En Contact Form 7, una respuesta naranja suele indicar que el envío se clasificó como spam. No equivale al error rojo al enviar correo ni a un fallo de validación de campos. La diferencia es importante: cambiar SMTP no repara una petición rechazada antes de crear el mensaje.
Reproduce el resultado con un envío controlado e identifica por qué se tomó esa decisión.
Conserva la evidencia de una petición fallida
Usa datos sintéticos y registra URL, hora exacta, navegador e ID de Contact Form 7. En el panel de red, localiza la petición REST del plugin y conserva su estado y respuesta JSON ocultando los valores sensibles.
Confirma que la respuesta identifica spam. Un producto de seguridad puede devolver su propia página 403 y dejar la interfaz en un estado parecido, pero la causa y la reparación serán diferentes.
No compartas datos de visitantes, tokens CAPTCHA ni cuerpos completos.
Consulta la razón interna de spam
Contact Form 7 puede asociar una razón de spam durante el procesamiento. Utiliza brevemente un método de depuración apropiado o un registro de confianza para descubrir qué módulo marcó la prueba.
Si la web utiliza Flamingo u otro almacén, revisa su sección de spam como administrador autorizado. La petición rechazada puede estar allí aunque nunca se generase una notificación.
Desactiva el registro adicional tras la prueba y respeta la política de retención.
Comprueba reCAPTCHA sin eliminar la protección
Verifica que la clave del sitio corresponde al hostname público actual y que el secreto emparejado es válido. Una migración, una copia staging o un cambio entre www y sin www puede dejar claves asociadas al dominio anterior.
Revisa consola y red en busca de scripts de Google bloqueados, interferencias del gestor de consentimiento o errores de Content Security Policy. Un plugin de caché u optimización puede retrasar o combinar código CAPTCHA y cambiar su ejecución.
No publiques el secreto ni dejes reCAPTCHA desactivado como solución final.
Revisa los datos enviados a Akismet
Si existe integración con Akismet, confirma que las etiquetas identifican correctamente nombre, email y URL del remitente. Un mapeo que envíe un valor administrativo fijo o un email mal formado puede influir en la clasificación.
Haz una prueba etiquetada con texto normal y una dirección sintética que controles. No repitas frases de spam evidentes desde la misma IP, porque generarías un historial de prueba engañoso.
Si Akismet no está configurado, no lo añadas para resolver un borde causado por otra integración.
Inspecciona hooks y plugins de seguridad
El tema, un plugin normal o un must-use plugin puede utilizar hooks de Contact Form 7 para rechazar por palabra, IP, dominio o campo oculto. Revisa filtros de envío y spam, y los cambios hechos poco antes del inicio del problema.
Consulta también los eventos de Cloudflare, ModSecurity y seguridad de WordPress a la misma hora. Autoriza únicamente la regla o patrón demostrado; nunca excluyas globalmente todas las peticiones REST.
Guarda una vía de reversión antes de modificar PHP personalizado.
Descarta páginas antiguas y tokens cacheados
Purga solo la página afectada después de demostrar una discrepancia de caché. Prueba en ventana privada y sin sesión, porque los administradores suelen omitir caché y desafíos.
Comprueba que el endpoint REST no se cachea y que el HTML apunta al formulario y URL actuales. Mezclar rutas de staging y producción puede romper scripts después de migrar.
Repite en móvil si el aviso original procedía de un teléfono o de un flujo con banner de cookies.
Verifica por separado spam y entrega
Tras corregir la causa, realiza una prueba nueva. Confirma que desaparece el borde naranja, el navegador recibe éxito real y se crea la entrada o intento de correo esperado.
Después sigue la notificación por WordPress, proveedor SMTP y buzón final. Eliminar un falso positivo de spam no demuestra que el correo saliente esté bien configurado.
Prueba el honeypot o un caso de spam aprobado sin debilitar la protección. Pide reparación urgente si siguen bloqueados visitantes reales, hay reglas contradictorias o pueden faltar leads. Comparte horas y respuestas redactadas, nunca credenciales o contenido real.