WordPress-Captcha einbinden: EU CAPTCHA Schritt für Schritt
Mit dem Plugin „EU-Captcha“ schützen Sie Anmeldung, Registrierung und Kommentare sowie Formulare von Contact Form 7, Ninja Forms, WPForms und Elementor Pro mit einer Prüfung im Hintergrund. Besucher sehen kein Bilderrätsel und müssen nichts anklicken, nur ein kleines Myra-Logo erscheint am Formular. Die Einrichtung ist in wenigen Minuten erledigt; die einzelnen Schritte stehen unten.
Was das Plugin abdeckt
| Option im Plugin | Was geschützt wird | Voraussetzung |
|---|---|---|
| „WordPress-Anmeldung“ | Login unter wp-login.php | keine |
| „WordPress-Registrierung“ | Registrierung neuer Konten | keine |
| „WordPress-Beitrags-/Kommentarseite“ | Kommentarformular | keine |
| „Contact Form 7“ | alle Formulare von Contact Form 7 | Contact Form 7 |
| „Ninja Forms“ | Formulare von Ninja Forms | Ninja Forms |
| „WPForms“ | Formulare von WPForms | WPForms |
| „Elementor Pro Forms“ | neuer Feldtyp „EU Captcha“ im Formular-Widget | Elementor Pro |
| „WooCommerce-Kasse“ | klassische Kasse | WooCommerce |
Nicht dabei sind Gravity Forms, die Anmeldung und Registrierung unter „Mein Konto“ von WooCommerce sowie „Passwort vergessen“. Logins über XML-RPC, die REST-API und Anwendungspasswörter prüft das Plugin bewusst nicht, weil dort kein Formular angezeigt wird. Diese Zugänge sichern Sie separat, etwa durch Abschalten von XML-RPC, ein Rate Limit oder eine WAF.
Voraussetzungen laut Dokumentation sind WordPress 5.8 und PHP 7.4; getestet ist das Plugin in Version 1.1.0 bis WordPress 6.9.
Einrichtung in fünf Schritten
- Laden Sie die Datei eu-captcha.zip aus dem GitHub-Repository herunter. Im WordPress-Plugin-Verzeichnis steht das Plugin derzeit nicht.
- Öffnen Sie in WordPress unter „Plugins“ die Seite zum Hinzufügen neuer Plugins, klicken Sie auf „Plugin hochladen“, wählen Sie die ZIP-Datei und aktivieren Sie das Plugin.
- In der linken Menüleiste erscheint ein eigener Punkt „EU-Captcha“ mit Schild-Symbol, in der Standardanordnung unterhalb von „Kommentare“. Klicken Sie dort auf „Schnelleinrichtung“. Es öffnet sich ein Fenster, in dem Sie ein Konto anlegen, zum Beispiel mit einem Google-, Apple- oder GitHub-Konto. Sitekey und Secret übernimmt das Plugin danach selbst.
- Kreuzen Sie unter „Geschützte Ziele“ die Formulare an, die Sie schützen wollen.
- Klicken Sie auf „Speichern & Testen“. Bei Erfolg meldet das Plugin „EU-Captcha-API-Test erfolgreich.“
Wer schon ein Konto hat, legt im EU-CAPTCHA-Dashboard einen Sitekey für die Domain an, nur den Hostnamen ohne https://, und trägt „Öffentlicher Sitekey“ und „Secret“ unter „API-Einstellungen“ von Hand ein. Ein Sitekey gilt für genau eine Domain. Für eine Staging-Umgebung legen Sie also einen eigenen an.
Wichtige Einstellungen
„CDN-/Proxy-Header prüfen“ ist ab Werk an. Das Plugin liest dann die echte Besucher-IP aus Headern wie X-Forwarded-For, was hinter einem CDN oder Reverse Proxy nötig ist. Läuft Ihre Seite ohne Proxy direkt im Internet, schalten Sie die Option aus, weil Angreifer diese Header sonst fälschen können.
„Ausfallsicherung“ ist ab Werk aus. Ist die Prüfung nicht erreichbar, lehnt WordPress das Formular dann ab. Für einen Shop, in dem jede Bestellung zählt, kann es sinnvoll sein, sie einzuschalten; ungültige Tokens werden trotzdem abgewiesen.
Unter „Theme“ wählen Sie hell oder dunkel, Höhe und Breite des Widgets lassen sich in Pixeln anpassen.
Hinweise zu einzelnen Plugins
In Contact Form 7 hängt das Plugin das Widget ans Ende des Formulars. Schlägt die Prüfung fehl, markiert Contact Form 7 die Nachricht als Spam und vermerkt im Spam-Log „eu-captcha“ als Agent. Gegen Spam, den Menschen von Hand eintippen, hilft zusätzlich die Sperrliste, die Contact Form 7 aus WordPress übernimmt.
In Elementor Pro legen Sie im Formular-Widget ein Feld vom Typ „EU Captcha“ an und veröffentlichen die Seite. Weitere Einstellungen am Feld gibt es nicht. In Popups wird das Feld bei jedem Öffnen neu gestartet.
Bei WooCommerce kommt es auf die Art der Kasse an. Das Plugin nutzt die Hooks der klassischen Kasse. Seit WooCommerce 8.3 bekommen neue Shops standardmäßig die blockbasierte Kasse, und für diese führt WooCommerce den betreffenden Hook als nicht unterstützt. WooCommerce schreibt außerdem, dass geprüfte Captcha-Plugins die Store API der Block-Kasse in einigen Fällen nicht geschützt haben. Eine Integration für die Block-Kasse hat das Plugin nicht; dort erscheint kein Widget, und Bestellungen laufen ungeprüft durch. An der Kasse sollten Sie EU CAPTCHA deshalb nur zusammen mit der klassischen Kasse einsetzen, also mit dem Shortcode [woocommerce_checkout]. Gegen Kartentests empfiehlt WooCommerce, zusätzlich das Rate Limit der Store API einzuschalten. Ab Werk ist es aus.
Datenschutzerklärung anpassen
Was in die Datenschutzerklärung gehört, ergibt sich aus den Datenflüssen:
| Wo | Was passiert |
|---|---|
| Browser des Besuchers | Das Widget rechnet eine kryptografische Aufgabe und wertet Browser-Merkmale aus; das Ergebnis geht als Token an Ihren Server. |
| cdn.eu-captcha.eu | Von hier kommt das Skript. Es lädt auf allen Seiten Ihrer Website, sobald Sie ein Ziel angekreuzt haben, nicht nur auf Seiten mit Formular. |
| api.eu-captcha.eu | Bei jeder Prüfung schickt Ihr Server Sitekey, Secret, das Token sowie IP-Adresse und User-Agent des Besuchers hierher. |
Diese Datenflüsse gehören in Ihre Datenschutzerklärung. Myra Security arbeitet dabei als Auftragsverarbeiter nach Art. 28 DSGVO und stellt einen AVV bereit. Ob Sie für das Captcha eine Einwilligung brauchen, ist eine andere Frage. Sie hängt an § 25 TDDDG, die Kriterien erklärt der Beitrag reCAPTCHA und DSGVO.
Wenn das Widget nicht erscheint
| Was Sie sehen | Ursache und Abhilfe |
|---|---|
| Das Widget fehlt überall | Prüfen Sie zuerst, ob Sie mindestens ein Ziel angekreuzt und gespeichert haben; ohne Ziel lädt das Plugin kein Skript. |
| Das Widget fehlt, Ihre Seite setzt eine Content Security Policy | https://cdn.eu-captcha.eu muss in script-src und frame-src erlaubt sein. |
| Hinter einem CDN werden alle Formulare abgelehnt | Meist ist „CDN-/Proxy-Header prüfen“ ausgeschaltet. |
| Ein eigenes Formular soll geschützt werden | Das Plugin stellt die PHP-Funktion eu_captcha_verify() bereit, die ein Token prüft und true oder false zurückgibt. |
Weitere Wege gegen Formular-Spam, von Honeypot bis Moderation, beschreibt der Beitrag Spam im Kontaktformular verhindern.
Häufige Fragen
Gibt es das EU-CAPTCHA-Plugin im WordPress-Plugin-Verzeichnis?
Nein, Stand 11.10.2026 nicht. Das Plugin „EU-Captcha“ gibt es als ZIP-Datei im GitHub-Repository der Myra Security GmbH. Sie laden es in WordPress über „Plugin hochladen“ hoch. Updates spielen Sie auf demselben Weg ein, solange das Plugin nicht im Verzeichnis steht.
Funktioniert EU CAPTCHA mit Gravity Forms?
Derzeit nicht. Das Plugin unterstützt die WordPress-Anmeldung, die Registrierung, Kommentare, Contact Form 7, Ninja Forms, WPForms, Elementor Pro Forms und die klassische WooCommerce-Kasse. Für weitere Formular-Plugins bittet Myra in der Dokumentation um eine Nachricht an den Support.
Schützt das Plugin auch den WooCommerce-Login und den Block-Checkout?
Das Plugin hängt sich an die klassische WooCommerce-Kasse. Für die Anmeldung unter „Mein Konto“, die WooCommerce-Registrierung und „Passwort vergessen“ gibt es keine eigene Option. Seit WooCommerce 8.3 nutzen neue Shops standardmäßig die blockbasierte Kasse, für die WooCommerce den vom Plugin genutzten Hook als nicht unterstützt führt. Testen Sie die Kasse Ihres Shops nach der Einrichtung.
Was passiert, wenn die EU-CAPTCHA-API nicht erreichbar ist?
Das steuert die Option „Ausfallsicherung“ (englisch „Failsafe“). Ab Werk ist sie aus: Kann WordPress die Prüfung nicht erreichen, lehnt es das Formular ab. Schalten Sie sie ein, lässt WordPress Formulare bei einem Verbindungsfehler durch. Ungültige Tokens werden in beiden Fällen abgelehnt.
Welche Daten gehen bei der Prüfung an Myra?
Im Browser rechnet das Widget eine kryptografische Aufgabe und wertet Browser-Merkmale aus; das Skript kommt von cdn.eu-captcha.eu. Beim Absenden schickt Ihr WordPress-Server laut Dokumentation Sitekey, Secret, das Token sowie IP-Adresse und User-Agent des Besuchers an api.eu-captcha.eu. Diese Datenflüsse gehören in Ihre Datenschutzerklärung.
Quellen
- EU CAPTCHA Dokumentation, WordPress-Plugin, abgerufen am 11.10.2026
- Myra Security GmbH, eu-captcha-wordpress auf GitHub (Version 1.1.0), abgerufen am 11.10.2026
- WooCommerce, Hook alternatives for Cart and Checkout blocks, abgerufen am 11.10.2026
- WooCommerce, FAQ: Extending Cart and Checkout Blocks, abgerufen am 11.10.2026
- WooCommerce, Card testing attacks and the Store API, abgerufen am 11.10.2026
- Contact Form 7, FAQ: I get spam messages through my contact forms, abgerufen am 11.10.2026