Comment prévenir les tests de cartes et les inscriptions frauduleuses avec Stripe ?

Vous avez remarqué une augmentation des paiements, qu'ils soient échoués ou réussis sur une courte période, et après enquête, vous vous rendez compte que votre site est utilisé pour tester des cartes - que devez-vous faire maintenant ?

Passage à la caisse Stripe

Tout d'abord, si vous utilisez Stripe Elements, vous pouvez essayer de passer à Stripe Checkout :

1. Naviguez jusqu'à Tableau de bord > MemberPress > Paramètres > Onglet Paiements.
2. Trouver le Rayure passerelle de paiement.
3. Cliquez ici sur la case à cocher située à côté de l'option Paiement par carte de crédit option.

Le passage à Stripe Checkout n'empêchera pas les tests de cartes en soi. L'objectif de ce commutateur est d'essayer d'interrompre les testeurs de cartes qui attaquent votre site web. Le passage à Stripe Checkout arrêtera les points d'extrémité que les testeurs pourraient utiliser pour lancer des attaques par le biais de Stripe Elements. Une fois que vous avez appliqué toutes les autres mises à jour de sécurité mentionnées dans ce document et que l'attaque est terminée, vous pouvez réactiver Stripe Elements.

Activer la protection contre le test des cartes

Aller à Tableau de bord > MemberPress > Paramètres > Général et veiller à ce que Activer la protection contre les tests de cartes est vérifié.

Elle est activée par défaut, mais il est bon de la vérifier. Si elle est activée, vous pouvez modifier la méthode d'obtention de l'adresse IP de l'utilisateur.

Si votre site utilise un proxy frontal :

• Activer Utiliser l'en-tête HTTP X-Forwarded-For OU Utiliser l'en-tête HTTP X-Real-IP

Si votre site utilise CloudFlare :

• Activer Utiliser l'en-tête HTTP CF-Connecting-IP

Si votre site n'utilise pas CloudFlare ou un proxy frontal :

• Activer Utiliser la fonction intégrée REMOTE_ADDR de PHP

Activer les paramètres du radar dans Stripe

Stripe dispose de la fonction Radar Stripe qui permet de détecter et de bloquer les activités frauduleuses. Pour en savoir plus sur ces paramètres Paramètres de risque de Stripe page.

Stripe Radar propose plusieurs contrôles de vérification des cartes :

• Vérification du code de vérification de la carte (CVC)Le contrôle du CVC : ce contrôle empêchera tout débit qui échoue au contrôle de vérification du CVC. Le CVC est le code de vérification imprimé directement sur la carte de l'utilisateur. Les utilisateurs doivent ajouter le code CVC correct au formulaire d'enregistrement de MemberPress pour que Stripe puisse traiter le paiement.
• Vérification d'adresse (AVS)Cette vérification permet d'éviter les frais en cas d'échec de la vérification de l'adresse postale. Lors de l'inscription, les utilisateurs doivent ajouter le code postal et l'adresse de la rue au formulaire d'inscription du MemberPress. Si ces données ne correspondent pas à l'adresse de facturation figurant dans le dossier de l'émetteur de la carte (par exemple, la banque), le paiement échouera.

Rafraîchir vos clés API

Veuillez suivre les étapes suivantes pour actualiser les informations d'identification :

1. Connectez-vous à votre site web en tant qu'administrateur. Après la connexion, l'URL dans la barre d'adresse de votre navigateur devrait être la suivante : https://yourdomain.com/wp-admin/.
2. Ajoutez ce qui suit à la fin de votre URL actuelle : admin.php?page=memberpress-options&display-keys (par exemple https://yourdomain.com/wp-admin/admin.php?page=memberpress-options&display-keys). Toujours dans la barre d'adresse, appuyer sur la touche entrée sur votre clavier.
3. Vous accéderez ainsi à la page MemberPress Paramètres page (Tableau de bord > MemberPress > Paramètres). Cliquez sur le bouton Paiements tabulation.
4. USous les paramètres de la passerelle de paiement Stripe, yous devriez voir un nouveau Actualiser les informations d'identification du Stripe bouton. Cliquez sur ce bouton pour actualiser vos informations d'identification Stripe.

Installer et activer le module complémentaire MemberPress Math Captcha Add-On

Aller à Tableau de bord > MemberPress > Modules complémentaires et installez et activez notre module complémentaire Math Captcha. Cela ajoutera un simple captcha mathématique à la page d'enregistrement et de connexion pour aider à prévenir les inscriptions non désirées.

Vous pouvez également utiliser un autre plugin captcha si vous préférez, ou bien Turnstile simple de Cloudflare - Alternative CAPTCHA. Vous pouvez utiliser l'un d'entre eux et math Captcha en même temps.

Add-On simple pour le tourniquet Cloudflare

Comme nous l'avons déjà mentionné, il convient d'utiliser l'option Turnstile simple de Cloudflare - Alternative CAPTCHA pour ajouter le Tourniquet Cloudflare sur votre site. L'intégration de MemberPress vous permet d'activer le Turnstile de Cloudflare sur les formulaires de connexion et d'enregistrement de MemberPress.

Pour configurer le plugin, naviguez vers Tableau de bord > Paramètres > Tourniquet Cloudflare et suivre les guide des plugins.

Note: Lorsque l'option Turnstile est activée pour le login WordPress, l'option Activation uniquement sur la page par défaut wp-login.php sera disponible. Veillez à décocher cette sous-option pour appliquer le tourniquet à la connexion MemberPress et le garder en sécurité.

En outre, vous pouvez ajouter les identifiants des membres du MemberPress dans le champ prévu à cet effet afin de n'utiliser le tourniquet que sur des formulaires d'inscription spécifiques.

Remboursement et annulation de tout paiement frauduleux

Si des paiements ont été créés avec succès pendant le test des cartes, remboursez et annulez ces abonnements. Vous pouvez le faire soit à partir de MemberPress sur votre site, soit par l'intermédiaire de Stripe. Si vous le faites par l'intermédiaire de Stripe, vous pouvez marquer le motif du remboursement comme "Fraude".

Il n'existe aucun moyen d'annuler et de rembourser en bloc dans MemberPress. Ces opérations doivent donc être effectuées une par une.

Nous vous recommandons également d'enregistrer les adresses électroniques et toute autre information relative à l'opération et à la carte utilisée, de sorte que si des clients vous envoient un courriel pour se plaindre, vous puissiez leur assurer que vous avez déjà remboursé l'opération frauduleuse. Si vous avez la possibilité de contacter le client directement, informez-le de ce qui s'est passé.

Pourquoi cela s'est-il produit ?

Les pirates peuvent parfois s'emparer du secret de l'API et l'utiliser pour usurper des appels à Stripe à des fins de test de cartes.

Le problème sera-t-il résolu ?

Stripe et MemberPress sont tous deux conscients de cette vulnérabilité et travaillent ensemble à la mise en place d'une nouvelle solution plus sûre.