Spamleads houd je niet tegen met één vinkje. Je hebt een paar lagen nodig die samenwerken: een verborgen honeypotveld, een limiet op het aantal inzendingen, een onzichtbare botcontrole met een risicoscore en filters op domein, IP en wartaal. Daarna zorg je dat alleen gecontroleerde aanvragen als conversie naar Google Ads en Microsoft Ads gaan. Zo krijgt je salesteam minder rommel en kloppen je kosten per lead weer. Hieronder lees je hoe je spam herkent, hoe je hem tegenhoudt zonder echte prospects weg te filteren en hoe je je advertentiedata schoon houdt.
Kort samengevat
- Combineer meerdere maatregelen. Eén CAPTCHA alleen houdt de meeste bots niet tegen, een gelaagde aanpak wel.
- Herken spam aan gedrag: extreem snelle inzendingen, meerdere aanvragen in dezelfde seconde en geen enkele interactie vooraf zeggen meer dan de tekst in het bericht.
- Blokkeer niet blind. Begin met meten en markeren, en verscherp pas als je ziet wat er werkelijk binnenkomt.
- Laat een formulierinzending pas als conversie tellen nadat hij gecontroleerd is, en importeer gekwalificeerde leads vanuit je CRM.
- Schone conversiedata is geen detail: elke spamlead laat je kosten per lead mooier lijken dan ze zijn en stuurt je biedingen de verkeerde kant op.
Inhoudsopgave
- Wat spamleads je werkelijk kosten
- Spamleads herkennen aan gedrag, niet aan inhoud
- Spam blokkeren in lagen: het stappenplan
- Echte leads niet per ongeluk wegfilteren
- Spamleads uit je Google Ads-data houden
- Onze visie: spam is ook een structuurprobleem
- Hulp bij schone leads uit Google Ads
- Veelgestelde vragen
- Bronnen
Wat spamleads je werkelijk kosten
De eerste schade zie je in de inbox. Een adviesbureau of een dakdekker die tien aanvragen per dag binnenkrijgt, waarvan vier nep, verliest elke dag tijd aan nabellen, mailen en uitzoeken. Bij een tandartspraktijk loopt het baliepersoneel tegen hetzelfde aan: afspraakverzoeken met verzonnen namen en nummers die niet bestaan.
De tweede schade is minder zichtbaar en groter. Telt je Google Ads-account elke formulierinzending als conversie, dan telt het spam ook mee. Je kosten per lead lijken dan lager dan ze zijn, campagnes die vooral rommel opleveren lijken je beste campagnes en je verschuift budget naar de verkeerde zoekwoorden. Wie op basis van die cijfers biedingen aanpast, neemt beslissingen op een vervuilde meting.
De derde schade raakt het vertrouwen. Een salesteam dat week na week nepaanvragen krijgt, bekijkt elke lead uit Google Ads met argwaan. Echte aanvragen worden dan later of minder zorgvuldig opgevolgd, en bij lange salescycli kost dat echte opdrachten.
Spamleads herkennen aan gedrag, niet aan inhoud
De verleiding is groot om spam te herkennen aan de tekst: rare zinnen, links naar dubieuze sites, aanbiedingen voor linkbuilding. Dat werkt voor de grove gevallen. Het gedrag rond de inzending is betrouwbaarder. Een bot kan een keurig bericht plakken, maar hij gedraagt zich niet als een mens.
| Signaal | Sterkte | Wat je ziet |
|---|---|---|
| Inzending binnen een paar seconden na het laden van de pagina | Sterk | Niemand vult een offerteformulier zo snel in |
| Meerdere aanvragen in dezelfde seconde | Sterk | Records met vrijwel identieke tijdstempels |
| Geen interactie vóór het verzenden | Sterk | Geen scroll, geen klik, geen focus op velden |
| Ingevuld honeypotveld | Sterk | Een veld dat bezoekers niet zien, is toch gevuld |
| IP-locatie wijkt af van opgegeven locatie | Matig | Adres in Utrecht, verkeer uit een ander continent |
| Herhaalde inzendingen vanaf hetzelfde IP-adres | Matig | Dezelfde bron vult het formulier steeds opnieuw in |
| Wartaal of willekeurige tekens in velden | Matig | Naam als “xkqz”, bericht zonder samenhang |
| Gratis of wegwerp-e-mailadres bij een B2B-aanvraag | Zwak | Kan spam zijn, maar ook een echte zzp’er |
Wat er vóór de aanvraag gebeurde
Kijk ook naar het traject van de bezoeker. Een echte prospect heeft vaak al eerder iets gedaan: meerdere pagina’s bekeken, een whitepaper gedownload of zich ingeschreven voor een webinar. Een spamlead komt meestal uit het niets, zonder eerdere activiteit, vanaf een onbekend IP-adres en van buiten je werkgebied. Wil je zulke positieve en negatieve signalen systematisch wegen? Deze uitleg over leadkwalificatie met AI laat zien hoe je ze in een score vertaalt.
Geavanceerde bots wisselen van IP-adres. Een IP-blokkade alleen is daarom nooit genoeg. Gebruik IP vooral als één signaal naast de andere.
Spam blokkeren in lagen: het stappenplan
Het uitgangspunt komt uit de beveiligingswereld. Volgens de OWASP-richtlijn voor botbeheer is één maatregel kwetsbaar. OWASP adviseert controles op drie niveaus te combineren: aan de rand (CDN of firewall en limieten), in de applicatie (honeypots, CAPTCHA, limieten per sessie) en achteraf (afwijkingen signaleren en beoordelen). Voor een leadformulier komt dat neer op zes stappen.
Maatregelen in het formulier zelf
- Voeg een honeypotveld toe. Dat is een veld dat voor bezoekers verborgen is. Bots vullen het wel in, omdat ze elk veld in de code invullen. Is het veld gevuld, dan weet je vrijwel zeker dat het om automatische spam gaat. Het kost de bezoeker niets.
- Stel een inzendingslimiet in. Beperk hoe vaak dezelfde bron of sessie een formulier kan versturen. De WordPress-plugin Sobi Forms hanteert bijvoorbeeld standaard 10 inzendingen per gehasht IP-adres per uur, naast een honeypot en server-side validatie. Voor een offerteformulier mag die limiet gerust lager.
- Gebruik een onzichtbare botcontrole. reCAPTCHA v3 van Google onderbreekt de bezoeker niet, maar geeft per inzending een score terug. Op basis van die score bepaal jij wat er gebeurt. Een klassieke puzzel-CAPTCHA houdt veel botverkeer tegen, maar werpt bij iedereen een drempel op, ook bij de directeur die op zijn telefoon snel een offerte aanvraagt.
- Valideer de velden logisch. Vraag alleen wat je echt nodig hebt en controleer of een telefoonnummer op een telefoonnummer lijkt en een postcode op een postcode. Een kort formulier met strakke validatie is lastiger te misbruiken en prettiger in te vullen.
Filters achter en vóór het formulier
- Filter op domein, IP en wartaal. Werk je met een CRM-formulier, kijk dan welke filters er al in zitten. HubSpot beschrijft bijvoorbeeld per formulier reCAPTCHA, het blokkeren van specifieke e-maildomeinen of gratis e-mailproviders, wartaaldetectie en het uitsluiten van bekende IP-adressen of verwijzers. Gedetecteerde inzendingen zie je daar terug in een aparte spamindex.
- Zet een firewall aan de voorkant. Een webapplicatiefirewall of de botbescherming van je CDN houdt bekend kwaadaardig verkeer tegen voordat het je formulier bereikt. Dat scheelt ook serverbelasting.
Geen van deze stappen is op zichzelf waterdicht. Samen houden ze het overgrote deel van de geautomatiseerde spam tegen. Handmatige spam, van iemand die echt je formulier invult om iets te verkopen, vang je vooral in stap 5 en in de opvolging.
Echte leads niet per ongeluk wegfilteren
Een spamfilter dat te scherp staat, is duurder dan een beetje spam. Eén gemiste aanvraag van een nieuwe zakelijke klant kost meer dan een middag nepleads verwijderen. Daarom werk je met proportionele stappen in plaats van met één harde drempel.
Google adviseert bij reCAPTCHA v3 om eerst zonder acties te draaien en het verkeer in de Admin Console te bekijken. Pas daarna bepaal je bij welke score je ingrijpt. Dat is een goede gewoonte voor elk filter: eerst meten, dan pas blokkeren.
OWASP beschrijft een vergelijkbare trap. Bij lage zekerheid log en markeer je. Bij middelmatige zekerheid vraag je een extra controle. Bij hoge zekerheid vertraag je, en pas bij zeer hoge zekerheid blokkeer je een specifieke actie. Voor een leadformulier betekent dat:
- Lage score, twijfel: de aanvraag komt binnen, maar krijgt het label “verdacht” in je CRM.
- Middelmatige score: de bezoeker krijgt alsnog een zichtbare controle voordat het formulier verstuurd wordt.
- Duidelijk een bot (honeypot gevuld, inzending in een seconde): de inzending wordt geweigerd of stil apart gezet.
Verwijder verdachte records ook niet meteen. Markeer ze, sluit ze uit van rapportages en controleer regelmatig of er geen echte aanvraag tussen zit. Zo leer je waar je filter te streng of te ruim staat.
Plan daar een vast moment voor, bijvoorbeeld elke maandagochtend tien minuten. Loop dan de gemarkeerde aanvragen van de afgelopen week door en zet een echte aanvraag die ten onrechte als spam is aangemerkt direct door naar sales. Gaat het steeds om hetzelfde soort aanvraag, bijvoorbeeld buitenlandse prospects met een gratis e-mailadres? Stel dan die regel bij in plaats van elke keer handmatig te corrigeren.
Spamleads uit je Google Ads-data houden
Spam tegenhouden in het formulier is de helft van het werk. De andere helft is voorkomen dat het je advertentiedata vervuilt. Daar gaat het in de praktijk vaak mis, omdat de conversietag al afgaat op het bedankscherm, nog voordat er iets gecontroleerd is.
Laat de conversie pas na controle tellen. Vuur de conversie niet af bij het laden van een bedankpagina, maar pas nadat de server de inzending heeft geaccepteerd. Met server-side tagging via een GTM-servercontainer bouw je die controle in de keten in: alleen een inzending die door honeypot, limiet en score komt, gaat als conversie naar Google Ads en GA4.
Importeer gekwalificeerde leads vanuit je CRM. De beste filter is je eigen salesteam. Beoordeel leads in het CRM en stuur alleen de echte, gekwalificeerde aanvragen als offline conversie terug. Dan meet je wat een lead commercieel waard is in plaats van hoeveel formulieren er zijn ingevuld. Hoe je dat inricht, lees je in ons stuk over het CRM koppelen aan Google Ads en over offline leads meten in B2B.
Houd GA4 schoon. Spam zit niet alleen in formulieren. Nepverkeer via verwijzende sites vervuilt ook je analysedata. Lees hoe je referral spam in GA4 herkent en blokkeert.
Koppel spam aan de bron. Komen verdachte leads steeds uit dezelfde campagne, hetzelfde zoekwoord of dezelfde zoekterm? Dan is dat het signaal om in het account in te grijpen: zoektermen uitsluiten, de matchtypes aanscherpen of het netwerk beperken.
Onze visie: spam is ook een structuurprobleem
Wij zien spamleads niet alleen als een formulierprobleem. Ze zijn vaak een symptoom van een account dat te breed staat en waarin niemand meer precies weet waar het verkeer vandaan komt.
Hoe meer je de keuzes overlaat aan automatisering, hoe meer het systeem optimaliseert op alles wat als conversie telt. Is die conversie vervuild met spam, dan krijg je meer van hetzelfde. Daarom draaien wij geen Performance Max en geen Smart Bidding, maar handmatige CPC-biedingen in een strakke structuur met losse exact- en phrase-zoekwoorden. Dat hebben we uitgewerkt in ons artikel over Performance Max en leadkwaliteit.
In zo’n structuur zie je direct welk zoekwoord welke lead oplevert. Wij controleren de zoektermen dagelijks en sluiten irrelevante termen uit voordat ze budget en nepaanvragen opleveren. Met server-side tracking via GTM en GA4 meten we bovendien alleen de inzendingen die door de controle komen. Zo wordt leadkwaliteit meetbaar in plaats van geschat.
Het is arbeidsintensief werk. Het is ook de enige manier die we kennen om een adviesbureau, een installateur of een tandartspraktijk te laten sturen op echte aanvragen in plaats van op een getal in een dashboard.
Arno Kooijman
Hulp bij schone leads uit Google Ads
Krijg je veel aanvragen uit Google Ads, maar weinig die tot een gesprek of opdracht leiden? Adworth beheert Google Ads en Microsoft Ads uitsluitend voor leadgeneratie, met handmatige biedingen, een SKAG-structuur, intensief negatief zoekwoordbeheer en server-side conversiemeting. Elk account staat onder persoonlijke regie van Arno Kooijman, en we werken met maximaal 25 klanten tegelijk.
We werken voor bedrijven met minimaal 1 miljoen omzet die teleurgesteld zijn in de brede, geautomatiseerde aanpak en bereid zijn in een specialist te investeren. Bekijk wat we doen op onze pagina over het Google Ads-bureau Adworth.
Veelgestelde vragen
Is een CAPTCHA genoeg om spamleads te blokkeren?
Nee. Een CAPTCHA houdt veel geautomatiseerde inzendingen tegen, maar is als enige maatregel kwetsbaar. Combineer hem met een honeypot, een inzendingslimiet, veldvalidatie en filters op domein en IP. Een onzichtbare variant met een score, zoals reCAPTCHA v3, voorkomt bovendien dat je echte bezoekers een drempel opwerpt.
Waarom krijg ik spam terwijl mijn formulier een honeypot heeft?
Een honeypot vangt vooral eenvoudige bots die elk veld invullen. Slimmere bots en mensen die handmatig je formulier invullen om iets te verkopen, glippen erdoorheen. Daarvoor heb je de andere lagen nodig: een risicoscore, limieten en filters op inhoud en afzender.
Moet ik spamleads uit mijn CRM verwijderen?
Liever niet meteen. Markeer ze als spam, sluit ze uit van rapportages en zorg dat ze niet als conversie naar Google Ads gaan. Zo kun je later controleren of er geen echte aanvraag tussen zat, en zie je patronen die helpen je filters bij te stellen.
Beïnvloeden spamleads mijn Google Ads-resultaten?
Ja, als elke formulierinzending als conversie telt. Je kosten per lead lijken dan lager en je stuurt budget naar campagnes die vooral rommel opleveren. Laat de conversie pas tellen na controle aan de serverkant en importeer gekwalificeerde leads vanuit je CRM.
Bronnen
- OWASP: Bot Management and Anti-Automation Cheat Sheet
- Google for Developers: reCAPTCHA v3
- HubSpot: spam bij het verzenden van formulieren voorkomen en filteren
- WordPress.org: Sobi Forms
