powermailrecaptcha para TYPO3

Powermail sin protección anti-spam se convierte en un vertedero en pocas semanas

Powermail es, junto al Form Framework del core, la extensión de formularios más utilizada en TYPO3. Más de 2,7 millones de descargas (datos de Packagist, septiembre de 2026), desde formularios de contacto hasta formularios de candidatura y recorridos de consulta complejos con múltiples pasos. El problema: todo formulario público sin CAPTCHA acaba siendo descubierto por bots. Consecuencia típica: de 200 a 500 entradas de spam al día, bandejas de entrada saturadas, estadísticas contaminadas y formularios que el personal termina ignorando, incluidas las consultas reales.

powermailrecaptcha es el complemento oficial de Powermail que integra Google reCAPTCHA v2 en los formularios Powermail. La extensión la mantiene in2code (el desarrollador de Powermail), y cada versión está ajustada a la serie de Powermail correspondiente.

Escenarios de uso habituales

Formularios de contacto en webs corporativas. El escenario estándar: un formulario con nombre, email, mensaje y botón de envío. Sin CAPTCHA llegan entre 50 y 300 mensajes de spam al día, mayoritariamente con enlaces a sitios farmacéuticos o de apuestas. powermailrecaptcha usa aquí la casilla de reCAPTCHA v2: un clic para el usuario y, ante un comportamiento sospechoso, Google añade un reto de imágenes.

Formularios de candidatura con carga de archivos. Páginas de empleo donde los candidatos suben CV y carta de presentación son especialmente vulnerables al spam, porque los bots distribuyen malware a través de la función de carga. reCAPTCHA filtra las solicitudes automatizadas. Adicionalmente, debe estar activa una verificación de tipo de archivo en el servidor (solo PDF, DOCX) y una limitación de tamaño (máx. 10 MB).

Formularios multietapa con lógica condicional. Con la extensión adicional powermail_cond, Powermail puede construir formularios con condiciones: si se selecciona “Sector = Inmobiliario”, aparecen campos adicionales. En estos formularios basta un CAPTCHA en la última página antes del envío. powermailrecaptcha aporta para ello un tipo de campo propio que se coloca en esa última página, y así funciona también en formularios multi-step.

Arquitectura técnica

powermailrecaptcha extiende Powermail a través de su protección anti-spam: un método propio de Spam Shield y, desde la versión 13.1.0, un validador, ambos registrados mediante TypoScript. Al renderizar el formulario, se incluye el JavaScript de reCAPTCHA (desde google.com/recaptcha/api.js). Al enviar, el token reCAPTCHA se valida en el servidor: TYPO3 llama a https://www.google.com/recaptcha/api/siteverify con el token y la Secret Key como parámetros de URL. Google responde con una confirmación (success).

La configuración se realiza mediante constantes TypoScript: Site Key y Secret Key (de la Consola de Administración de Google reCAPTCHA) y el idioma del widget. Las claves se gestionan en el backend TYPO3 bajo Constants, idealmente mediante variables de entorno para que no acaben en el repositorio Git.

Problemas frecuentes y soluciones

Preocupaciones RGPD por la conexión con Google. reCAPTCHA carga JavaScript desde servidores de Google y transmite la dirección IP del usuario a Google. Sin consentimiento, esto supone un riesgo real. Solución: cargar reCAPTCHA solo cuando el usuario haya consentido vía banner de cookies (integración de consentimiento). O migrar completamente a alternativas: Friendly Captcha (proveedor alemán, sin seguimiento, endpoint en la UE desde el plan Advanced), hCaptcha (proveedor estadounidense que trata los datos en EE.UU.) o una estrategia pura de honeypot sin servicios externos.

reCAPTCHA v3 bloquea usuarios reales. El algoritmo de puntuación es una caja negra. Algunos usuarios reales (por ejemplo, detrás de VPN, con bloqueador de anuncios, en dispositivos antiguos) reciben puntuaciones bajas y se bloquean erróneamente. Solución: en una integración propia de v3, no fijar el umbral en 0.5 sino en 0.3, y añadir además un campo honeypot; powermailrecaptcha usa la casilla de v2. Alternativa: mostrar un fallback a reCAPTCHA v2 Checkbox con puntuación baja, en lugar de bloquear directamente.

Conflicto de extensión con Content Security Policy. Desde TYPO3 v12, el Core soporta Content Security Policies (CSP). El JavaScript de reCAPTCHA desde google.com debe permitirse en la CSP; de lo contrario se bloquea. Solución: añadir en la configuración CSP script-src para https://www.google.com/recaptcha/ y https://www.gstatic.com/recaptcha/, frame-src para https://www.google.com/recaptcha/ y https://recaptcha.google.com/recaptcha/ y connect-src para https://www.google.com/recaptcha/.

Migración y compatibilidad de versiones

powermailrecaptcha es compatible con TYPO3 v11 y v12 con la serie 5.2.x y con TYPO3 v13 desde la versión 13.0.0. La extensión sigue el ciclo de releases de Powermail: para TYPO3 v13, powermailrecaptcha llegó cuatro semanas después de Powermail; para v12, siete meses después. Para TYPO3 v14, ambas solo están disponibles por ahora en el Early Access Program de in2code; las versiones libres están anunciadas para enero de 2027.

Para proyectos que quieran cambiar de reCAPTCHA a una alternativa más amigable con el RGPD, la migración es sencilla. Friendly Captcha ofrece con la extensión friendlycaptcha_official de Studio Mitte su propio campo para Powermail, que ocupa el lugar del campo reCAPTCHA: instalar extensión, introducir claves, cambiar el campo en el formulario, desactivar powermailrecaptcha. El resto de la configuración del formulario en Powermail permanece inalterada. Gosign recomienda Friendly Captcha como estándar para nuevos proyectos.

Un aspecto frecuentemente ignorado es la prevención de spam más allá de los CAPTCHAs. Powermail ofrece nativamente un campo honeypot (un campo de formulario invisible que solo los bots rellenan). En combinación con una verificación temporal (el formulario debe estar abierto al menos 3 segundos antes de poder enviarse), se filtra la mayor parte del spam automatizado sin servicios externos. Gosign aplica en proyectos donde la conformidad RGPD es prioritaria una estrategia de tres capas: honeypot y verificación temporal como primera capa (0 peticiones externas), Friendly Captcha como segunda capa (servidores UE) y análisis de contenido en servidor como tercera capa (densidad de enlaces, idioma, patrones de spam conocidos). Esta combinación alcanza una tasa de detección de spam superior al 99 % sin servicios de Google.