Protéger un formulaire WordPress contre les robots, sans extension

<?php
// wp-config.php, au-dessus de la ligne « That's all, stop editing! ».
define('ANTISY_SITE_KEY', 'VOTRE_CLE_DE_SITE');                  // publique : elle va dans la page
define('ANTISY_SECRET', 'VOTRE_SECRET_DE_VERIFICATION');         // secret : jamais dans le dépôt d'un thème

// Dans antisy.php, remplacez cette ligne de la fonction de la documentation :
'secret' => getenv('ANTISY_SECRET'),
// par celle-ci :
'secret' => ANTISY_SECRET,

<?php
// Dans un plugin à vous, ou dans functions.php du thème : la balise, dans le <head> de chaque page.
add_action('wp_head', function () {
    if (!defined('ANTISY_SITE_KEY')) {
        return;
    }
    printf(
        '<script src="https://api.antisy.com/v1/i/l.js" data-site="%s" defer></script>' . "\n",
        esc_attr(ANTISY_SITE_KEY)
    );
});

// La fonction antisy_verdict() de la documentation, enregistrée dans antisy.php à côté de ce fichier.
require_once __DIR__ . '/antisy.php';

<?php
/**
 * Vérifie le jeton Antisy (mode simple). Rend le verdict : "allow" ou "deny".
 *
 * - jeton vide ou absent : envoyé tel quel, Antisy décide ; jeton non vide inutilisable : "deny", sans appel ;
 * - Antisy ne répond pas (réseau, délai, 5xx) : "allow" et on journalise (fail-open) ;
 * - 429 : ANTISY_ON_RATE_LIMIT ;
 * - tout autre statut que 200 (400, 401, 413, 415...) : erreur de VOTRE appel, journalisée,
 *   tentative non vérifiée : "deny". Jamais "allow".
 */
const ANTISY_ON_RATE_LIMIT = 'allow'; // 'deny' pour un formulaire sensible : un attaquant peut provoquer un 429

function antisy_verdict(mixed $token): string
{
    if ($token === null) {
        $token = ''; // champ absent : traité comme vide
    }
    // Vide : envoyé tel quel, Antisy décide (collecte allumée : deny ; éteinte : le moteur décide).
    // Non vide : 1 à 2 048 caractères ASCII imprimables ; /D : « $ » ne tolère pas un saut de ligne final.
    if ($token !== '' && (!is_string($token) || !preg_match('/^[\x20-\x7e]{1,2048}$/D', $token))) {
        return 'deny'; // un tableau de formulaire, un jeton trop long ou piégé : ce que répondrait Antisy
    }

    $ch = curl_init('https://api.antisy.com/v1/siteverify');
    curl_setopt_array($ch, [
        CURLOPT_POST => true,
        CURLOPT_RETURNTRANSFER => true,
        CURLOPT_TIMEOUT => 3, // secondes ; au-delà, fail-open
        CURLOPT_FOLLOWLOCATION => false, // aucune redirection suivie (c'est le défaut, écrit pour qu'on ne l'allume pas) : une 3xx est une erreur de VOTRE appel
        CURLOPT_POSTFIELDS => http_build_query([
            'secret' => getenv('ANTISY_SECRET'), // secret siteverify ; jamais en dur ni côté client
            'response' => $token,
        ]),
    ]);
    $body = curl_exec($ch);
    $status = curl_getinfo($ch, CURLINFO_RESPONSE_CODE);
    $error = curl_error($ch);
    curl_close($ch);

    // Seul cas où l'on laisse passer : Antisy ne répond pas.
    if ($body === false || $status >= 500) {
        error_log("Antisy injoignable, envoi laissé passer (fail-open): {$error} (HTTP {$status})");
        return 'allow';
    }
    if ($status === 429) {
        error_log('Antisy 429 (voie saturée): ' . ANTISY_ON_RATE_LIMIT);
        return ANTISY_ON_RATE_LIMIT;
    }
    if ($status !== 200) {
        error_log("Antisy HTTP {$status} : erreur de l'appel, à corriger ; tentative non vérifiée");
        return 'deny';
    }
    $result = json_decode($body, true);
    if (is_array($result) && is_bool($result['success'] ?? null)) {
        if ($result['success']) {
            return 'allow'; // la seule acceptation
        }
        return 'deny'; // success false : refus (le verdict vaut « deny »)
    }
    error_log('Réponse Antisy illisible, tentative non vérifiée');
    return 'deny';
}

<?php
// Les commentaires : le formulaire de WordPress envoie ses champs à wp-comments-post.php, sur votre site.
// Ce crochet s'exécute avant que le commentaire soit traité.
add_action('pre_comment_on_post', function () {
    if (antisy_verdict($_POST['antisy-token'] ?? '') !== 'allow') {
        wp_die('Envoi refusé.', 'Envoi refusé', ['response' => 403, 'back_link' => true]);
    }
});

<form method="post" action="<?php echo esc_url(admin_url('admin-post.php')); ?>">
  <input type="hidden" name="action" value="antisy_contact">
  <label>Nom <input name="name" autocomplete="name"></label>
  <label>E-mail <input name="email" type="email" autocomplete="email"></label>
  <label>Message <textarea name="message"></textarea></label>
  <button>Envoyer</button>
</form>

<?php
function antisy_contact_handler(): void
{
    if (antisy_verdict($_POST['antisy-token'] ?? '') !== 'allow') {
        wp_die('Envoi refusé.', 'Envoi refusé', ['response' => 403, 'back_link' => true]);
    }

    // … nettoyer les champs, puis envoyer ou enregistrer le message (wp_mail, article, base…)

    wp_safe_redirect(home_url('/merci/'));
    exit;
}
add_action('admin_post_nopriv_antisy_contact', 'antisy_contact_handler'); // visiteur non connecté
add_action('admin_post_antisy_contact', 'antisy_contact_handler');        // visiteur connecté

{
  "success": true,
  "verdict": "allow",
  "flags": [],
  "error-codes": [],
  "challenge_ts": "2026-09-24T10:00:00Z",
  "hostname": "shop.example",
  "action": "contact",
  "event_id": "evt_01J7X4M2Q9K8ZP3R5T6V7W8Y9A"
}