E-commerce
Prevenire le frodi con carta senza bloccare i clienti veri
Le frodi con carta si fermano su tre livelli: challenge sul rischio, regole sulla transazione, monitoraggio degli storni. Con le intestazioni di sicurezza misurate.
In sintesi
- La sfida 3-D Secure si decide sul rischio, non su ogni transazione.
- Le regole di velocità fermano i tentativi ripetuti senza toccare i clienti normali.
- Il checkout deve dichiarare una Content-Security-Policy: 3 negozi su 8 non la inviano.
- I dati della carta non devono transitare dal server del negozio.
La difesa dalle frodi con carta si gioca su tre livelli: challenge sul rischio, regole sulla transazione, monitoraggio degli storni. Nessuno dei tre si decide a occhio.
I tre livelli
| Livello | Cosa guarda | Costo per il cliente |
|---|---|---|
| Challenge 3-D Secure | Rischio della singola transazione, deciso dalla banca emittente | Un passaggio in più solo quando il rischio è alto |
| Regole sulla transazione | Importo, paese di fatturazione e spedizione, più tentativi sulla stessa carta | Nessuno, se la regola scatta solo sui casi limite |
| Coda di revisione | Ordini ambigui, prima della spedizione | Un ritardo dichiarato, non una sorpresa |
| Monitoraggio degli storni | Rapporto fra storni e transazioni, letto ogni mese | Nessuno diretto, ma le soglie cambiano per circuito |
Il livello che costa di più in vendite perse è il primo, se applicato a tutti: una sfida su ogni pagamento respinge chi ha fretta. Il livello che costa di più in denaro è l'ultimo, perché lo storno arriva con la merce già spedita.
La regola che evita i falsi positivi
- Blocca la combinazione, non la persona: stesso indirizzo IP con tre carte diverse in dieci minuti è un segnale, un cliente con due carte è normale.
- Chiedi conferma prima di annullare: un ordine fermato senza spiegazione produce un cliente perso e una recensione negativa, mentre un'email di verifica costa pochi minuti.
- Dichiaralo nel checkout: se la spedizione può richiedere una verifica, scrivilo prima del pagamento, non dopo.
Il codice: leggere le intestazioni di sicurezza
# le due intestazioni che rendono difficile iniettare script nel checkout
for d in esempio1.it esempio2.it; do
printf "%s csp=" "$d"
curl -sI "https://$d/" | grep -ci "content-security-policy"
done
# la pagina di pagamento carica script da domini terzi?
curl -s https://www.esempio.it/checkout \
| grep -o 'src="https://[^/"]*' | sort -uUn secondo comando che restituisce dieci domini diversi dentro il checkout dice dove può finire uno script iniettato. La CSP non elimina il rischio, ma impedisce l'esecuzione di script da domini non elencati: è la difesa più diretta contro lo skimming che copia i dati del modulo.
Il limite da dichiarare
Le intestazioni misurate sono quelle della front page, non della pagina di pagamento: un negozio può averle sulla home e non sul checkout, quindi il dato va riletto sull'URL che incassa. Inoltre la difesa più importante non è nel tuo codice: se il numero di carta passa dal tuo server, esci dal perimetro semplificato e gli obblighi cambiano. Il modulo va ospitato dal fornitore di pagamento, con campi in iframe o redirect.
Dove continuare
Due checkout completi da studiare: checkout-01 e checkout-02, entrambi nella libreria commerCN. Per il percorso d'acquisto leggi checkout senza account, carrello abbandonato e la guida creare un sito ecommerce.
Domande frequenti
3-D Secure fa perdere vendite?
Una sfida su ogni pagamento sì. Applicata solo alle transazioni a rischio, il costo è basso: la banca emittente decide quando chiedere la conferma, e nella maggior parte dei pagamenti abituali non la chiede.
Come riconosco un ordine fraudolento?
Guarda la combinazione, non il singolo dato: paese di fatturazione diverso dalla spedizione, email creata da poco, più tentativi falliti sulla stessa carta, quantità alte di un articolo facilmente rivendibile. Un solo segnale non basta mai.
Chi paga uno storno?
Il negozio, quando lo storno viene accettato: perdi l'importo, la merce già spedita e la commissione. Per questo il monitoraggio mensile conta più dell'antifrode in tempo reale.
I dati della carta possono passare dal mio server?
No, se vuoi restare nel perimetro più semplice: usa campi ospitati dal fornitore di pagamento dentro un iframe o un redirect. Se il numero di carta tocca il tuo server, gli obblighi di sicurezza e di verifica cambiano in modo sostanziale.
Serve un servizio antifrode per un negozio piccolo?
Non subito. Con pochi ordini al giorno bastano 3-D Secure sulle transazioni a rischio, le regole di velocità del fornitore di pagamento e una revisione manuale degli ordini ambigui. Il servizio dedicato ha senso quando il volume rende la revisione manuale un lavoro a tempo pieno.