Guia · 5 min de leitura
Como impedir spam em formulários públicos
Atualizado 2026-09-17
Resumo
Combine um desafio que filtra bots sem um quebra-cabeça para humanos, um limite de taxa que restringe a velocidade com que uma fonte pode enviar, e campos obrigatórios que tornam mais difícil disparar respostas de lixo às cegas.
Qualquer formulário com um link público acaba atraindo bots, não porque é popular, mas porque bots enviam dados para qualquer URL de formulário que encontram, de forma automatizada e sem alvo. A solução não é fazer humanos provarem que são humanos com um quebra-cabeça chato, é uma abordagem em camadas: um desafio leve que roda de forma invisível para a maioria das pessoas, um limite de quão rápido uma fonte pode enviar, e uma validação que torna mais provável que um envio cego e roteirizado seja rejeitado. Este guia mostra o que realmente funciona e o que pular.
Antispam baseado em desafio
Serviços antispam modernos executam um desafio em segundo plano, verificando sinais e comportamento do navegador, e só mostram um quebra-cabeça visível para tráfego que parece suspeito. A maioria dos visitantes reais nunca vê nada, e esse é o ponto: filtragem de spam que adiciona atrito para respondentes legítimos só troca um problema por outro.
Essa é uma troca visivelmente melhor do que um CAPTCHA do estilo antigo que interrompe cada envio individual, já que só pede confirmação do tráfego que realmente parece automatizado.
Limite de taxa
Um limite de taxa restringe quantos envios podem vir de uma fonte em uma determinada janela, o que amortece o padrão de bot mais comum: um script disparando o mesmo formulário repetidamente o mais rápido possível. Não exige que o bot pareça suspeito primeiro, apenas para o volume.
Os limites de taxa devem ser generosos o suficiente para que uma pessoa real preenchendo um formulário algumas vezes (testando-o, ou uma família enviando separadamente a partir de uma mesma conexão) nunca os note, e rígidos o suficiente para que uma inundação roteirizada seja cortada rapidamente.
Campos obrigatórios como filtro
Marcar os campos de que você realmente precisa como obrigatórios cumpre dupla função: mantém os dados de resposta utilizáveis, e eleva a barra para um bot que envia às cegas sem inspecionar a estrutura do formulário. Um envio sem dados obrigatórios é rejeitado antes mesmo de chegar à sua lista de respostas.
Isso não é uma defesa principal sozinha, mas combinada com um desafio e um limite de taxa, ela bloqueia os envios roteirizados mais rudimentares, que nem se dão ao trabalho de preencher um conteúdo real.
O que pular
Resista à tentação de adicionar uma pergunta de segurança visível ou um quebra-cabeça matemático óbvio a cada formulário, isso filtra bots pouco sofisticados, mas também frustra respondentes reais, e um operador de bot determinado se adapta de qualquer forma. Um desafio em segundo plano que só escala para tráfego suspeito dá a mesma filtragem sem essa taxação sobre pessoas reais.
Resista também ao reflexo de trancar um formulário atrás de uma senha para impedir spam. Senhas servem para restringir quem pode ver o formulário, não para spam, use-as quando você genuinamente quer limitar o acesso a um grupo conhecido, não como medida antibot para um formulário público.
Como o YeetForm lida com isso
No YeetForm, os envios de formulários públicos são verificados contra o Cloudflare Turnstile (um desafio em segundo plano, não um quebra-cabeça visível para a maioria dos visitantes) e têm limite de taxa no lado do servidor, além de quaisquer campos que você tenha marcado como obrigatórios. O Turnstile automaticamente não faz nada em desenvolvimento local ou em qualquer ambiente onde não esteja configurado, então os testes não são bloqueados.