Si está viendo miles de donaciones "Pendientes" aparecer rápidamente, es probable que sea víctima de un ataque de "Prueba de tarjetas". Esto ocurre cuando los bots utilizan su formulario de donaciones para probar números de tarjetas de crédito robados para ver cuáles son válidos.

Esta guía cubre cómo limpiar las donaciones de spam y consejos generales para usuarios de Lite y Pro. Para obtener más información sobre cómo Charitable continúa trabajando en medidas anti-spam, no dude en visitar nuestro blog.

⚠️ Importante: Copias de seguridad y responsabilidad Antes de ejecutar cualquier plugin de eliminación masiva o scripts personalizados de base de datos, debe crear una copia de seguridad completa de su sitio. Si una operación de limpieza elimina datos de forma no intencionada o si las sugerencias anteriores no resuelven el problema, su red de seguridad es restaurar su sitio a una versión guardada antes de realizar los cambios. Tenga en cuenta que la ejecución de consultas de bases de datos y scripts de terceros se realiza bajo su propio riesgo; WP Charitable no es responsable de la pérdida de datos resultante de estas operaciones. Si no está seguro de cómo utilizar estas herramientas, le recomendamos encarecidamente que consulte con un desarrollador web o se ponga en contacto con nuestro equipo de soporte para obtener orientación *antes* de proceder.

Tabla de Contenidos

Eliminar donaciones pendientes

Si tiene una gran cantidad de donaciones de spam, no se recomienda intentar eliminarlas manualmente en el panel de WordPress. Esto probablemente bloqueará su navegador o agotará el tiempo de espera de su servidor.

Método 1: Configuración avanzada de Charitable (Recomendado)

Si está utilizando Charitable Pro (o el plugin Lite con el complemento Spam Blocker), hay una configuración "Eliminar donaciones masivamente" en Charitable -> Configuración -> Avanzado/Varios que puede eliminar TODAS las donaciones fallidas y pendientes en su instalación de WordPress. Tenga en cuenta que esto podría eliminar donaciones legítimas, por lo que es mejor realizar una auditoría antes de usar esta función.

Advertencia: Esto elimina permanentemente todas las donaciones de todas las campañas.

Método 2: Usar un plugin de eliminación masiva (Recomendado)

La forma más fácil de eliminar estos registros sin tocar código es usar un plugin gratuito diseñado para este propósito. También recomendamos esta opción porque algunos plugins ofrecen más control sobre qué elementos eliminar masivamente.

1. Vaya a Plugins > Añadir nuevo y busque "Eliminación masiva" (un plugin de este tipo es WP Bulk Delete, pero use el que crea que se ajusta a sus necesidades).
2. Instale y active el plugin.
3. Vaya a WP masivo > Eliminar publicaciones masivamente.
4. Seleccionar tipo de publicación: Elija Donaciones.
5. Seleccionar estado de publicación: Elija Pendiente (o charitable-pending).
6. Elegir acción: Seleccione "Mover a la papelera" o "Eliminar permanentemente".
7. Ejecute la eliminación. Nota: Es posible que necesite ejecutar esto en lotes si su servidor es lento.

Método 3: Usar un script personalizado (Avanzado)

Si el plugin tiene problemas con el volumen o prefiere una solución basada en código, puede usar nuestro script de limpieza.

1. Instala el plugin gratuito WPCode.
2. Utiliza el siguiente fragmento para eliminar de forma segura las donaciones pendientes directamente de la base de datos:
   • Ver fragmento de limpieza en la biblioteca de WPCode

Importante: Una vez que la limpieza esté hecha, recuerda desactivar el fragmento para que no siga ejecutándose.

Pasos a seguir para una mayor prevención

Recomendamos implementar las medidas en este orden:

DNS y Servidor (La Mejor Defensa)

El mejor lugar para detener un bot es antes de que llegue a tu sitio de WordPress.

• Cloudflare: Recomendamos encarecidamente poner tu sitio detrás de Cloudflare (su plan gratuito es excelente). Incluye el "Modo de Lucha contra Bots" y limitación de tasa que pueden bloquear estos ataques a nivel de DNS.
• Tu Proveedor de Hosting: Contacta a tu host inmediatamente. A menudo pueden ver los patrones de ataque (por ejemplo, tráfico proveniente de un país específico) y bloquear esas direcciones IP a nivel de servidor.

Seguridad General de WordPress

• Plugins de Seguridad: Plugins como Wordfence o Solid Security tienen herramientas de monitorización de tráfico que pueden detectar comportamiento agresivo de bots y bloquear sus IPs automáticamente.

Ajustes Específicos de Charitable

Si tienes una licencia de pago y usas Charitable (no el plugin Pro), asegúrate de tener instalada la extensión Bloqueador de Spam.

• Limitación de Tasa: Ayuda a prevenir envíos de "disparo rápido".
• CAPTCHA: Añade Google reCAPTCHA o hCaptcha a tus formularios.
• Registro de IP: Rastrea las direcciones IP de los donantes, permitiéndote bloquear infractores específicos.

Si estás usando la versión gratuita (Charitable Lite), puedes usar estos ajustes y fragmentos de código para añadir barreras:

• Aumentar Monto Mínimo de Donación: Los bots a menudo prueban con cantidades muy pequeñas (por ejemplo, 1,00 $) para que las transacciones pasen desapercibidas.
  • Ve al editor de tu Campaña.
  • Localiza la pestaña Opciones de Donación.
  • Aumenta el importe de la Donación Mínima Sugerida (por ejemplo, súbelo de 1 $ a 5 $ o 10 $).
  • Nota: Aunque útil, los bots sofisticados pueden adaptarse a esto, así que no confíes en esto como tu única defensa.
• Bloquear por Patrón de Email: Si los bots están usando un patrón de email específico (por ejemplo, letras aleatorias o dominios específicos), puedes usar este fragmento para bloquearlos:
  • Ver fragmento de bloqueo de email
• Cambiar URL: Cambiar temporalmente la URL de tu página de donaciones a veces puede detener a un bot que se dirige a un enlace específico.

Ten en cuenta que los usuarios de Charitable Pro tienen una pestaña de "seguridad" que incluye muchas de las características mencionadas anteriormente. Por ejemplo, aquí tienes una guía sobre validación avanzada de correos electrónicos.

Protección de Pasarela de Pago (Stripe y PayPal)

Tu procesador de pagos a menudo tiene herramientas avanzadas que pueden bloquear el fraude antes de que notifique a tu sitio web. Ten en cuenta que la información a continuación es precisa en el momento de escribir esto; para obtener la información más actualizada, consulta los sitios de tu proveedor de pasarela.

Usuarios de Stripe: Stripe Radar Stripe tiene una herramienta de detección de fraude integrada llamada Radar.

• Radar Estándar (Gratis): Viene con todas las cuentas de Stripe. Utiliza aprendizaje automático para bloquear pagos que parezcan sospechosos. También puedes añadir manualmente direcciones de correo electrónico o tarjetas específicas a una "Lista de bloqueo" en tu Panel de control de Stripe, en Fraude y Riesgo > Listas.
• Radar para Equipos de Fraude (Actualización de Pago): Esta versión te permite escribir Reglas Personalizadas.
  • Consejo: Si notas que los bots utilizan el mismo dominio de correo electrónico (por ejemplo, [email protected] o [email protected]), puedes crear una regla para bloquear todo ese dominio.
  • Asistente de IA: La versión de pago incluye un asistente de IA que te permite escribir solicitudes en lenguaje natural como "Bloquear todos los pagos donde el dominio de correo electrónico sea ejemplo.com" y generará la regla por ti.
  • Lee más sobre Stripe Radar aquí.

Usuarios de PayPal: Protección contra el Fraude PayPal ofrece protecciones similares para cuentas Business.

• Protección contra el Fraude: Ve a Herramientas para Empresas > Gestionar Riesgos > Protección contra el Fraude. PayPal actualmente tiene un plan gratuito de protección contra el fraude con posibles mejoras.
• Puedes configurar filtros para marcar o rechazar transacciones basándote en importes elevados, discrepancias de dirección (AVS) o fallos en el código de seguridad de la tarjeta (CVV). Si identificas direcciones de correo electrónico o direcciones IP específicas que te atacan repetidamente, puedes añadirlas a tus listas negativas dentro de la configuración de Protección contra el Fraude de PayPal.
• Lee más sobre la Gestión de Fraude de PayPal aquí.

Recomendamos monitorizar tu sitio de cerca durante las primeras 24-48 horas después de que se hayan implementado los cambios. Si ves que el spam vuelve a empezar, cambia inmediatamente el estado de tu campaña a 'Borrador' y aumenta tu configuración de seguridad (por ejemplo, habilita el "Modo bajo ataque" en Cloudflare).

Consulta tus Paneles de Control de Stripe/PayPal Si bien las donaciones "Pendientes" en Charitable suelen indicar que el pago fue abandonado o fallido, siempre debes verificar directamente en tu panel de control de Stripe o PayPal. Verifica que no se hayan realizado cargos exitosos durante el ataque. Si encuentras algún cargo no autorizado exitoso, reembolsalo inmediatamente a través del procesador de pagos para evitar posibles tarifas de disputa o contracargos más adelante.

Una Nota sobre "Prueba de Tarjetas" Recuerda que la "Prueba de Tarjetas" es un problema común que afecta a toda la industria del comercio electrónico y las donaciones, no solo a tu sitio específico. Los bots buscan cualquier formulario abierto para probar datos robados. Al utilizar una combinación de bloqueo a nivel de servidor (como Cloudflare) y las restricciones en el sitio descritas anteriormente, haces que tu sitio sea un objetivo poco atractivo, lo que anima a los bots a irse.

Solicitudes varias

Si está utilizando alguna versión de Charitable, incluida Charitable Lite, y necesita ponerse en contacto con nuestro equipo de soporte sobre cualquier cosa no cubierta anteriormente, no dude en utilizar nuestro formulario de soporte. Si la consulta está relacionada con Stripe, no dude en proporcionar cualquier nombre comercial e información asociada con la cuenta que utilizó para conectar su sitio web a Stripe a través de Charitable. Esto garantizará que la información intercambiada se mantenga privada y segura.