Un checkout de bot est une session automatisée qui ajoute des produits au panier et lance le paiement sans acheter. Un seul, c’est du bruit. Des centaines par jour, c’est un problème : ils remplissent votre interface administrateur de paniers abandonnés et de faux clients, envoient des e-mails de relance à des adresses que personne ne lit et, si vous faites de la publicité, alimentent vos plateformes publicitaires d’événements qui ressemblent à des acheteurs.

À quoi cela ressemble dans votre boutique

Les marchands décrivent sans cesse le même schéma dans la communauté Shopify : des rafales de paniers abandonnés, souvent bien plus nombreux que les vrais visiteurs de la boutique ce jour-là ; des profils clients aux noms répétés ou absurdes ; le même produit bon marché dans chaque panier ; des adresses qui se répètent ou n’ont aucun sens. Certains fils décrivent aussi du card testing, où des bots utilisent des achats bon marché pour tester des cartes volées.

Pourquoi un bot fait cela ne se voit généralement pas depuis la boutique. Ce que vous pouvez mesurer, c’est le schéma, et le schéma suffit pour agir.

Ce que cela coûte à un annonceur

Le nettoyage est le coût visible. Le coût caché, ce sont vos données publicitaires. Un bot qui arrive par une annonce, ajoute au panier et lance le paiement produit les mêmes événements AddToCart et InitiateCheckout qu’un acheteur. Quand ces événements parviennent à Meta, Google Ads ou GA4 comme conversions, les enchères des plateformes en tirent des leçons, et apprennent à trouver davantage du trafic qui les a produits.

Les e-mails de relance sont le deuxième coût. Les e-mails de panier abandonné envoyés à de fausses adresses rebondissent ou restent non lus, et certains marchands les suspendent pendant une attaque pour protéger leur réputation d’expéditeur.

Ce que couvre Shopify

  • La protection contre le spam ajoute hCaptcha aux formulaires de la boutique, comme ceux de contact, de newsletter, de connexion et de création de compte, dans Boutique en ligne → Préférences. Elle protège ces formulaires. Un bot peut remplir un panier sans en toucher aucun.
  • La protection du paiement contre les bots est une fonctionnalité de Shopify Plus : le support Shopify Plus l’active, puis vous programmez des événements de protection d’une durée maximale de 60 minutes, sous Settings → Bot protection (le nom que lui donne l’aide Shopify en anglais). Shopify la présente comme un moyen de limiter les bots d’achat automatique, pas comme une prévention de la fraude.
  • Les vérifications de carte de votre prestataire de paiement, comme le CVV, la vérification d’adresse et 3-D Secure, sont ce qui empêche les achats de card testing d’aboutir.

Shopify propose aussi un guide général sur la gestion des bots (en anglais). Vous utilisez aussi WooCommerce ? Lisez Attaques de card testing sur WooCommerce.

Sources : aide Shopify, préférences de la boutique en ligne et protection contre les bots (en anglais), et pixels et événements clients.

Ce qu’ajoute AdProtektor

  • Il évalue chaque visite de la boutique pour repérer les bots, les concurrents et les fermes à clics.
  • Il relie un paiement qui arrive sans visite de navigateur au visiteur dont il provient, quand les éléments le permettent, et lui attribue le verdict de ce visiteur.
  • Il enregistre comme trafic de bots dans votre tableau de bord un paiement qui ne se relie à personne mais porte des signes d’attaque, comme un paiement lancé directement depuis l’API du panier ou une rafale plus nombreuse que vos sessions réelles.
  • Avec ConversionOS et la protection contre la fraude actifs, il peut retenir les événements de conversion liés à des visiteurs bloqués ou à des robots d’indexation au lieu de les envoyer à Meta, Google Ads et GA4.
  • Il exclut les adresses IP des visiteurs bloqués des campagnes Google Ads connectées éligibles, et maintient des audiences d’exclusion Meta là où c’est configuré et pris en charge.

Retenir n’est pas un certificat

Les conversions liées à des visiteurs bloqués ou à des robots d’indexation ne sont pas envoyées, vos plateformes en voient donc moins. Cela ne certifie pas que chaque autre événement est un vrai client, et chaque plateforme applique son propre traitement à ce qu’elle reçoit.

La mise en place aujourd’hui

L’application ConversionOS pour Shopify est en attente d’examen sur le Shopify App Store. En attendant sa publication, vous configurez trois éléments depuis votre tableau de bord :

  1. Le script de la boutique dans l’en-tête de votre thème, pour que chaque visite soit évaluée.
  2. L’extrait de pixel personnalisé dans l’interface administrateur Shopify, sous Paramètres → Événements clients, qui transmet les événements du paiement.
  3. Le webhook de commandes signé, dans la même section ConversionOS.

Refuser directement le paiement à un visiteur signalé fait partie de la protection du paiement de l’application, qui arrive donc avec l’application. Avec la configuration manuelle, les paiements de bots sont enregistrés comme fraude et, avec ConversionOS, tenus à l’écart de vos plateformes publicitaires. La page d’intégration Shopify (en anglais) détaille chaque étape.

Vos plateformes publicitaires apprennent de ce que vous leur envoyez. Envoyez-leur des acheteurs.

Pour voir ce qui arrive dans votre boutique, démarrez un essai gratuit et ajoutez le script de la boutique.