בדיקת כרטיסים היא מצב שבו מישהו מבצע רכישות קטנות בחנות שלך עם מספרי כרטיסי אשראי גנובים, כדי לגלות אילו כרטיסים עדיין עובדים. הכרטיסים שעוברים משמשים אחר כך להונאות, והחנות שלך נשארת עם ערימה של הזמנות שנכשלו, לקוחות מזויפים ואולי גם הכחשות עסקה. ב-WooCommerce, חלק מההתקפות בכלל לא עוברות דרך דף התשלום.
איך זה נראה
- גלים של הזמנות קטנות, לעיתים קרובות של אותו מוצר זול, שרבות מהן נכשלות בתשלום.
- שמות וכתובות של לקוחות שלא הגיוניים, או שחוזרים עם שינויים קטנים.
- הזמנות בלי גלישה אמיתית מאחוריהן. WooCommerce מדווחת על התקפות שמכוונות ישירות ל-Store API שלה, גם בחנויות שלא משתמשות בבלוק התשלום (Checkout block), כך ש"הקונה" אולי אף פעם לא טען דף.
מה WooCommerce נותנת לך
ל-Store API יש הגבלת קצב (rate limiting) מובנית, אבל היא כבויה כברירת מחדל. המפתחים של WooCommerce אומרים את זה בפשטות: היא מאטה התקפה מיד, אבל לא מונעת אותה לגמרי.
- הפעל אותה. מפתחים יכולים להפעיל אותה עם הפילטר
woocommerce_store_api_rate_limit_options. מגרסה 9.6 של WooCommerce אפשר להפעיל ממסך הניהול כללים מחמירים בהרבה לשלב ביצוע ההזמנה. - מאחורי proxy או CDN, הפעל את מצב ה-proxy, כדי לא לחסום קונים אמיתיים שחולקים את הכתובת של ה-proxy.
- זהה תוקפים לפי יותר מ-IP. מגרסה 9.8 של WooCommerce, מפתח יכול להחליף את מפתח הגבלת הקצב שמבוסס על IP בטביעת אצבע מותאמת, דרך הפילטר
woocommerce_store_api_rate_limit_id.
הבדיקות של חברת הסליקה או של ספק התשלומים שלך, כמו CVV ו-3-D Secure, הן החצי השני: הן עוזרות לסרב לכרטיסים גנובים לפני שהחיוב עובר.
מקור: הבלוג למפתחים של WooCommerce, Card Testing Attacks and the Store API (דצמבר 2024, באנגלית).
מה AdProtektor מוסיפה ב-WooCommerce
- הגנה על התשלום. מבקר ש-AdProtektor סימנה על סמך ראיות חזקות, כלומר אוטומציה שזוהתה, חסימה שהגדרת בעצמך או ביקור מחוץ לאזור שאתה מאפשר, לא יכול להוסיף מוצרים לעגלה או לבצע הזמנה. הוא רואה מספר אסמכתה, למקרה שהוא חושב שמדובר בטעות. כל השאר משלמים כרגיל.
- בדיקה בצד השרת לפני שההזמנה נוצרת. עם התוסף של AdProtektor ומפתח האתר שלך, כל הזמנה שמבוצעת דרך התשלום הקלאסי, דרך בלוק התשלום או דרך כפתור תשלום שמשתמש בהם נבדקת בשרת שלך לפני ש-WooCommerce יוצרת אותה. הזמנות שמנהלי החנות מזינים לא נבדקות.
- תקלה לא עוצרת מכירות. אם אין תקשורת עם AdProtektor, ההזמנה עוברת, כך שתקלה אף פעם לא עולה לך במכירה אמיתית. אפשר לכבות את ההגנה על התשלום לאתר מסוים בלוח הבקרה.
- הניסיונות נשארים גלויים. כל ניסיון שנחסם נרשם בלוח הבקרה עם מספר האסמכתה שלו, כך שאפשר לראות מי נעצר ולמה.
השתמש בשתי השכבות
ההגנה על התשלום פועלת על מבקרים ש-AdProtektor מחזיקה נגדם ראיות. הגבלת הקצב מכסה גם בקשות שאף פעם לא טוענות דף. הפעל יחד את הגבלת הקצב של WooCommerce, את הבדיקות של חברת הסליקה ואת ההגנה על התשלום.
רשימת בדיקה קצרה
- הפעל את הגבלת הקצב של ה-Store API, עם הכללים המחמירים לביצוע הזמנה ב-WooCommerce 9.6 ומעלה.
- הפעל את מצב ה-proxy אם החנות נמצאת מאחורי proxy או CDN.
- השאר פעילים את CVV, את 3-D Secure ואת שאר הבדיקות שחברת הסליקה מציעה.
- התקן את התוסף של AdProtektor עם מפתח האתר שלך, כדי שמבקרים מסומנים לא יגיעו לשלב ההזמנה.
- עקוב אחרי הזמנות שנכשלו: גל פתאומי הוא הסימן להדק את המגבלות.
אי אפשר למנוע ממישהו לנסות כרטיסים גנובים. אפשר למנוע מהחנות שלך להיות המקום הקל לנסות אותם.
דף האינטגרציה ל-WordPress ול-WooCommerce (באנגלית) מסביר את התקנת התוסף. כדי להגן על החנות שלך, התחל תקופת ניסיון.