# Prevenire le frodi con carta senza bloccare i clienti veri

Le frodi con carta si fermano su tre livelli: challenge sul rischio, regole sulla transazione, monitoraggio degli storni. Con le intestazioni di sicurezza misurate.

> Pagina: https://ui.eneawork.it/blog/ecommerce-frodi-prevenzione
> Markdown: https://ui.eneawork.it/blog/ecommerce-frodi-prevenzione.md

*2026-11-01*

La difesa dalle frodi con carta si gioca su tre livelli: challenge sul rischio, regole sulla transazione, monitoraggio degli storni. Nessuno dei tre si decide a occhio.

L'1 novembre 2026 abbiamo sondato con curl -sI la front page di 8 negozi, fra italiani e internazionali: 5 inviavano Content-Security-Policy e 5 inviavano Strict-Transport-Security, quindi 3 non dichiaravano alcuna CSP. Il comando per ripetere la prova su un dominio è curl -sI https://esempio.it/ | grep -ci "content-security-policy". Nella stessa data il catalogo EneUI misura 1.556 blocchi e 111.985 componenti, letti da /api/stats, di cui 3 sono checkout completi della libreria commerCN. Nessun tasso di frode: non abbiamo transazioni nostre da contare.

## I tre livelli

Il livello che costa di più in vendite perse è il primo, se applicato a tutti: una sfida su ogni pagamento respinge chi ha fretta. Il livello che costa di più in denaro è l'ultimo, perché lo storno arriva con la merce già spedita.

## La regola che evita i falsi positivi

## Il codice: leggere le intestazioni di sicurezza

# le due intestazioni che rendono difficile iniettare script nel checkout for d in esempio1.it esempio2.it; do printf "%s csp=" "$d" curl -sI "https://$d/" | grep -ci "content-security-policy" done # la pagina di pagamento carica script da domini terzi? curl -s https://www.esempio.it/checkout \ | grep -o 'src="https://[^/"]*' | sort -u

Un secondo comando che restituisce dieci domini diversi dentro il checkout dice dove può finire uno script iniettato. La CSP non elimina il rischio, ma impedisce l'esecuzione di script da domini non elencati: è la difesa più diretta contro lo skimming che copia i dati del modulo.

## Il limite da dichiarare

Le intestazioni misurate sono quelle della front page, non della pagina di pagamento: un negozio può averle sulla home e non sul checkout, quindi il dato va riletto sull'URL che incassa. Inoltre la difesa più importante non è nel tuo codice: se il numero di carta passa dal tuo server, esci dal perimetro semplificato e gli obblighi cambiano. Il modulo va ospitato dal fornitore di pagamento, con campi in iframe o redirect.

## Dove continuare

Due checkout completi da studiare: checkout-01 e checkout-02, entrambi nella libreria commerCN. Per il percorso d'acquisto leggi checkout senza account, carrello abbandonato e la guida creare un sito ecommerce.

## FAQ

### 3-D Secure fa perdere vendite?

Una sfida su ogni pagamento sì. Applicata solo alle transazioni a rischio, il costo è basso: la banca emittente decide quando chiedere la conferma, e nella maggior parte dei pagamenti abituali non la chiede.

### Come riconosco un ordine fraudolento?

Guarda la combinazione, non il singolo dato: paese di fatturazione diverso dalla spedizione, email creata da poco, più tentativi falliti sulla stessa carta, quantità alte di un articolo facilmente rivendibile. Un solo segnale non basta mai.

### Chi paga uno storno?

Il negozio, quando lo storno viene accettato: perdi l'importo, la merce già spedita e la commissione. Per questo il monitoraggio mensile conta più dell'antifrode in tempo reale.

### I dati della carta possono passare dal mio server?

No, se vuoi restare nel perimetro più semplice: usa campi ospitati dal fornitore di pagamento dentro un iframe o un redirect. Se il numero di carta tocca il tuo server, gli obblighi di sicurezza e di verifica cambiano in modo sostanziale.

### Serve un servizio antifrode per un negozio piccolo?

Non subito. Con pochi ordini al giorno bastano 3-D Secure sulle transazioni a rischio, le regole di velocità del fornitore di pagamento e una revisione manuale degli ordini ambigui. Il servizio dedicato ha senso quando il volume rende la revisione manuale un lavoro a tempo pieno.