Cómo evitar las pruebas de tarjetas y los registros fraudulentos con Stripe

Ha observado un aumento de los pagos, ya sean fallidos o con éxito, en un breve periodo de tiempo y, tras investigar, se da cuenta de que su sitio se está utilizando para probar tarjetas: ¿qué hace ahora?

Pasar a Stripe Pago

En primer lugar, si utiliza Stripe Elements, podría intentar cambiar a Stripe Checkout:

1. Vaya a Panel de control > MemberPress > Configuración > Pestaña Pagos.
2. Encuentra el Stripe pasarela de pago.
3. Aquí, haga clic en la casilla situada junto a Pago con Stripe opción.

Cambiar a Stripe Checkout no impedirá por sí mismo la prueba de tarjetas. El propósito de este cambio es intentar interrumpir a los probadores de tarjetas que atacan su sitio web. Cambiar a Stripe Checkout cerrará los endpoints que los testers podrían estar utilizando para ejecutar ataques a través de Stripe Elements. Una vez que haya aplicado todas las demás actualizaciones de seguridad mencionadas en este documento y el ataque haya terminado, podrá volver a activar Stripe Elements.

Activar la protección contra pruebas de tarjetas

Ir a Cuadro de mandos > MemberPress > Configuración > General y garantizar que Activar la protección contra pruebas de tarjetas está marcada.

Está activado por defecto, pero es bueno comprobarlo. Si está activada, puede cambiar el método para obtener la dirección IP del usuario.

Si su sitio utiliza un Proxy Front-End:

• Activar Utilice el encabezado HTTP X-Forwarded-For O Utilizar el encabezado HTTP X-Real-IP

Si su sitio utiliza CloudFlare:

• Activar Utilizar el encabezado HTTP CF-Connecting-IP

Si su sitio NO utiliza CloudFlare o un Proxy Front-End:

• Activar Utilice la función REMOTE_ADDR de PHP

Activar la configuración de radar en Stripe

Stripe cuenta con la función Stripe Radar para ayudar a detectar y bloquear actividades fraudulentas. Más información sobre estos ajustes en Ajustes de riesgo de Stripe página.

Stripe Radar ofrece varias comprobaciones de verificación de tarjetas:

• Comprobación del código de verificación de la tarjeta (CVC): esta comprobación impedirá cualquier cargo que no pase la comprobación de verificación del CVC. El CVC es el código de verificación impreso directamente en la tarjeta del usuario. Los usuarios deben añadir el código CVC correcto en el formulario de registro de MemberPress, para que Stripe procese el pago.
• Verificación de direcciones (AVS): esta comprobación evitará cargos si falla la comprobación de la dirección postal. Al registrarse, los usuarios deben añadir el código postal y la dirección postal en el formulario de registro de MemberPress. Si estos datos no coinciden con la dirección de facturación registrada por el emisor de la tarjeta (por ejemplo, el banco), el pago fallará.

Instalar y activar el complemento Captcha

La prueba de tarjetas se basa en bots (normalmente) automatizados que envían repetidamente el formulario de inscripción de miembros (inscripciones spam). Cada vez que el bot envíe el formulario de registro, utilizará diferentes datos de pago (robados) para comprobar si los datos son correctos. Si añade un captcha a sus formularios de inscripción, evitará el spam.

Ir a Panel de control > MemberPress > Complementos e instale y active nuestro Complemento Math Captcha. Esto añadirá un simple captcha matemático a la página de registro e inicio de sesión.

También puede utilizar la función Simple Cloudflare Turnstile - Alternativa CAPTCHA u otro plugin captcha.

Además, puede utilizar el complemento MemberPress Math Captcha con Cloudflare Turnstile (u otro complemento captcha) al mismo tiempo.

Complemento simple de Cloudflare Turnstile

Cloudflare Turnstile también debería ayudar en caso de que su sitio web se vea comprometido (hackeado). Si su sitio web es pirateado, es posible que los piratas informáticos se hagan con el secreto de su cliente API Stripe.. A continuación, esta clave puede utilizarse para probar la tarjeta incluso en otros lugares no relacionados con su sitio web.

Como ya se ha mencionado, debe utilizar el Simple Cloudflare Turnstile - Alternativa CAPTCHA para añadir el Torniquete Cloudflare en su sitio. La integración con MemberPress le permite activar Cloudflare Turnstile en los formularios de inicio de sesión y registro de MemberPress.

Para configurar el plugin, vaya a Panel de control > Configuración > Cloudflare Turnstile y siga el guía de plugins.

Nota: Cuando Turnstile está habilitado para WordPress Login, el Sólo activar en la página wp-login.php por defecto estará disponible. Asegúrese de desmarque esta subopción para aplicar Turnstile en el inicio de sesión MemberPress y mantenerlo seguro.

Además, puede añadir identificaciones de miembros MemberPress al campo dedicado para aplicar Turnstile sólo en formularios de inscripción específicos.

Actualice sus claves API

Si ha aplicado todas las sugerencias anteriores y la prueba de la tarjeta sigue en curso, pruebe a actualizar sus credenciales de la API Stripe. Para ello, siga estos pasos:

1. Inicie sesión en su sitio web como administrador. Una vez iniciada la sesión, la URL de la barra de direcciones de su navegador debería ser la siguiente: https://yourdomain.com/wp-admin/.
2. Añada lo siguiente al final de su URL actual: admin.php?page=memberpress-options&display-keys (por ejemplo https://yourdomain.com/wp-admin/admin.php?page=memberpress-options&display-keys). Todavía en la barra de direcciones, pulse la tecla intro en el teclado.
3. Esto le llevará al MemberPress Ajustes página (Panel de control > MemberPress > Configuración). Haga clic en el botón Pagos ficha.
4. Uonfiguración de la pasarela de pago Stripe, yDebería ver un nuevo Actualizar credenciales Stripe botón. Haga clic en este botón para actualizar sus credenciales Stripe.

Reembolso y anulación de pagos fraudulentos

Si algún pago fue creado con éxito durante la prueba de la tarjeta, reembolse y cancele estas suscripciones. Puede hacerlo desde MemberPress en su sitio o a través de Stripe. Si lo haces a través de Stripe, puedes marcar el motivo del reembolso como "Fraude".

En MemberPress no hay forma de cancelar y reembolsar en bloque. Por lo tanto, tendrá que hacerlo de uno en uno.

También recomendamos registrar las direcciones de correo electrónico y cualquier otra información sobre el cargo y la tarjeta que se utilizaron, de modo que si los clientes envían un correo electrónico quejándose, pueda asegurarles que ya ha reembolsado el cargo fraudulento. Si puede ponerse en contacto directamente con el cliente, infórmele de lo sucedido.