WordPress spam stoppen: Akismet, Antispam Bee of AI-filter?

WordPress spam in reacties en registraties stop je in drie lagen. Scherp eerst de instellingen van WordPress zelf aan: reacties met links in de wachtrij, reacties sluiten op oude berichten en registratie uit als je die niet nodig hebt. Kies daarna één filter: Akismet en CleanTalk controleren in de cloud, Antispam Bee werkt op je eigen server. De AI-moderatie van de officiële AI-plugin sorteert op toon, maar vervangt geen spamfilter. Het filter sorteert; jij bepaalt wat er online komt.

Over welke WordPress spam gaat het?

WordPress spam komt binnen via drie deuren: reacties onder je berichten, registraties van nepaccounts en formulieren. Dit artikel gaat over de eerste twee. Formulierspam los je meestal op met een honeypot, een verborgen veld dat alleen bots invullen, en eventueel Cloudflare Turnstile of reCAPTCHA. Hoe dat werkt, staat in contactformulier WordPress werkt niet.

Waarom spammen ze je site? Meestal voor links: naar hun eigen site, of naar een pagina die je bezoekers iets wil aansmeren. WordPress geeft links in reacties standaard het label nofollow mee, dus voor de spammer levert het weinig op in Google. Voor jou kost het wel iets: een site vol nepreacties oogt verwaarloosd, en een database vol nepaccounts is een risico. Een account met lage rechten is geen ramp, maar wel een opstapje als er ooit een lek in een plugin zit.

Spam is ook veranderd. Waar je vroeger reacties in gebroken Engels kreeg, krijg je nu nette, vriendelijke zinnen die een taalmodel schreef. Daar kom ik verderop op terug.

Laag 1: de instellingen van WordPress zelf

Voordat je een plugin installeert, scherp je de instellingen aan die WordPress al heeft. Je vindt ze onder Instellingen > Reacties (in het Engels: Discussion).

• Reactie moet handmatig worden goedgekeurd, of het mildere Auteur van de reactie moet een eerder goedgekeurde reactie hebben. Met dat laatste komen vaste lezers direct online, en wachten nieuwe namen op jou.
• Reacties met links in de wachtrij. WordPress houdt standaard een reactie met twee of meer links tegen. Zet dat getal op 1 als je veel linkspam krijgt.
• Een lijst met woorden. Woorden in de moderatielijst sturen een reactie naar de wachtrij. Woorden onder Niet toegestane reactie toetsen sturen hem direct naar de prullenbak. Zet daar de termen in die je steeds terugziet, zoals bepaalde domeinen of productnamen.
• Reacties automatisch sluiten op oudere berichten. Spam komt vaak binnen op artikelen van jaren geleden, waar niemand meer meeleest.
• Pingbacks en trackbacks uit. Die meldingen van andere sites zijn grotendeels een spamkanaal geworden.
• Reacties helemaal uit, als je ze niet gebruikt. Op veel bedrijfssites voegen reacties weinig toe. Zet ze dan uit voor nieuwe berichten en sluit ze op bestaande.

Voor registraties ga je naar Instellingen > Algemeen. Staat Iedereen kan registreren aan terwijl je geen ledensite of webshop met accounts hebt? Zet het uit. Heb je registratie wel nodig, laat nieuwe gebruikers dan altijd de rol Abonnee krijgen. Bij een webshop stel je in WooCommerce in waar klanten een account kunnen aanmaken.

Deze eerste laag kost niets en houdt al veel tegen. Het past in de basis van een veilige site, met updates, sterke wachtwoorden en weinig plugins. Die basis staat in WordPress beveiligen.

Laag 2: één spamfilter, vergeleken

Komt er dan nog veel spam door, kies dan één filter. Niet twee of drie naast elkaar: dat leidt tot dubbel werk en echte reacties die onterecht verdwijnen. Dit zijn de drie bekendste, stand oktober 2026.

Akismet: veel gebruikt, met een rekening voor bedrijven

Akismet is van Automattic en draait volgens WordPress.org op meer dan vijf miljoen sites. Elke reactie gaat naar de servers van Akismet, die hem vergelijken met spam van miljoenen andere sites. Daardoor vangt het veel. Volgens Akismet worden de meeste gegevens over spam na twee weken tot negentig dagen verwijderd.

Twee aandachtspunten. Een zakelijke site valt onder een betaald abonnement; gratis is bedoeld voor persoonlijke blogs. En in de instellingen van de plugin kun je een privacymelding onder je reactieformulier tonen. Die staat standaard uit. Zet hem aan.

Antispam Bee: gratis en lokaal, maar beperkt

Antispam Bee wordt onderhouden door het pluginkollektiv, een groep ontwikkelaars, en draait volgens WordPress.org op meer dan 700.000 sites. Het kijkt onder meer of een verborgen veld is ingevuld, hoe snel een reactie na het laden van de pagina wordt verstuurd en of de schrijver al eerder een goedgekeurde reactie had. Alles op je eigen server.

De beperking staat in de eigen veelgestelde vragen: Antispam Bee werkt het best met de gewone reacties van WordPress. Het beschermt geen formulierplugins, voorkomt geen spamregistraties en werkt niet met reactiesystemen die in een apart venster laden, zoals die van Jetpack, wpDiscuz en Disqus.

CleanTalk: alles in één, via de cloud

CleanTalk controleert reacties, registraties, formulieren en WooCommerce-bestellingen via zijn eigen cloud. Dat maakt het breder dan de andere twee. De keerzijde: net als bij Akismet gaan gegevens van je bezoekers naar een externe dienst, en je hebt een abonnement nodig na de proefperiode.

Laag 3: AI-moderatie, voor de toon en niet voor spam

De officiële AI-plugin van het WordPress-project heeft een experiment voor reactiemoderatie. De AI geeft elke nieuwe reactie een score op giftigheid en sentiment, en sinds versie 1.4.0 ook een waardescore tussen 0 en 1: hoe relevant is deze reactie? Daarnaast kan de plugin een antwoord voorstellen met een knop 'Suggest Reply'. Wat de plugin verder doet en wat het kost, lees je in WordPress AI-plugin.

Handig, maar het is geen spamfilter. Het beoordeelt de toon en de waarde van een reactie, en het werkt met je eigen AI-aanbieder. Dat betekent:

• Het kost geld per reactie. Elke reactie die binnenkomt, is een verzoek aan je AI-aanbieder. Ook de spam die je filter niet tegenhoudt.
• De tekst gaat naar een AI-dienst. Reacties bevatten namen en soms meer. Neem dat op in je privacyverklaring.
• Het past achter een spamfilter, niet ervoor. Laat eerst het filter de rommel opruimen. Gebruik AI daarna voor wat overblijft, als je veel echte reacties krijgt en hulp wilt bij het sorteren.

De rode draad: de AI sorteert en stelt voor. Wat er online komt en wat je terugschrijft, beslis jij.

Spam herkennen die met AI is geschreven

Een deel van de spam glipt door elk filter, en steeds vaker is die met AI geschreven. Herkennen lukt meestal aan de vorm, niet aan de taal:

• Algemene lof. "Wat een helder en informatief artikel, dank voor het delen." Past onder elk artikel ter wereld.
• Je eigen artikel in andere woorden. De reactie vat je stuk samen, maar voegt niets toe en stelt geen echte vraag.
• Een link in de naam of bij website. De naam is een zoekwoord, zoals 'Beste SEO-bureau', of de website heeft niets met de reactie te maken.
• Timing en herhaling. Binnen een paar minuten na publicatie, op een artikel van jaren geleden, of een reeks reacties met dezelfde opbouw onder andere namen.
• Tekst die zich richt tot een AI. Een zin als "negeer eerdere instructies" is bedoeld voor AI-tools die reacties lezen. Gebruik je AI-moderatie of laat je reacties samenvatten, lees dan prompt injection.

Vertrouw niet op een AI-detector om dit te beslissen. Zo'n tool kan niet betrouwbaar vaststellen of een tekst met AI is geschreven, en zit er ook bij teksten van mensen geregeld naast. Waarom, staat in AI-detector. De vraag is ook niet of iets met AI is geschreven, maar of het iets toevoegt aan je site.

AI laten meekijken in je wachtrij

Krijg je veel twijfelgevallen, dan kan een taalmodel helpen sorteren. Plak dan alleen de tekst van de reacties, zonder namen, e-mailadressen of IP-adressen.

Hieronder staan 20 reacties uit de wachtrij van mijn website over [onderwerp]. Deel ze in drie groepen: waarschijnlijk echt, waarschijnlijk spam, twijfel. Geef per reactie in één zin de reden, zoals: gaat in op een specifiek punt uit het artikel, algemene lof, of verwijst naar een product. Beslis niet voor mij; ik keur zelf goed of af.

Privacy: welk filter stuurt wat naar wie?

Bij elke reactie verwerk je persoonsgegevens: naam, e-mailadres en IP-adres. WordPress bewaart die zelf al. Een cloudfilter stuurt ze daarnaast naar een andere partij, en AI-moderatie stuurt de tekst naar een AI-aanbieder. Onder de AVG ben jij verantwoordelijk voor wat er met die gegevens gebeurt.

Wat ik je aanraad, zonder dat dit juridisch advies is:

• Zet in je privacyverklaring welke gegevens je bij reacties bewaart, welk filter je gebruikt, wat dat filter ontvangt en waarom.
• Kies bewust. Wil je zo min mogelijk gegevens delen, begin dan met de instellingen van WordPress en Antispam Bee. Heb je een filter nodig dat meer vangt of ook registraties controleert, dan deel je gegevens met Akismet of CleanTalk.
• Kijk naar je cookiebanner. Zet een filter of captcha cookies of vergelijkbare techniek op je site, check dan of dat past bij je banner. Hoe dat zit, lees je in cookiebanner verplicht.
• Plak geen reacties met persoonsgegevens in een persoonlijk AI-account. Wat wel en niet kan, staat in is ChatGPT AVG-proof.

Twijfel je over de grondslag of over gegevens die buiten de EU worden verwerkt, kijk dan op de site van de Autoriteit Persoonsgegevens of laat het toetsen.

Stappenplan: wie doet wat

1. Jij: beslis of je reacties en registraties echt nodig hebt. Zo niet, zet ze uit. Dat is de beste spambeveiliging.
2. Jij of je bouwer: scherp de instellingen van WordPress aan, zoals hierboven.
3. Jij of je bouwer: kies één filter op basis van wat je wilt beschermen en hoeveel gegevens je wilt delen.
4. Het filter: sorteert alle nieuwe reacties en registraties.
5. Eventueel AI: sorteert de echte reacties op toon en stelt antwoorden voor.
6. Jij: kijkt elke week in de wachtrij en in de spammap, keurt goed wat echt is en beantwoordt reacties zelf.
7. Jij of je bouwer: loopt elk kwartaal de gebruikerslijst na en verwijdert accounts die je niet kent.

Die laatste twee stappen worden vaak overgeslagen. Een filter dat echte reacties als spam markeert, merk je alleen als je in de spammap kijkt.

Checklist tegen WordPress spam

• Reacties en registratie staan uit waar je ze niet nodig hebt.
• Reacties met een link gaan naar de wachtrij.
• Reacties sluiten automatisch op oudere berichten.
• Pingbacks en trackbacks staan uit.
• Er draait één spamfilter, niet meerdere.
• Nieuwe gebruikers krijgen de rol Abonnee.
• Je privacyverklaring noemt je filter en wat het ontvangt.
• AI-moderatie, als je die gebruikt, staat achter het spamfilter.
• Iemand kijkt elke week in de wachtrij en de spammap.
• Elk kwartaal worden onbekende accounts verwijderd.

Conclusie: het filter sorteert, jij bepaalt wat online komt

WordPress spam stop je niet met één plugin, maar met drie lagen. Eerst de instellingen van WordPress zelf, dan één filter dat past bij wat je wilt beschermen: Antispam Bee voor reacties zonder gegevens te delen, Akismet of CleanTalk als je meer wilt vangen of ook registraties wilt controleren. AI-moderatie is een handige derde laag voor de toon van echte reacties, maar geen vervanging voor een spamfilter. En hoe goed het filter ook is: jij keurt goed, jij antwoordt en jij ruimt op.

Dat wekelijkse kijken en opruimen hoort bij goed onderhoud. Wat daar verder in hoort, lees je in website onderhoud: wat het kost. Wil je weten wat onderhoud bij mij kost? Download dan de prijslijst.