Hvorfor jeg sluttet å bruke Akismet i WordPress

Akismet har lenge vært standard spamfilter i WordPress, og i flere år brukte jeg det uten å tenke særlig over hva som foregikk i bakgrunnen. Helt til API-nøkkelen plutselig ble suspendert fordi nettstedet mitt ble vurdert som «kommersielt». Det fikk meg til å undersøke hvordan Akismet faktisk fungerer, hvordan grensene mellom personlig og kommersiell bruk tolkes, og hvorfor stadig flere WordPress-brukere begynner å se etter alternativer som Antispam Bee og WP Armour. Jo mer jeg leste om abonnementsmodellen, GDPR, datadeling og eksterne tjenester, desto vanskeligere ble det å se på Akismet som bare et enkelt spamfilter.

Hvor går grensen mellom personlig og kommersiell bruk?

Da Akismet først ble populært, føltes det som et klassisk open source-verktøy. Det løste et konkret problem uten særlig friksjon, og det var nettopp derfor så mange tok det i bruk.

Akismet fungerer fortsatt godt som spamfilter, men hele modellen rundt tjenesten bærer preg av den samme utviklingen vi ser mange andre steder i teknologibransjen. Stadig flere tjenester beveger seg fra enkle verktøy til abonnementsløsninger bygget rundt lisensnivåer, uklare definisjoner og gradvis sterkere press mot betalende brukere.

Akismet skriver selv at gratisplanen kun gjelder personlige og ikke-kommersielle nettsteder, mens nettsteder knyttet til virksomhet eller organisasjoner må bruke en betalt plan. Problemet er at definisjonene virker ekstremt brede i praksis. For hva betyr egentlig «kommersielt»?

• Er det nok å skrive om produkter?
• anbefale tjenester?
• ha kontaktinformasjon?
• ha trafikk?
• drive en blogg som faktisk blir lest?

Da havner plutselig mange små nettsteder i en gråsone hvor de ikke nødvendigvis tjener penger, men likevel blir behandlet som om de driver kommersiell virksomhet.

Fra gratis plugin til konverteringsstrategi

Det som irriterte meg mest, var egentlig ikke selve suspensjonen. Det var følelsen av hvordan hele mekanismen fungerer.

Først installerer du løsningen fordi den er gratis, enkel og fungerer bra. Etter hvert bygger du nettstedet rundt den, og pluginen blir en naturlig del av arbeidsflyten. Så, en dag, får du beskjed om at gratisbruken kanskje ikke gjelder deg likevel.

Det er litt som den klassiske stereotypien om dealeren i parken: «Den første er gratis.»

Poenget er ikke nødvendigvis å tjene penger der og da. Poenget er å få deg vant til løsningen, gjøre den til en del av hverdagen din og sørge for at terskelen for å bytte blir høy nok til at mange heller betaler enn å starte på nytt et annet sted.

Da begynner det å ligne mindre på et spamfilter og mer på en konverteringsstrategi lik mange andre SaaS-tjenester. De gjør terskelen lav i starten, bygger vaner hos brukeren og blir gradvis en integrert del av systemet ditt. Når avhengigheten først er etablert, flyttes grensene litt etter litt.

Plutselig sitter du der og må argumentere for hvorfor en personlig blogg egentlig er personlig nok.

Det er ikke spam som ble stoppet her, det var tilliten som begynte å slå sprekker, og fikk meg til å undersøke Akismet litt nærmere. Jo mer jeg leste om hvordan tjenesten fungerer, hvordan grensene for «kommersielt» tolkes, hvordan data behandles og hvordan hele modellen er bygget opp, desto vanskeligere ble det å se på Akismet som bare et enkelt spamfilter i bakgrunnen.

Når WordPress-plugins begynner å ligne SaaS-tjenester

Det som gjorde WordPress stort, var følelsen av frihet og enkelhet. Folk bygde plugins for å løse problemer, dele kunnskap og hjelpe andre. Mange av verktøyene føltes som ekte open source-prosjekter, hvor målet først og fremst var å lage noe nyttig.

I dag oppleves deler av økosystemet ganske annerledes.

Flere plugins har gradvis beveget seg over i SaaS-modeller med abonnementer, API-nøkler, lisensnivåer og funksjoner som i praksis er avhengige av eksterne tjenester. Det er selvfølgelig forståelig at utviklere ønsker inntekter for arbeidet sitt, men samtidig merker man også hvordan enkelte løsninger blir designet rundt konvertering, oppsalg og lock-in på en måte som tidligere var mindre vanlig i WordPress-verdenen.

Og kanskje er det nettopp derfor denne suspensjonen traff meg mer enn jeg hadde forventet. Det handlet ikke bare om et spamfilter som sluttet å fungere, men om følelsen av at enda et verktøy hadde beveget seg bort fra den opprinnelige open source-tankegangen som gjorde WordPress så populært i utgangspunktet.

Akismet, GDPR og personvern i WordPress

Det er heller ikke bare prismodellen som skaper spørsmål.

Når noen legger igjen en kommentar på et nettsted med Akismet aktivert, sendes data videre til Automattic sine servere. Dette kan inkludere IP-adresser, nettleserinformasjon, navn, e-postadresse og selve kommentaren. Automattic opplyser også at data kan behandles på servere globalt, inkludert i USA.

For store selskaper er dette kanskje helt uproblematisk. For små europeiske nettsteder betyr det derimot at et enkelt spamfilter plutselig drar med seg en rekke vurderinger rundt personvern, databehandling og GDPR.

Da holder det ikke lenger å bare installere en plugin og gå videre med livet. Plutselig må du:

• oppdatere personvernerklæringen
• informere brukerne om tredjepartsbehandling
• vurdere behandlingsgrunnlag
• forholde deg til internasjonal dataoverføring
• og tenke på hvordan kommentardata håndteres utenfor EU

Alt dette for å stoppe pornofilmerobot nummer 847 i kommentarfeltet.

Det blir nesten litt absurd når man tenker over det, og det er også her mange misforstår hva «GDPR-kompatibel» faktisk betyr. At en tjeneste kan brukes innenfor GDPR, betyr ikke automatisk at den er spesielt personvernvennlig eller dataminimerende. I praksis handler det ofte om at du som nettstedseier må dokumentere og håndtere databehandlingen korrekt.

Akismet baserer seg på ekstern analyse og deling av brukerdata med tredjeparter. Alternativer som Antispam Bee forsøker derimot å løse problemet lokalt, uten eksterne kontoer, API-nøkler eller tredjepartsdeling.

For små nettsteder som ønsker et enklest mulig oppsett med minst mulig datadeling, begynner derfor Akismet å fremstå som et mindre opplagt valg enn tidligere.

Alternativer til Akismet

Med Akismet handler det plutselig ikke lenger bare om å installere en plugin. Du må registrere konto, koble til API, forholde deg til lisensvilkår og håpe at gratisversjonen fortsatt gjelder neste år. Alternativer som Antispam Bee, WP Armour og Cloudflare Turnstile tilbyr ofte en enklere og mer personvernvennlig løsning, med mindre datadeling og færre eksterne avhengigheter.

Antispam Bee minner faktisk mer om den gamle WordPress-filosofien. Installer pluginen, aktiver den og fortsett med livet ditt.

Det ironiske er at jeg aldri aktivt lette etter et alternativ. Akismet fungerte helt fint, og jeg tenkte egentlig ikke særlig over at den bare lå der i bakgrunnen og filtrerte bort spam. Så kom suspensjonen, og plutselig begynte jeg å stille spørsmål ved hele oppsettet.

• Hvorfor bruker jeg et spamfilter som sender data til eksterne servere?
• Hvorfor bruke en løsning med uklare grenser mellom gratis og betalt?
• Hvorfor skal en personlig blogg vurderes som potensiell businessbruk?
• Og hvorfor fortsette med Akismet når det finnes enklere alternativer med mindre friksjon?

Det er sjelden lurt å irritere folk som liker å analysere systemer.

Konklusjon

Akismet er fortsatt et effektivt spamfilter, og det er lett å forstå hvorfor tjenesten har millioner av installasjoner. Samtidig har totalpakken blitt mindre attraktiv for mange små nettsteder, særlig i Europa. Kombinasjonen av uklare definisjoner, risiko for suspensjon, ekstern databehandling og økende abonnementspress gjør at løsningen ikke lenger føles like naturlig som før.

For min del ble suspensjonen egentlig bare et puff som fikk meg til å undersøke alternativene nærmere, og jo mer jeg leste om hvordan Akismet fungerer, desto vanskeligere ble det å forsvare hvorfor det fortsatt skulle være førstevalget.

Jeg skulle gjerne tjent penger nok til å kunne betale for alle tjenestene rundt prosjektet, men realiteten er at bloggen først og fremst er en hobby som stort sett bare gir utgifter. Jeg bruker tid på å skrive guider, dele erfaringer, forklare teknologi og anbefale løsninger jeg mener kan være nyttige for andre. Hvis dét er nok til å bli definert som kommersiell, begynner ordet å miste litt av betydningen sin.

I dag ville jeg heller valgt:

• Antispam Bee for kommentarfelt
• WP Armour for honeypot-beskyttelse
• et så enkelt og lokalt WordPress-oppsett som mulig

Noen ganger er det beste spamfilteret det som lar deg drive nettstedet ditt i fred, uten å begynne å analysere deg som en potensiell betalingskunde. Og skulle du faktisk tjene penger på nettstedet ditt, er det også helt naturlig å betale for verktøyene du er avhengig av.

Hvordan be et selskap om innsyn i dataene dine?

Etter å ha lest meg opp på hvordan Akismet fungerer, slo det meg at jeg faktisk aldri har spurt hva slags data som er samlet inn via nettstedet mitt gjennom årene.

GDPR gir deg tross alt rett til innsyn i hvilke data som behandles, hvordan de brukes, hvor de lagres og hvilke vurderinger som eventuelt er gjort rundt kontoen eller nettstedet ditt.

Så hvis du er nysgjerrig på hva et «gratis» spamfilter faktisk vet om nettstedet ditt, kan du jo alltids sende noe ala dette, med emnefeltet GDPR Access Request Regarding Akismet Data Processing: