Почему имеют значение теги формы
По исходникам версии 3.0.3 основные серверные обработчики подключены к обязательным тегам CF7 со звёздочкой: text*, textarea*, email* и tel*. Для имени и телефона дополнительно используются известные имена полей, например your-name, seousluga-name, your-phone и seousluga-tel.
Переименование поля или переход на необязательный тег требует отдельной проверки: нельзя обещать одинаковую работу всех правил на любой произвольной форме. Общую проверку кода в обязательном текстовом поле выполняют и для поля, которое не распознано как имя; строгие правила имени включаются только для соответствующих имён полей.
Что проверить владельцу сайта
- Опция проверки HTML включена.
- Типы и имена полей соответствуют обработчикам плагина.
- Обычный текст обращения проходит, а тестовая HTML-вставка отклоняется.
- Если форма предназначена для примеров кода, правило не противоречит её задаче.
Что добавили в новую ветку плагина
По исходникам рабочая версия — 3.0.3. Помимо антиспам-правил, ветка 3.x получила лицензирование SeoУслуга, механизм обновлений через WordPress и переработанный фирменный интерфейс. Это развитие старого внутреннего инструмента, а не просто новая обложка статьи.
В административной части доступны настройки, журнал отправок, IP-защита, инструкция с шаблонами форм и вкладка лицензии. В журнале есть фильтры и пагинация; IP-защита разделяет ручные блокировки, исключения и автоматические ограничения. В коде также предусмотрен дополнительный включаемый модуль защиты регистрации WordPress и WooCommerce — его следует проверять отдельно от форм CF7, а не считать универсальной защитой всех регистраций.
Требования из плагина: WordPress 6.4 или новее, PHP 8.0 или новее, активный Contact Form 7 и действующая лицензия SeoУслуга. В прочитанной версии рабочие проверки подключаются только при активной лицензии: при диагностике сначала проверьте её состояние.
Встроенная лицензия позволяет активировать продукт и освободить текущий домен для переноса; обновления связаны с нашим сервером лицензирования. Инструкция указывает, что содержимое форм не отправляется на этот сервер. Ключи лицензии и другие секреты не должны попадать в публичные скриншоты.
Honeypot и ограничения частых отправок
Для встроенной проверки honeypot в шаблон формы добавляют [hidden cf7uv_hp]. Обработчик версии 3.0.3 отклоняет заполненное поле; в коде предусмотрено и совместимое имя cf7uv_honeypot. При штатном обращении посетителя ловушка должна оставаться пустой. Это часть настройки нашего плагина, а не защита любого скрытого поля сама по себе.
Honeypot служит дополнительным сигналом, а не всей системой защиты. Не стоит обещать, что скрытое поле остановит любого бота или позволит отказаться от остальных проверок.
В коде предусмотрены лимит отправок за час и отдельный механизм автоматической блокировки по частоте за десять минут. Порог и длительность блокировки настраиваются; IP из исключений обходят соответствующие ограничения. Есть и ручное управление блокировками.
Проверки частоты в прочитанной версии пропускаются для администратора и для уже невалидной формы: это не счётчик каждого HTTP-запроса к сайту. Поэтому испытание нужно проводить как обычный посетитель, например в приватном окне без входа в WordPress. При общем IP нескольких клиентов слишком низкий лимит может мешать реальным повторным обращениям.
Журнал: как не превратить защиту в потерю заявок
В коде различаются журнал отправок в базе WordPress и техническая диагностика. Запись в журнал создаётся перед отправкой письма; далее обработчики обновляют статус на success или failed, исходно используется pending. Фильтры помогают находить записи по IP, статусу и дате.
Важно уточнить прежнее описание статьи: этот журнал не является полным перечнем всех сообщений, отклонённых на этапе валидации. А статус success относится к событию отправки письма в CF7, не доказывает доставку во входящие и не означает появление сделки в CRM. Причины проверок предусмотрены в технических сообщениях, но файловая диагностика выключена по умолчанию; не стоит обещать, что каждая причина блокировки видна в обычной таблице журнала.
Например, если корректное обращение отклонено из-за ссылки, сначала проверьте, должна ли эта форма принимать URL. Если проблема связана с именем или международным телефоном, исправляйте область действия проверки. Эти примеры объясняют метод настройки, а не являются опубликованной статистикой ошибок наших клиентов.
Сам журнал тоже требует контроля: ограничьте доступ и объём сохраняемых данных, определите срок хранения. Не публикуйте реальные телефоны, почту и тексты обращений в скриншотах для демонстрации работы антиспама.
Что проверять после настройки формы
Хорошая настройка оценивается не количеством включённых фильтров. Ниже — критерии приёмки для сайта; это не протокол испытаний конкретной версии нашего плагина.
- Корректная заявка: заполненные поля принимаются, сообщение доходит до ответственного, а при подключённой CRM появляется нужная запись.
- Понятная ошибка: пользователь видит, какое поле исправить, и не теряет введённый текст без необходимости.
- Особенности аудитории: проверены ожидаемые варианты имени и телефона, короткие сообщения и ссылки, если они нужны по сценарию.
- Повторное обращение: реальный клиент может отправить уточнение, не попав под необоснованную блокировку.
- Мобильная версия: форма работает на телефоне и при штатных настройках кеширования сайта.
- Отклонённый тест: предусмотренное правило срабатывает, пользователь получает соответствующую ошибку; не ожидайте записи каждого отказа в обычном журнале отправок.
- Лицензия и шаблон: лицензия активна, типы и имена тегов соответствуют плагину. Тест выполнен без входа администратора.
Отсутствие письма не всегда означает антиспам-блокировку: сначала выясните, приняла ли форма отправку, а затем проверяйте доставку и интеграции. Удобство сценария обращения важно и при разработке или доработке сайта, и после запуска рекламы.
Вопросы о защите формы
Нет. Сначала проверяют уже подключённые средства, тип мусора и путь настоящей заявки. Дополнительный инструмент оправдан, когда нужны собственные правила и понятный контроль их срабатывания, а не просто ещё один плагин.
Не для любой формы. В заявке на аудит, интеграцию или ремонт сайта адрес страницы может быть необходим. Определите назначение формы и исключения до включения общего запрета.
Браузерная проверка помогает показать ошибку при заполнении, но обработчик должен проверять данные на сервере. В описанном инструменте проверки email и сообщения предусмотрены на обоих уровнях.
Проверьте тестовые обращения с допустимыми данными и ошибки, возвращаемые формой. Обычный журнал не фиксирует каждый отказ валидации; для сложного случая может понадобиться временная техническая диагностика. Меняйте правило, мешающее нужному сценарию, а не отключайте всё без разбора.
Мы не обещаем абсолютную защиту. Цель — уменьшить мешающие работе отправки и поддерживать проходимость реальных обращений. Численных гарантий снижения спама или сохранения конверсии в этом материале нет.
Как мы работаем с формами клиентов
CF7 Universal Validator — наш собственный инструмент сопровождения сайтов, а не повод объявлять остальные решения бесполезными. Мы строим защиту вокруг назначения формы и корректируем правила по наблюдаемым отправкам. SEO, GEO и AEO помогают привлечь посетителя, но исправная форма и обработка обращения нужны, чтобы не потерять потенциального клиента.
Если мусор мешает работе или реальные сообщения перестали доходить, пришлите адрес сайта и описание симптомов через бриф на сопровождение сайта. Не передавайте в открытом сообщении пароли и выгрузки заявок с персональными данными: сначала достаточно описать, когда началась проблема и какие формы она затрагивает.
