Как поставить капчу на сайт?

Для формы заявки хорошо работают Yandex SmartCaptcha (бесплатный сервис Яндекс Облака, без проблем с загрузкой в России) или невидимая reCAPTCHA v3 от Google, которая не показывает картинки, а оценивает поведение посетителя в фоне. Обе подключаются вставкой пары строк кода и ключа, полученного в личном кабинете сервиса, без разработки с нуля — обычно 15-30 минут работы.

Есть и более лёгкий вариант без стороннего сервиса — honeypot-поле. Это скрытое CSS-стилями поле формы, которое видят только автоматические скрипты и заполняют его, а живой человек его просто не замечает и оставляет пустым. Если поле заполнено при отправке — заявка тихо отклоняется, без единого лишнего запроса к внешнему сервису и без визуальной капчи, которая раздражает часть посетителей.

По опыту, простой поток вроде 20 спам-заявок в день чаще всего гасит именно связка honeypot-поля и ограничения частоты отправок с одного IP-адреса — пользователь вообще ничего не замечает, а нагрузка на внешние сервисы не растёт. Видимую капчу с картинками имеет смысл добавлять, только если спам продолжается и после этого: значит, боты уже целенаправленно обходят скрытое поле.

На WordPress установка обычно сводится к готовому плагину для формы с модулем капчи, на самописной форме — к нескольким строкам в обработчике на сервере. Проверять капчу нужно именно на боевой форме после подключения: часть спам-скриптов отсеивается сразу, но нагрузку на сервер стоит наблюдать ещё пару недель.