Spam y Privacidad de Formulario

Los forms enfrentan internet sin filtro, así que las defensas están integradas en lugar de agregadas: rate limits (página anterior) más Turnstile, bloqueo por país, honeypot y un filtro de contenido spam: y del lado de la privacidad, switches por form para el almacenamiento de IP y la retención de datos, más un field de disclosure para transparencia estilo GDPR.

Cloudflare Turnstile (verificación humana)

Opcional por form (checkbox en los ajustes del form, habilitado por defecto; solo desafía realmente cuando las llaves site/secret de Turnstile están configuradas a nivel de site en Settings → Security).
Los desafíos aparecen en el embed del form; el CMS verifica el token del lado del servidor, sin bloquear. Los fallos de red en la llamada de verificación de Cloudflare fallan abiertos (la submission se permite) para que una caída nunca se trague leads legítimos; un “no” parseable del desafío falla cerrado y la submission se rechaza.
En modo air-gap la verificación de Turnstile se omite y el widget se elimina sin importar las llaves almacenadas.

Bloqueo por país

Un form puede listar códigos ISO de país (separados por comas) a rechazar; requiere que el proxy frontal suministre una cabecera de país (el CF-IPCountry de Cloudflare). Sin esa cabecera, nada se bloquea : el ajuste es ruido inofensivo en otros stacks.
Los visitadores bloqueados reciben un mensaje de región-no-aceptada con un HTTP 403.

Honeypot y defensas silenciosas

Los forms incluyen una trampa para bots: las submissions que llenan el honeypot se descartan silenciosamente: el bot ve un éxito de apariencia normal y nunca se entera de que algo anduvo mal.
Un sondeo malicioso del área de archivos del propio form se registra como un hit de honeypot en el trail de eventos de seguridad.

Filtro de contenido spam

Los fields de texto reciben una heurística de sentido común: las personas reales no pegan HTML o BBCode en un form de contacto. Un field de texto libre que contenga markup, BBCode o más de una URL se descarta silenciosamente (respuesta de aspecto exitoso, nada almacenado). Los tipos de field email, tel, URL y estructurados están exentos del escaneo.

Switches de privacidad (también listados en la página de Submissions)

Almacenar IPs de quienes envían : por form, desactivado significa que nunca se escriben.
Señales de privacidad del navegador (DNT / Global Privacy Control) suprimen las IPs almacenadas y la atribución de campaña incluso cuando el almacenamiento está activo.
Días de retención de submissions: auto-eliminar después de N días; 0 conserva para siempre.
Disclosure del destinatario del webhook : una línea pública opcional mostrada en el form: “Your data will be shared with: [value]”: para transparencia estilo GDPR cuando las submissions alimentan un sistema externo.
Línea de IP en la notificación : puede omitir la IP de quien envía del email de notificación al admin.