Attaques de card testing sur WooCommerce : ce que c’est et comment les arrêter

Le card testing consiste à passer de petites commandes sur votre boutique avec des numéros de carte volés, pour savoir lesquels fonctionnent encore. Les cartes qui passent servent ensuite à la fraude, et votre boutique se retrouve avec une pile de commandes échouées, de faux clients et d’éventuels litiges. Sur WooCommerce, certaines attaques contournent même entièrement votre page de paiement.

Comment cela se manifeste

• Des rafales de petites commandes, souvent pour le même produit bon marché, dont beaucoup échouent au paiement.
• Des noms et des adresses de clients sans queue ni tête, ou qui se répètent avec de légères variations.
• Des commandes sans vraie navigation derrière. WooCommerce signale des attaques visant directement sa Store API, y compris sur des boutiques qui n’utilisent pas le bloc de paiement : « l’acheteur » n’a peut-être jamais chargé une page.

Ce que WooCommerce vous offre

La Store API intègre une limitation de débit, mais elle est désactivée par défaut. Les développeurs de WooCommerce le disent sans détour : elle ralentit aussitôt une attaque, sans l’empêcher complètement.

• Activez-la. Les développeurs peuvent l’activer avec le filtre woocommerce_store_api_rate_limit_options. Depuis WooCommerce 9.6, des règles bien plus strictes pour le point de terminaison qui passe les commandes peuvent être activées depuis l’administration.
• Derrière un proxy ou un CDN, activez le mode proxy, pour ne pas bloquer de vrais acheteurs qui partagent l’adresse du proxy.
• Identifiez les attaquants par autre chose que l’IP. Depuis WooCommerce 9.8, un développeur peut remplacer la clé de limitation basée sur l’IP par une empreinte personnalisée grâce au filtre woocommerce_store_api_rate_limit_id.

Les contrôles de carte de votre prestataire de paiement, comme le CVV, la vérification d’adresse et 3-D Secure, sont l’autre moitié : ils aident à refuser les cartes volées avant tout débit.

Source : WooCommerce Developer Blog, Card Testing Attacks and the Store API (décembre 2024, en anglais).

Ce qu’AdProtektor ajoute sur WooCommerce

• Protection du paiement. Un visiteur qu’AdProtektor a signalé sur des éléments solides, c’est-à-dire une automatisation détectée, un blocage que vous avez défini vous-même ou une visite venue d’une zone que vous n’autorisez pas, ne peut ni ajouter au panier ni passer commande. Il voit une référence à communiquer s’il pense à une erreur. Tous les autres paient normalement.
• Une vérification sur le serveur avant que la commande n’existe. Avec le plugin AdProtektor et la clé de votre site, chaque commande passée via le paiement classique, le bloc de paiement ou un bouton de paiement qui les utilise est vérifiée sur votre serveur avant que WooCommerce ne la crée. Les commandes créées par les gestionnaires de la boutique ne sont pas vérifiées.
• En cas de panne, la commande passe. Si AdProtektor est injoignable, la commande est acceptée : une panne ne vous coûte jamais une vraie vente. Vous pouvez désactiver la protection du paiement d’un site depuis le tableau de bord.
• Les tentatives restent visibles. Chaque tentative bloquée est enregistrée dans le tableau de bord avec sa référence, pour que vous voyiez qui a été arrêté et pourquoi.

Une courte liste de vérification

1. Activez la limitation de débit de la Store API, avec les règles plus strictes pour les commandes sur WooCommerce 9.6 ou ultérieur.
2. Activez le mode proxy si votre boutique est derrière un proxy ou un CDN.
3. Gardez le CVV, la vérification d’adresse et 3-D Secure activés chez votre prestataire de paiement.
4. Installez le plugin AdProtektor avec la clé de votre site, pour que les visiteurs signalés n’atteignent pas l’étape de la commande.
5. Surveillez les commandes échouées : une rafale soudaine est le signal pour resserrer les limites.

Si vous lisez l’anglais, la page de l’intégration WordPress et WooCommerce détaille l’installation du plugin étape par étape. Pour protéger votre boutique, commencez un essai gratuit.