Comment prévenir les tests de cartes et les inscriptions frauduleuses avec Stripe ?

Vous avez remarqué une augmentation des paiements, qu'ils soient échoués ou réussis sur une courte période, et après enquête, vous vous rendez compte que votre site est utilisé pour tester des cartes - que devez-vous faire maintenant ?

Passage à la caisse Stripe

Tout d'abord, si vous utilisez Stripe Elements, vous pouvez essayer de passer à Stripe Checkout :

1. Naviguez jusqu'à Tableau de bord > MemberPress > Paramètres > Onglet Paiements.
2. Trouver le Rayure passerelle de paiement.
3. Cliquez ici sur la case à cocher située à côté de l'option Paiement par carte de crédit option.

Le passage à Stripe Checkout n'empêchera pas à lui seul les tentatives de piratage par carte bancaire. L'objectif de cette mise en place est d'essayer de perturber les pirates qui s'attaquent à votre site web. Le passage à Stripe Checkout désactivera les points de terminaison que les pirates pourraient utiliser pour lancer des attaques via Stripe Elements. Une fois que vous aurez appliqué toutes les autres mises à jour de sécurité mentionnées dans ce document et que l’attaque sera terminée, vous pourrez réactiver Stripe Elements.

Activer la protection contre le test des cartes

Aller à Tableau de bord > MemberPress > Paramètres > Général et veiller à ce que Activer la protection contre les tests de cartes est vérifié.

Cette option est activée par défaut, mais il est préférable de vérifier. Si elle est activée, vous pouvez modifier la méthode utilisée pour obtenir l'adresse IP de l'utilisateur.

Si votre site utilise un proxy frontal :

• Activer Utiliser l'en-tête HTTP X-Forwarded-For OU Utiliser l'en-tête HTTP X-Real-IP

Si votre site utilise CloudFlare :

• Activer Utiliser l'en-tête HTTP CF-Connecting-IP

Si votre site n'utilise pas CloudFlare ou un proxy frontal :

• Activer Utilisez la variable intégrée REMOTE_ADDR de PHP

Activer les paramètres du radar dans Stripe

Stripe dispose de la fonction Radar Stripe qui permet de détecter et de bloquer les activités frauduleuses. Pour en savoir plus sur ces paramètres Paramètres de risque de Stripe page.

Stripe Radar propose plusieurs contrôles de vérification des cartes :

• Vérification du code de vérification de la carte (CVC): cette vérification permettra d'empêcher tout prélèvement ne respectant pas les critères de validation du code CVC. Le code CVC est le code de vérification imprimé directement sur la carte de l'utilisateur. Les utilisateurs doivent saisir le code CVC correct dans le formulaire d'inscription MemberPress afin que Stripe puisse traiter le paiement.
• Vérification d'adresse (AVS): cette vérification empêchera toute facturation si la validation de l'adresse postale échoue. Lors de leur inscription, les utilisateurs doivent indiquer le code postal et l'adresse dans le formulaire d'inscription MemberPress. Si ces informations ne correspondent pas à l'adresse de facturation enregistrée auprès de l'émetteur de la carte (par exemple, la banque), le paiement sera refusé.

Installer et activer le module complémentaire Captcha

Le test des cartes est basé sur des robots (généralement automatisés) qui soumettent de manière répétée le formulaire d'inscription (spam). Chaque fois que le robot soumet le formulaire d'inscription, il utilise des données de paiement différentes (volées) pour vérifier si les données sont correctes. L'ajout d'un captcha à vos formulaires d'inscription devrait permettre d'éviter les inscriptions non sollicitées.

Aller à Tableau de bord > MemberPress > Modules complémentaires et d'installer et d'activer notre Math Captcha add-on. Cela ajoutera un simple captcha mathématique à la page d'enregistrement et de connexion.

Vous pouvez également utiliser la fonction Turnstile simple de Cloudflare - Alternative CAPTCHA ou un autre plugin captcha.

En outre, vous pouvez utiliser le module complémentaire MemberPress Math Captcha avec Cloudflare Turnstile (ou un autre plugin captcha) en même temps.

Add-On simple pour le tourniquet Cloudflare

Cloudflare Turnstile devrait également vous aider en cas de compromission (piratage) de votre site web. Si votre site web est piraté, les pirates pourraient mettre la main sur votre clé secrète de client API Stripe.. Cette clé peut ensuite être utilisée pour tester les cartes, même à d'autres endroits qui n'ont rien à voir avec votre site web.

Comme nous l'avons déjà mentionné, il convient d'utiliser l'option Turnstile simple de Cloudflare - Alternative CAPTCHA pour ajouter le Tourniquet Cloudflare sur votre site. L'intégration de MemberPress vous permet d'activer le Turnstile de Cloudflare sur les formulaires de connexion et d'enregistrement de MemberPress.

Pour configurer le plugin, naviguez vers Tableau de bord > Paramètres > Tourniquet Cloudflare et suivre les guide des plugins.

Note: Lorsque l'option Turnstile est activée pour le login WordPress, l'option Activation uniquement sur la page par défaut wp-login.php sera disponible. Veillez à décocher cette sous-option pour appliquer le tourniquet à la connexion MemberPress et le garder en sécurité.

En outre, vous pouvez ajouter les identifiants des membres du MemberPress dans le champ prévu à cet effet afin de n'utiliser le tourniquet que sur des formulaires d'inscription spécifiques.

Rafraîchir vos clés API

Si vous avez appliqué toutes les suggestions susmentionnées et que le test de la carte est toujours en cours, essayez de rafraîchir vos identifiants API Stripe. Pour ce faire, veuillez suivre les étapes suivantes :

1. Connectez-vous à votre site web en tant qu'administrateur. Une fois connecté, l'URL affichée dans la barre d'adresse de votre navigateur devrait se présenter comme suit : https://yourdomain.com/wp-admin/.
2. Ajoutez ce qui suit à la fin de votre URL actuelle : admin.php?page=memberpress-options&display-keys (par exemple https://yourdomain.com/wp-admin/admin.php?page=memberpress-options&display-keys). Toujours dans la barre d'adresse, appuyer sur la touche entrée sur votre clavier.
3. Vous accéderez ainsi à la page MemberPress Paramètres page (Tableau de bord > MemberPress > Paramètres). Cliquez sur le bouton Paiements tabulation.
4. USous les paramètres de la passerelle de paiement Stripe, yous devriez voir un nouveau Actualiser les informations d'identification du Stripe bouton. Cliquez sur ce bouton pour actualiser vos informations d'identification Stripe.

Remboursement et annulation de tout paiement frauduleux

Si des paiements ont été créés avec succès pendant le test des cartes, remboursez et annulez ces abonnements. Vous pouvez le faire soit à partir de MemberPress sur votre site, soit par l'intermédiaire de Stripe. Si vous le faites par l'intermédiaire de Stripe, vous pouvez marquer le motif du remboursement comme "Fraude".

Il n'existe aucun moyen d'annuler et de rembourser en bloc dans MemberPress. Ces opérations doivent donc être effectuées une par une.

Nous vous recommandons également d'enregistrer les adresses électroniques et toute autre information relative à l'opération et à la carte utilisée, de sorte que si des clients vous envoient un courriel pour se plaindre, vous puissiez leur assurer que vous avez déjà remboursé l'opération frauduleuse. Si vous avez la possibilité de contacter le client directement, informez-le de ce qui s'est passé.