Cómo evitar las pruebas de tarjetas y los registros fraudulentos con Stripe

Ha observado un aumento de los pagos, ya sean fallidos o con éxito, en un breve periodo de tiempo y, tras investigar, se da cuenta de que su sitio se está utilizando para probar tarjetas: ¿qué hace ahora?

Pasar a Stripe Pago

En primer lugar, si utiliza Stripe Elements, podría intentar cambiar a Stripe Checkout:

1. Vaya a Panel de control > MemberPress > Configuración > Pestaña Pagos.
2. Encuentra el Stripe pasarela de pago.
3. Aquí, haga clic en la casilla situada junto a Pago con Stripe opción.

El cambio a Stripe Checkout no impedirá por sí solo las pruebas con tarjetas. El objetivo de este cambio es intentar interrumpir las actividades de los atacantes que realizan pruebas con tarjetas en tu sitio web. Al cambiar a Stripe Checkout se desactivarán los puntos de acceso que los atacantes puedan estar utilizando para lanzar ataques a través de Stripe Elements. Una vez que hayas aplicado todas las demás actualizaciones de seguridad mencionadas en este documento y el ataque haya finalizado, podrás volver a habilitar Stripe Elements.

Activar la protección contra pruebas de tarjetas

Ir a Cuadro de mandos > MemberPress > Configuración > General y garantizar que Activar la protección contra pruebas de tarjetas está marcada.

Está activada por defecto, pero conviene comprobarlo. Si está activada, puedes cambiar el método para obtener la dirección IP del usuario.

Si su sitio utiliza un Proxy Front-End:

• Activar Utilice el encabezado HTTP X-Forwarded-For O Utilizar el encabezado HTTP X-Real-IP

Si su sitio utiliza CloudFlare:

• Activar Utilizar el encabezado HTTP CF-Connecting-IP

Si su sitio NO utiliza CloudFlare o un Proxy Front-End:

• Activar Utiliza la variable integrada REMOTE_ADDR de PHP

Activar la configuración de radar en Stripe

Stripe cuenta con la función Stripe Radar para ayudar a detectar y bloquear actividades fraudulentas. Más información sobre estos ajustes en Configuración de riesgos de Stripe página.

Stripe Radar ofrece varias comprobaciones de verificación de tarjetas:

• Comprobación del código de verificación de la tarjeta (CVC): esta comprobación evitará que se procesen los pagos que no superen la verificación del CVC. El CVC es el código de verificación que aparece impreso directamente en la tarjeta del usuario. Los usuarios deben introducir el código CVC correcto en el formulario de registro de MemberPress para que Stripe pueda procesar el pago.
• Verificación de direcciones (AVS): esta comprobación evitará que se realicen cargos si falla la comprobación de la dirección postal. Al registrarse, los usuarios deben introducir el código postal y la dirección en el formulario de registro de MemberPress. Si estos datos no coinciden con la dirección de facturación que figura en los registros del emisor de la tarjeta (por ejemplo, el banco), el pago no se realizará.

Instalar y activar el complemento Captcha

La prueba de tarjetas se basa en bots (normalmente) automatizados que envían repetidamente el formulario de inscripción de miembros (inscripciones spam). Cada vez que el bot envíe el formulario de registro, utilizará diferentes datos de pago (robados) para comprobar si los datos son correctos. Si añade un captcha a sus formularios de inscripción, evitará el spam.

Ir a Panel de control > MemberPress > Complementos e instale y active nuestro Complemento Math Captcha. Esto añadirá un simple captcha matemático a la página de registro e inicio de sesión.

También puede utilizar la función Simple Cloudflare Turnstile - Alternativa CAPTCHA u otro plugin captcha.

Además, puede utilizar el complemento MemberPress Math Captcha con Cloudflare Turnstile (u otro complemento captcha) al mismo tiempo.

Complemento simple de Cloudflare Turnstile

Cloudflare Turnstile también debería ayudar en caso de que su sitio web se vea comprometido (hackeado). Si tu página web sufre un ataque informático, es posible que los piratas informáticos consigan el secreto de cliente de la API de Stripe.. A continuación, esta clave puede utilizarse para probar la tarjeta incluso en otros lugares no relacionados con su sitio web.

Como ya se ha mencionado, debe utilizar el Simple Cloudflare Turnstile - Alternativa CAPTCHA para añadir el Torniquete Cloudflare en su sitio. La integración con MemberPress le permite activar Cloudflare Turnstile en los formularios de inicio de sesión y registro de MemberPress.

Para configurar el plugin, vaya a Panel de control > Configuración > Cloudflare Turnstile y siga el guía de plugins.

Nota: Cuando Turnstile está habilitado para WordPress Login, el Sólo activar en la página wp-login.php por defecto estará disponible. Asegúrese de desmarque esta subopción para aplicar Turnstile en el inicio de sesión MemberPress y mantenerlo seguro.

Además, puede añadir identificaciones de miembros MemberPress al campo dedicado para aplicar Turnstile sólo en formularios de inscripción específicos.

Actualice sus claves API

Si ha aplicado todas las sugerencias anteriores y la prueba de la tarjeta sigue en curso, pruebe a actualizar sus credenciales de la API Stripe. Para ello, siga estos pasos:

1. Inicia sesión en tu sitio web como administrador. Una vez que hayas iniciado sesión, la URL que aparecerá en la barra de direcciones de tu navegador debería ser similar a esta: https://yourdomain.com/wp-admin/.
2. Añada lo siguiente al final de su URL actual: admin.php?page=memberpress-options&display-keys (por ejemplo https://yourdomain.com/wp-admin/admin.php?page=memberpress-options&display-keys). Todavía en la barra de direcciones, pulse la tecla intro en el teclado.
3. Esto le llevará al MemberPress Ajustes página (Panel de control > MemberPress > Configuración). Haga clic en el botón Pagos ficha.
4. Uonfiguración de la pasarela de pago Stripe, yDebería ver un nuevo Actualizar credenciales Stripe botón. Haga clic en este botón para actualizar sus credenciales Stripe.

Reembolso y anulación de pagos fraudulentos

Si algún pago fue creado con éxito durante la prueba de la tarjeta, reembolse y cancele estas suscripciones. Puede hacerlo desde MemberPress en su sitio o a través de Stripe. Si lo haces a través de Stripe, puedes marcar el motivo del reembolso como "Fraude".

En MemberPress no hay forma de cancelar y reembolsar en bloque. Por lo tanto, tendrá que hacerlo de uno en uno.

También recomendamos registrar las direcciones de correo electrónico y cualquier otra información sobre el cargo y la tarjeta que se utilizaron, de modo que si los clientes envían un correo electrónico quejándose, pueda asegurarles que ya ha reembolsado el cargo fraudulento. Si puede ponerse en contacto directamente con el cliente, infórmele de lo sucedido.