Comment prévenir les tests de cartes et les inscriptions frauduleuses avec Stripe ?

Vous avez remarqué une augmentation des paiements, qu'ils soient échoués ou réussis sur une courte période, et après enquête, vous vous rendez compte que votre site est utilisé pour tester des cartes - que devez-vous faire maintenant ?

Passage à la caisse Stripe

Tout d'abord, si vous utilisez Stripe Elements, vous pouvez essayer de passer à Stripe Checkout :

1. Naviguez jusqu'à Tableau de bord > MemberPress > Paramètres > Onglet Paiements.
2. Trouver le Rayure passerelle de paiement.
3. Cliquez ici sur la case à cocher située à côté de l'option Paiement par carte de crédit option.

Le passage à Stripe Checkout n'empêchera pas les tests de cartes en soi. L'objectif de ce commutateur est d'essayer d'interrompre les testeurs de cartes qui attaquent votre site web. Le passage à Stripe Checkout arrêtera les points d'extrémité que les testeurs pourraient utiliser pour lancer des attaques par le biais de Stripe Elements. Une fois que vous avez appliqué toutes les autres mises à jour de sécurité mentionnées dans ce document et que l'attaque est terminée, vous pouvez réactiver Stripe Elements.

Activer la protection contre le test des cartes

Aller à Tableau de bord > MemberPress > Paramètres > Général et veiller à ce que Activer la protection contre les tests de cartes est vérifié.

Elle est activée par défaut, mais il est bon de la vérifier. Si elle est activée, vous pouvez modifier la méthode d'obtention de l'adresse IP de l'utilisateur.

Si votre site utilise un proxy frontal :

• Activer Utiliser l'en-tête HTTP X-Forwarded-For OU Utiliser l'en-tête HTTP X-Real-IP

Si votre site utilise CloudFlare :

• Activer Utiliser l'en-tête HTTP CF-Connecting-IP

Si votre site n'utilise pas CloudFlare ou un proxy frontal :

• Activer Utiliser la fonction intégrée REMOTE_ADDR de PHP

Activer les paramètres du radar dans Stripe

Stripe dispose de la fonction Radar Stripe qui permet de détecter et de bloquer les activités frauduleuses. Pour en savoir plus sur ces paramètres Paramètres de risque de Stripe page.

Stripe Radar propose plusieurs contrôles de vérification des cartes :

• Vérification du code de vérification de la carte (CVC)Le contrôle du CVC : ce contrôle empêchera tout débit qui échoue au contrôle de vérification du CVC. Le CVC est le code de vérification imprimé directement sur la carte de l'utilisateur. Les utilisateurs doivent ajouter le code CVC correct au formulaire d'enregistrement de MemberPress pour que Stripe puisse traiter le paiement.
• Vérification d'adresse (AVS)Cette vérification permet d'éviter les frais en cas d'échec de la vérification de l'adresse postale. Lors de l'inscription, les utilisateurs doivent ajouter le code postal et l'adresse de la rue au formulaire d'inscription du MemberPress. Si ces données ne correspondent pas à l'adresse de facturation figurant dans le dossier de l'émetteur de la carte (par exemple, la banque), le paiement échouera.

Install and Activate the Captcha Add-On

Card Testing is based on the (usually) automated bots that will repeatedly submit the membership registration form (spam sign-ups). Each time the bot submits the registration form, it will use different (stolen) payment data to check if the data is correct. Adding a captcha to your registration forms should help prevent spam sign-ups

Aller à Dashboard > MemberPress > Add-Ons and install and activate our Math Captcha add-on. This will add a simple math captcha to the registration and login page.

Vous pouvez également utiliser la fonction Turnstile simple de Cloudflare - Alternative CAPTCHA or another captcha plugin.

Furthermore, you can use the MemberPress Math Captcha add-on with Cloudflare Turnstile (or another captcha plugin) at the same time.

Add-On simple pour le tourniquet Cloudflare

Cloudflare Turnstile should also help in case your website gets compromised (hacked). If your website is hacked, it's possible for hackers to get a hold of your Stripe API client secret. This key can then be used for card testing even in other locations unrelated to your website.

Comme nous l'avons déjà mentionné, il convient d'utiliser l'option Turnstile simple de Cloudflare - Alternative CAPTCHA pour ajouter le Tourniquet Cloudflare sur votre site. L'intégration de MemberPress vous permet d'activer le Turnstile de Cloudflare sur les formulaires de connexion et d'enregistrement de MemberPress.

Pour configurer le plugin, naviguez vers Tableau de bord > Paramètres > Tourniquet Cloudflare et suivre les guide des plugins.

Note: Lorsque l'option Turnstile est activée pour le login WordPress, l'option Activation uniquement sur la page par défaut wp-login.php sera disponible. Veillez à décocher cette sous-option pour appliquer le tourniquet à la connexion MemberPress et le garder en sécurité.

En outre, vous pouvez ajouter les identifiants des membres du MemberPress dans le champ prévu à cet effet afin de n'utiliser le tourniquet que sur des formulaires d'inscription spécifiques.

Rafraîchir vos clés API

If you applied all the above-mentioned suggestions and card testing is still ongoing, please try refreshing your Stripe API credentials. To do this, please follow these steps:

1. Connectez-vous à votre site web en tant qu'administrateur. Après la connexion, l'URL dans la barre d'adresse de votre navigateur devrait être la suivante : https://yourdomain.com/wp-admin/.
2. Ajoutez ce qui suit à la fin de votre URL actuelle : admin.php?page=memberpress-options&display-keys (par exemple https://yourdomain.com/wp-admin/admin.php?page=memberpress-options&display-keys). Toujours dans la barre d'adresse, appuyer sur la touche entrée sur votre clavier.
3. Vous accéderez ainsi à la page MemberPress Paramètres page (Tableau de bord > MemberPress > Paramètres). Cliquez sur le bouton Paiements tabulation.
4. USous les paramètres de la passerelle de paiement Stripe, yous devriez voir un nouveau Actualiser les informations d'identification du Stripe bouton. Cliquez sur ce bouton pour actualiser vos informations d'identification Stripe.

Remboursement et annulation de tout paiement frauduleux

Si des paiements ont été créés avec succès pendant le test des cartes, remboursez et annulez ces abonnements. Vous pouvez le faire soit à partir de MemberPress sur votre site, soit par l'intermédiaire de Stripe. Si vous le faites par l'intermédiaire de Stripe, vous pouvez marquer le motif du remboursement comme "Fraude".

Il n'existe aucun moyen d'annuler et de rembourser en bloc dans MemberPress. Ces opérations doivent donc être effectuées une par une.

Nous vous recommandons également d'enregistrer les adresses électroniques et toute autre information relative à l'opération et à la carte utilisée, de sorte que si des clients vous envoient un courriel pour se plaindre, vous puissiez leur assurer que vous avez déjà remboursé l'opération frauduleuse. Si vous avez la possibilité de contacter le client directement, informez-le de ce qui s'est passé.