intanto ottima notizia per la App Password, era proprio quello il punto. 👍
Sul captcha invece: il plugin che hai attivato (CAPTCHA - Invisible reCAPTCHA) è una variante "invisibile" del reCAPTCHA classico, e proprio per questo non vedi nulla nel form: non mostra il classico checkbox "Non sono un robot", ma lavora in background analizzando il comportamento dell'utente. Si attiva solo se rileva qualcosa di sospetto, mostrando la sfida.
Quindi è probabile che stia già funzionando: il fatto di non vederlo è il comportamento atteso. Per verificare che sia realmente attivo:
Vai su Componenti → Contatti → Opzioni (in alto a destra) → scheda Modulo e assicurati che "Mostra Captcha" sia su "Usa predefinito" o "Mostra". Verifica nel sorgente della pagina
Apri il form contatti nel browser, tasto destro → "Visualizza sorgente pagina" e cerca recaptcha. Se trovi riferimenti a google.com/recaptcha, il plugin sta caricando lo script: il captcha c'è, è solo invisibile. Controlla anche le chiavi
Importante: le chiavi del reCAPTCHA classico (v2 checkbox) e quelle dell'Invisible reCAPTCHA non sono intercambiabili. Quando hai generato la coppia su google.com/recaptcha/admin, devi aver scelto "reCAPTCHA v2 → Invisible reCAPTCHA badge". Se invece hai generato chiavi v2 standard o v3, è normale che non funzioni.
Se preferisci il captcha "classico" visibile
Disattiva il plugin Invisible reCAPTCHA e cerca CAPTCHA - reCAPTCHA (senza "Invisible"). Quello mostra il checkbox tradizionale. Su Joomla recenti potresti doverlo installare a parte se non è preinstallato.
Piccolo consiglio extra
Considera anche hCaptcha (esiste come plugin Joomla, anche di terze parti): funziona allo stesso modo ma è più rispettoso della privacy degli utenti, cosa che con il GDPR non guasta. Google reCAPTCHA traccia parecchio.
Lato Host.it queste configurazioni le testiamo direttamente noi sui siti dei clienti, anche con prove di invio reali per verificare che captcha e SMTP collaborino senza intoppi: spesso un occhio esterno individua subito se il problema è la chiave sbagliata o il plugin che non aggancia il form.
Fammi sapere se nel sorgente trovi i riferimenti a recaptcha, così capiamo se è davvero attivo o se è un problema di chiavi.