Comment nous avons mis fin aux commandes frauduleuses sur Shopify

Notre lutte contre la fraude automatisée

Si vous vendez des produits numériques sur Shopify, il y a de fortes chances que vous connaissiez déjà ce sentiment : une notification de commande apparaît et, au lieu de l'excitation habituelle, vous avez l'estomac noué. Est-ce un vrai client, ou une autre commande frauduleuse ?

C'était notre réalité chez CraftedCharts pendant la majeure partie des mois de mars et avril de cette année. Au pire moment, nous avons suivi près de 380 commandes frauduleuses en un seul mois, dont 13 se sont transformées en rejets de débit complets. Nous voulons vous expliquer exactement ce qui s'est passé, ce que nous avons essayé, ce qui n'a pas fonctionné et ce qui a finalement fonctionné, au cas où vous traverseriez la même chose en ce moment.

Comment les commandes frauduleuses ont commencé

Nous avons commencé à remarquer un schéma de commandes manifestement frauduleuses arrivant dans notre boutique. Détails de carte qui ne correspondaient pas à l'adresse de facturation. Commandes passées coup sur coup à quelques minutes d'intervalle. Clients qui n'ont jamais ouvert un seul e-mail après « l'achat ». Cela a dégénéré au point que nous recevions plusieurs commandes frauduleuses par jour.

Check out our products

Nous avons fait tout ce que le support Shopify a suggéré. Filtres anti-fraude, tous les paramètres recommandés, tout. Rien de tout cela n'a fait une réelle différence. Le support a reconnu le problème, a dit qu'ils feraient intervenir une équipe interne, puis... le silence. Des jours se sont écoulés sans suivi.

Les solutions de contournement qui n'ont pas vraiment fonctionné

Sans aide de Shopify, nous avons essayé les correctifs évidents :

Examen manuel des commandes. Nous l'avons activé afin que rien ne soit expédié (ou dans notre cas, rien ne soit livré) sans que nous le vérifiions personnellement d'abord. Cela a stoppé l'hémorragie, mais cela signifiait vérifier et approuver les commandes tous les jours, indéfiniment.
Blocage des commandes internationales. Il s'agit d'une recommandation courante de Shopify, mais elle est essentiellement inutile pour une boutique de produits numériques. Elle n'affecte que l'expédition, et les biens numériques ne sont pas expédiés.
Marquer chaque produit comme « nécessitant une expédition ». Cette astuce apparaît constamment dans les forums de la communauté Shopify comme une solution de contournement pour forcer le blocage international à s'appliquer également aux produits numériques. Nous l'avons envisagée et rejetée. Avec des centaines de produits dans notre catalogue, tout réétiqueter juste pour corriger un problème de fraude que Shopify devrait résoudre n'avait pas de sens, et cela ne devrait pas être la réponse.

Nous avons également cherché de l'aide en dehors de Shopify. Nous avons contacté plusieurs pigistes sur Upwork pour voir si quelqu'un ayant de l'expérience en prévention de la fraude ou en sécurité Shopify pouvait mettre en place une solution appropriée pour nous. Aucun d'entre eux n'a été en mesure de réellement répondre à nos besoins, les réponses ne comprenaient pas le problème spécifique de la fraude aux produits numériques et du trafic de bots via Tor/VPN, ou proposaient les mêmes paramètres génériques que nous avions déjà essayés nous-mêmes. Cette voie s'est également avérée être une impasse.

Ce qui nous a le plus frustrés, honnêtement, c'est de voir Shopify accepter des commandes où l'adresse de facturation ne correspondait manifestement pas à la carte : code postal incorrect, champs incomplets, informations clairement incohérentes. Si cette incohérence de base n'est pas un signal d'alarme pour le propre système de Shopify, c'est un réel problème, et non pas un problème qu'un propriétaire de boutique individuelle devrait compenser seul.

Décision de payer pour une application de prévention de la fraude

Nous ne voulions vraiment pas ajouter une autre dépense mensuelle juste pour corriger quelque chose qui nous semblait être le travail de Shopify. Mais l'examen manuel des commandes n'était pas durable, et la fraude ne ralentissait pas. Nous avons donc pris notre courage à deux mains et avons commencé à tester des applications dédiées à la prévention de la fraude. (Si vous êtes curieux de savoir ce que nous coûte l'ensemble de notre pile d'applications Shopify, pas seulement la prévention de la fraude, nous avons tout détaillé dans notre article Avantages et inconvénients de Shopify.)

Première tentative : Blockify

Nous avons installé Blockify et utilisé sa fonction de blocage de pays, en bloquant initialement tous les pays sauf les États-Unis. Cela semblait prometteur, les analyses montrant quelques visiteurs bloqués dans la première heure.

Puis une commande est passée quand même. En y regardant de plus près, le visiteur avait utilisé Tor pour masquer et faire pivoter son adresse IP, ce qui signifiait qu'un simple blocage de pays/IP ne suffirait pas. La réponse de Blockify a été de nous inciter à passer à leur niveau entreprise (environ 125 $ / an) pour la détection Tor.

Nous avons commencé un essai du niveau supérieur, mais le timing était mauvais, le support était absent pour le week-end au moment où nous avions besoin d'aide, et pire encore, nous avons réalisé que les analyses des visiteurs de l'essai ne montraient pas de données réelles, puisque nous étions sur un niveau d'essai. Nous ne pouvions pas réellement vérifier si l'outil fonctionnait avant d'être invités à nous engager pour une année complète. Nous avons annulé plutôt que de risquer de payer pour quelque chose dont nous ne pouvions pas confirmer l'efficacité.

Deuxième tentative : Une autre application

Nous sommes passés à une autre application de blocage de fraude, avec un essai gratuit de 7 jours, à un prix inférieur à celui du plan entreprise de Blockify. Celle-ci a montré des analyses réelles et fiables dès le premier jour, des pays bloqués réels, des détections VPN/proxy réelles, des journaux de visiteurs réels que nous pouvions inspecter nous-mêmes. Nous l'avons configurée pour bloquer tout le trafic non américain, puis avons spécifiquement autorisé le Canada à nouveau, car nous voulions que les clients canadiens puissent acheter.

Cette application a également détecté quelque chose que le tableau de bord de Blockify ne nous avait jamais clairement montré : les visiteurs légitimes des États-Unis utilisant un VPN, par opposition au trafic frauduleux. Nous avons accepté qu'un petit nombre de vrais clients américains utilisant des VPN puissent être bloqués, et avons décidé que ce compromis en valait la peine.

Le seul changement qui a vraiment résolu le problème

Voici la partie qui, selon nous, est la plus importante pour quiconque est confronté à ce problème : la plus grande amélioration n'est pas venue du blocage de pays ou de la détection de VPN. Elle est venue d'une suggestion que ni le support de Shopify ni Blockify n'avaient jamais mentionnée : exiger un compte client pour finaliser la commande.

Pour une boutique de produits numériques, cela a de toute façon du sens : un compte client permet aux acheteurs de télécharger à nouveau leurs fichiers plus tard à partir de l'historique des commandes. C'est la même raison pour laquelle les clients qui achètent quelque chose comme notre Plan d'affaires immobilier peuvent toujours revenir et récupérer leur fichier sans avoir à fouiller dans de vieux e-mails. Mais il s'est avéré que ce paramètre était aussi le moyen de dissuasion contre la fraude le plus efficace que nous ayons mis en œuvre. Quel que soit le processus automatisé qui plaçait les commandes frauduleuses, il n'était apparemment pas conçu pour gérer une étape de création de compte. Après avoir activé ce paramètre, les commandes frauduleuses ont presque entièrement disparu.

Combiné au blocage des bots et à la détection de VPN/proxy de la nouvelle application, nous sommes passés de plusieurs commandes frauduleuses par jour à une petite poignée sur une semaine entière, et finalement, plusieurs jours consécutifs sans aucune.

Ce que nous dirions aux autres propriétaires de boutiques Shopify

Si vous êtes un vendeur de produits numériques confronté à la même chose, voici ce que nous ferions en premier, d'après notre propre expérience :

Exigez un compte client pour le paiement. Cela seul peut filtrer une grande partie de la fraude automatisée, et c'est gratuit.
Ajoutez une application dédiée au blocage de la fraude/des robots avec des analyses réelles et vérifiables, pas seulement le blocage par pays, mais spécifiquement la détection de VPN et de proxy/bots, car le trafic de fraude sophistiqué contourne les simples blocages IP ou par pays.
Ne comptez pas sur "marquer les produits numériques comme nécessitant une expédition" comme solution principale. C'est une solution de contournement pour une lacune que Shopify devrait combler, pas une vraie solution à long terme, surtout avec un grand catalogue.
Faites pression sur le support Shopify, mais n'attendez pas après eux. Nous continuons de croire que l'acceptation par Shopify de commandes avec des adresses de facturation et des cartes manifestement incompatibles est une réelle lacune de leur part. Nous l'avons signalé. Nous ne sommes pas convaincus que cela sera corrigé de sitôt, nous n'avons donc pas attendu.

Où nous en sommes maintenant

Nous restons vigilants, car le trafic de fraude a tendance à vous retrouver dès que vous baissez la garde. Mais la combinaison de l'exigence de compte et d'une application de blocage de bots/VPN fonctionnant correctement nous a donné quelque chose que nous n'avions pas en mars et avril : la possibilité de gérer notre boutique sans la vérifier plusieurs fois par jour.

Nous continuerons à mettre à jour cet article si les choses changent, mais pour l'instant, c'est la configuration qui a réellement fonctionné pour nous.