Comment prévenir les tests de cartes et les inscriptions frauduleuses avec Stripe ?

Vous avez remarqué une augmentation des paiements, qu'ils soient échoués ou réussis sur une courte période, et après enquête, vous vous rendez compte que votre site est utilisé pour tester des cartes - que devez-vous faire maintenant ?

Passage à la caisse Stripe

Tout d'abord, si vous utilisez Stripe Elements, vous pouvez essayer de passer à Stripe Checkout :

1. Naviguez jusqu'à Tableau de bord > MemberPress > Paramètres > Onglet Paiements.
2. Trouver le Rayure passerelle de paiement.
3. Cliquez ici sur la case à cocher située à côté de l'option Paiement par carte de crédit option.

Switching to Stripe Checkout won’t prevent card testing by itself. The purpose of this switch is to try interrupting card testers attacking your website. Switching to Stripe Checkout will shut down the endpoints testers might be using to run attacks through Stripe Elements. Once you applied all other security updates mentioned in this document and the attack is over, you can re-enable Stripe Elements.

Activer la protection contre le test des cartes

Aller à Tableau de bord > MemberPress > Paramètres > Général et veiller à ce que Activer la protection contre les tests de cartes est vérifié.

It is enabled by default, but it is good to check. If it is enabled, you can change the method of getting the user’s IP Address.

Si votre site utilise un proxy frontal :

• Activer Utiliser l'en-tête HTTP X-Forwarded-For OU Utiliser l'en-tête HTTP X-Real-IP

Si votre site utilise CloudFlare :

• Activer Utiliser l'en-tête HTTP CF-Connecting-IP

Si votre site n'utilise pas CloudFlare ou un proxy frontal :

• Activer Use PHP’s built-in REMOTE_ADDR

Activer les paramètres du radar dans Stripe

Stripe dispose de la fonction Radar Stripe qui permet de détecter et de bloquer les activités frauduleuses. Pour en savoir plus sur ces paramètres Stripe’s Risk Settings page.

Stripe Radar propose plusieurs contrôles de vérification des cartes :

• Vérification du code de vérification de la carte (CVC): this check will prevent any charges that fail the CVC verification check. The CVC is the verification code printed directly on a user’s card. Users need to add the correct CVC code to the MemberPress registration form, for Stripe to process the payment.
• Vérification d'adresse (AVS): this check will prevent charges if the postal address check fails. When registering, users need to add the postal code and the street address to the MemberPress registration form. If this data doesn’t match the billing address on file with the card issuer (e.g. bank), the payment will fail.

Installer et activer le module complémentaire Captcha

Le test des cartes est basé sur des robots (généralement automatisés) qui soumettent de manière répétée le formulaire d'inscription (spam). Chaque fois que le robot soumet le formulaire d'inscription, il utilise des données de paiement différentes (volées) pour vérifier si les données sont correctes. L'ajout d'un captcha à vos formulaires d'inscription devrait permettre d'éviter les inscriptions non sollicitées.

Aller à Tableau de bord > MemberPress > Modules complémentaires et d'installer et d'activer notre Math Captcha add-on. Cela ajoutera un simple captcha mathématique à la page d'enregistrement et de connexion.

Vous pouvez également utiliser la fonction Turnstile simple de Cloudflare - Alternative CAPTCHA ou un autre plugin captcha.

En outre, vous pouvez utiliser le module complémentaire MemberPress Math Captcha avec Cloudflare Turnstile (ou un autre plugin captcha) en même temps.

Add-On simple pour le tourniquet Cloudflare

Cloudflare Turnstile devrait également vous aider en cas de compromission (piratage) de votre site web. If your website is hacked, it’s possible for hackers to get a hold of your Stripe API client secret. Cette clé peut ensuite être utilisée pour tester les cartes, même à d'autres endroits qui n'ont rien à voir avec votre site web.

Comme nous l'avons déjà mentionné, il convient d'utiliser l'option Turnstile simple de Cloudflare - Alternative CAPTCHA pour ajouter le Tourniquet Cloudflare sur votre site. L'intégration de MemberPress vous permet d'activer le Turnstile de Cloudflare sur les formulaires de connexion et d'enregistrement de MemberPress.

Pour configurer le plugin, naviguez vers Tableau de bord > Paramètres > Tourniquet Cloudflare et suivre les guide des plugins.

Note: Lorsque l'option Turnstile est activée pour le login WordPress, l'option Activation uniquement sur la page par défaut wp-login.php sera disponible. Veillez à décocher cette sous-option pour appliquer le tourniquet à la connexion MemberPress et le garder en sécurité.

En outre, vous pouvez ajouter les identifiants des membres du MemberPress dans le champ prévu à cet effet afin de n'utiliser le tourniquet que sur des formulaires d'inscription spécifiques.

Rafraîchir vos clés API

Si vous avez appliqué toutes les suggestions susmentionnées et que le test de la carte est toujours en cours, essayez de rafraîchir vos identifiants API Stripe. Pour ce faire, veuillez suivre les étapes suivantes :

1. Log in to your website as an administrator. After logging in, the URL in your browser’s address bar should be like this: https://yourdomain.com/wp-admin/.
2. Ajoutez ce qui suit à la fin de votre URL actuelle : admin.php?page=memberpress-options&display-keys (par exemple https://yourdomain.com/wp-admin/admin.php?page=memberpress-options&display-keys). Toujours dans la barre d'adresse, appuyer sur la touche entrée sur votre clavier.
3. Vous accéderez ainsi à la page MemberPress Paramètres page (Tableau de bord > MemberPress > Paramètres). Cliquez sur le bouton Paiements tabulation.
4. USous les paramètres de la passerelle de paiement Stripe, yous devriez voir un nouveau Actualiser les informations d'identification du Stripe bouton. Cliquez sur ce bouton pour actualiser vos informations d'identification Stripe.

Remboursement et annulation de tout paiement frauduleux

Si des paiements ont été créés avec succès pendant le test des cartes, remboursez et annulez ces abonnements. Vous pouvez le faire soit à partir de MemberPress sur votre site, soit par l'intermédiaire de Stripe. Si vous le faites par l'intermédiaire de Stripe, vous pouvez marquer le motif du remboursement comme "Fraude".

Il n'existe aucun moyen d'annuler et de rembourser en bloc dans MemberPress. Ces opérations doivent donc être effectuées une par une.

Nous vous recommandons également d'enregistrer les adresses électroniques et toute autre information relative à l'opération et à la carte utilisée, de sorte que si des clients vous envoient un courriel pour se plaindre, vous puissiez leur assurer que vous avez déjà remboursé l'opération frauduleuse. Si vous avez la possibilité de contacter le client directement, informez-le de ce qui s'est passé.