El card testing consiste en lanzar compras pequeñas en tu tienda con números de tarjeta robados para averiguar qué tarjetas siguen funcionando. Las que pasan se usan después para cometer fraude, y tu tienda se queda con un montón de pedidos fallidos, clientes falsos y posibles disputas. En WooCommerce, algunos ataques ni siquiera pasan por tu página de pago.

Cómo se nota

  • Ráfagas de pedidos pequeños, a menudo del mismo producto barato, con muchos que fallan en el pago.
  • Nombres y direcciones de clientes sin sentido, o que se repiten con pequeñas variaciones.
  • Pedidos sin navegación real detrás. WooCommerce informa de ataques dirigidos directamente a su Store API, incluso en tiendas que no usan el bloque de pago, así que el «comprador» puede no haber cargado nunca una página.

Lo que te da WooCommerce

La Store API tiene un límite de peticiones integrado, pero viene desactivado de forma predeterminada. Los desarrolladores de WooCommerce lo describen sin rodeos: frena un ataque de inmediato, pero no lo impide del todo.

  • Actívalo. Los desarrolladores pueden activarlo con el filtro woocommerce_store_api_rate_limit_options. Desde WooCommerce 9.6 se pueden activar desde el panel de administración reglas mucho más estrictas para el endpoint que realiza los pedidos.
  • Si tu tienda está detrás de un proxy o una CDN, activa el modo proxy, para no bloquear a compradores reales que comparten la dirección del proxy.
  • Identifica a los atacantes por algo más que la IP. Desde WooCommerce 9.8, un desarrollador puede sustituir la clave del límite basada en la IP por una huella personalizada mediante el filtro woocommerce_store_api_rate_limit_id.

Las comprobaciones de tu proveedor de pagos, como el CVV, la verificación de la dirección y 3-D Secure, son la otra mitad: ayudan a rechazar tarjetas robadas antes de que se haga un cargo.

Fuente: WooCommerce Developer Blog, Card Testing Attacks and the Store API (diciembre de 2024, en inglés).

Lo que añade AdProtektor en WooCommerce

  • Protección del checkout. Un visitante que AdProtektor ha marcado con evidencia sólida, es decir, automatización detectada, un bloqueo que fijaste tú o una visita desde fuera de la zona que permites, no puede añadir al carrito ni hacer un pedido. Ve una referencia que puede citar si cree que es un error. Todos los demás pagan con normalidad.
  • Una comprobación en el servidor antes de que exista el pedido. Con el plugin de AdProtektor y la clave de tu sitio, cada pedido hecho desde el checkout clásico, el bloque de pago o un botón de pago que los use se revisa en tu servidor antes de que WooCommerce lo cree. Los pedidos que crean los gestores de la tienda no se revisan.
  • Si falla, deja pasar. Si AdProtektor no está disponible, el pedido sigue adelante, así que una caída nunca te cuesta una venta real. Puedes desactivar la protección del checkout de un sitio desde el panel.
  • Los intentos quedan a la vista. Cada intento bloqueado queda registrado en el panel con su referencia, para que veas a quién se detuvo y por qué.

Usa las dos capas

La protección del checkout actúa sobre los visitantes contra los que AdProtektor tiene evidencia. El límite de peticiones cubre también las peticiones que nunca cargan una página. Usa juntos el límite de peticiones de WooCommerce, las comprobaciones de tarjeta de tu proveedor de pagos y la protección del checkout.

Una lista breve

  1. Activa el límite de peticiones de la Store API, con las reglas más estrictas para los pedidos en WooCommerce 9.6 o posterior.
  2. Activa el modo proxy si tu tienda está detrás de un proxy o una CDN.
  3. Mantén activados el CVV, la verificación de la dirección y 3-D Secure con tu proveedor de pagos.
  4. Instala el plugin de AdProtektor con la clave de tu sitio, para que los visitantes marcados no lleguen a la fase del pedido.
  5. Vigila los pedidos fallidos: una ráfaga repentina es la señal para endurecer los límites.
No puedes impedir que alguien pruebe tarjetas robadas. Puedes impedir que tu tienda sea el sitio fácil para probarlas.

Si lees en inglés, la página de la integración con WordPress y WooCommerce explica la instalación del plugin paso a paso. Para proteger tu tienda, empieza una prueba gratuita.