Comment Antispam Bee trie vos commentaires
Antispam Bee filtre les commentaires, les rétroliens et les pings de WordPress sans CAPTCHA. Son arme principale est un pot de miel : l’extension renomme le vrai champ de commentaire du formulaire et place à sa position d’origine un champ caché, nommé comment, que les visiteurs ne voient pas. Un robot qui remplit ce champ est classé comme indésirable. Viennent ensuite, dans cet ordre, des filtres que vous activez un par un : délai de saisie, liens BBCode, expressions régulières, comparaison avec les indésirables déjà présents dans votre base, pays d’origine et langue du commentaire.
Avec les réglages par défaut, tout se passe sur votre serveur : aucune donnée de visiteur ne part vers un service externe. Trois options facultatives font exception, et la documentation les signale : la vérification Gravatar envoie un hachage de l’adresse e-mail à Gravatar, le filtre par pays envoie une adresse IP raccourcie à un service de géolocalisation, et le filtre de langue envoie le texte du commentaire à une API de Pluginkollektiv. Chaque commentaire bloqué garde la raison de son classement, visible dans une colonne de la liste des indésirables.
Créée par Sergej Müller et maintenue par le collectif bénévole Pluginkollektiv, l’extension n’a ni version payante ni limite : l’éditeur la déclare gratuite pour les projets personnels comme commerciaux, sur autant de sites que vous voulez. Le support passe uniquement par le forum de wordpress.org.
Pour quels sites Antispam Bee est un bon choix
- Blogs et sites éditoriaux aux commentaires ouverts qui utilisent le formulaire de commentaire natif de WordPress.
- Sites commerciaux qui ne veulent pas d’abonnement : contrairement à Akismet, payant dès qu’un site est commercial, Antispam Bee ne coûte rien.
- Sites soumis au RGPD qui préfèrent ne transmettre aucune donnée de commentateur à un tiers.
- Serveurs gérés avec Fail2Ban : la constante
ANTISPAM_BEE_LOG_FILEdanswp-config.phpécrit chaque indésirable dans un journal que Fail2Ban peut lire pour bannir l’adresse au niveau du serveur.
Il ne convient pas pour protéger des formulaires de contact ou les inscriptions : la FAQ officielle précise qu’il ne couvre ni les extensions de formulaires ni les inscriptions indésirables. Il est aussi incompatible avec les systèmes de commentaires chargés dans une iframe, comme ceux de Jetpack, wpDiscuz ou Disqus. Pour ces cas, voyez notre page anti-spam WordPress.
Points forts et limites d’Antispam Bee
Points forts
- Gratuit sans condition. Pas de clé, pas de quota, pas de distinction entre site personnel et site commercial.
- Aucun service externe par défaut. Le pot de miel et les filtres actifs à l’installation tournent sur votre serveur.
- Aucune gêne pour les visiteurs. Pas de CAPTCHA, pas de case à cocher, pas de script tiers à charger.
- Des décisions explicables. La raison du classement (pot de miel, base locale, pays...) est conservée et peut servir à supprimer automatiquement certaines catégories.
Limites
- Commentaires et rétroliens seulement. Formulaires de contact et inscriptions ne sont pas protégés.
- Pas de commentaires en iframe. Jetpack, wpDiscuz et Disqus échappent à l’extension.
- Un pot de miel sensible à la CSP. Avec une politique de sécurité du contenu qui refuse les styles en ligne, le champ caché devient visible tant que vous ne le masquez pas dans votre propre feuille de style.
- Un filtre de langue restreint. L’interface ne propose que l’allemand, l’anglais, le français, l’italien et l’espagnol, et le texte part vers une API externe.
- Support communautaire uniquement. Ni e-mail ni ticket : le forum de wordpress.org est le seul canal.
Les réglages d’Antispam Bee que nous recommandons
L’extension bloque déjà le spam dès son activation. Les réglages sont dans Réglages > Antispam Bee, répartis en trois colonnes (Filtre anti indésirable, Avancé, Plus) ; libellés de l’interface française de la version 2.11.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Faire confiance aux commentateurs approuvés Réglages > Antispam Bee > Filtre anti indésirable | Activé (par défaut) | Vos habitués ne sont plus contrôlés. L’adresse e-mail sert d’identifiant : désactivez-le si des robots usurpent celles de vos lecteurs. |
| Les liens BBCode sont indésirables Même colonne | Activé (par défaut) | Les liens [url] sont la signature du spam de forum. Désactivez-le seulement si vos commentateurs ont droit au BBCode. |
| Utiliser des expressions normales Même colonne | Activé (par défaut) | Motifs fournis par l’extension, complétés si besoin par le filtre antispam_bee_patterns. |
| Vérifier les indésirables dans la base de données, avec Marquer comme un indésirable et ne pas le supprimer Filtre anti indésirable, puis Avancé | Activés tous les deux (par défaut) | Une adresse IP, une URL ou un e-mail déjà marqués suffisent à bloquer la tentative suivante ; cela suppose de garder les indésirables. |
| Prendre en compte l’heure du commentaire Filtre anti indésirable | Désactivé si le site utilise un cache de pages | Le délai est mesuré depuis l’affichage de la page ; une page servie depuis le cache fausse ce calcul. Sans cache, vous pouvez l’activer. |
| Supprimer les commentaires par raisons d’indésirable Avancé | Activé, avec « Pot de miel » seul sélectionné | La documentation le conseille : le pot de miel se trompe rarement, ces indésirables n’ont pas besoin d’être relus. |
| Supprimer les indésirables après %s jours Avancé | Activé, entre 30 et 90 jours | La base reste légère tout en gardant assez d’indésirables pour la comparaison locale. |
| Bloquer ou autoriser les commentaires depuis certains pays et Autoriser uniquement les commentaires dans certaines langues Filtre anti indésirable | Désactivés, sauf besoin précis | Ils envoient une adresse IP raccourcie ou le texte du commentaire à un service externe. Si vous les activez, mentionnez-le dans votre politique de confidentialité. |
| Vérifier le balisage complet de site sur les formulaires de commentaires Plus | Activé seulement si le pot de miel n’apparaît pas | Utile quand le thème construit son formulaire sans le filtre comment_form_field_comment ou l’affiche hors des articles. |
La notification par e-mail des indésirables est désactivée par défaut ; laissez-la ainsi sur un site très ciblé, où elle deviendrait vite du bruit. Pour envoyer les indésirables vers Fail2Ban, notre guide sur les robots scanners dans vos journaux explique la mise en place d’une prison.
- Le code source d’un article affiche un champ
textareaavecaria-label="hp-comment", invisible à l’écran. - Un commentaire de test envoyé depuis une fenêtre privée arrive en attente ou approuvé, pas dans les indésirables.
- Après quelques jours, la liste Commentaires > Indésirables montre la raison de chaque classement.
- Derrière un proxy ou Varnish, l’adresse IP enregistrée avec les commentaires est bien celle du visiteur.
La seule faille connue d’Antispam Bee
Patchstack recense une seule faille corrigée : la CVE-2023-41134, qui permettait de contourner le filtre par pays dans les versions 2.11.3 et antérieures, sans compte (gravité moyenne, CVSS 5.3). Elle est corrigée depuis la version 2.11.4, et l’extension passe par le programme de divulgation des vulnérabilités de Patchstack pour les nouveaux signalements. Activez la mise à jour automatique de l’extension (voir notre guide des mises à jour automatiques des extensions). WP Masquerade Pro retire des pages le nom du dossier et les identifiants d’Antispam Bee, ce qui complique son repérage par les robots sans remplacer ces mises à jour.
Ce que WP Masquerade masque pour Antispam Bee
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à Antispam Bee : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
Rien de plus
Reste visible
Aucune trace connue
Questions fréquentes sur Antispam Bee
Antispam Bee est-il vraiment gratuit pour un site commercial ?
Oui. L’éditeur indique qu’il n’existe ni service payant ni limite, pour les projets personnels comme commerciaux, quel que soit le nombre de sites.
Protège-t-il Contact Form 7 ou les inscriptions ?
Non. Antispam Bee est conçu pour les commentaires natifs de WordPress ; pour un formulaire ou une page d’inscription, il faut la protection propre à l’extension de formulaire ou un service comme Turnstile.
Fonctionne-t-il avec un cache de pages ?
Oui pour le pot de miel et les autres filtres. Seule l’option « Prendre en compte l’heure du commentaire » est déconseillée avec un cache, comme l’indique l’interface.
Un vrai commentaire a été classé indésirable, que faire ?
Ouvrez Commentaires > Indésirables, lisez la raison indiquée et cliquez sur « Pas un indésirable ». Si la raison est souvent la même (pays, langue, délai), désactivez le filtre concerné.