La prueba de tarjetas (card testing) es usar tu checkout para averiguar qué tarjetas robadas siguen funcionando. Alguien compra una lista de números de tarjeta y la prueba en bloque, con pagos pequeños o guardando una tarjeta, y se queda con las que tu proveedor de pagos acepta. Stripe le da otros nombres: carding, account testing, enumeration y card checking; OWASP la llama carding, "múltiples intentos de autorización de pago para verificar la validez de datos de tarjetas robadas en bloque". Se hace con un script, porque una lista solo vale la pena probarla en volumen.
Lo que te cuesta la prueba de tarjetas
- Disputas. Algunos pagos de prueba salen bien, los titulares los ven y denuncian fraude, y cada uno puede acabar en una disputa con su comisión.
- Los pagos de tus clientes reales. Miles de rechazos ligados a tu negocio hacen que los emisores vean cada pago tuyo como más arriesgado, y Stripe advierte que los pagos legítimos pueden rechazarse más a menudo, incluso después de que la prueba se detenga.
- Comisiones y carga. Comisiones por autorización en algunos planes de precios, y una ola de solicitudes que tus servidores y tu proveedor deben responder.
- La atención de las redes de tarjetas. Visa la cuenta: desde junio de 2025, su programa de supervisión de adquirentes señala a un comercio cuyas autorizaciones de enumeración llegan al 20% de todas sus autorizaciones, con al menos 300.000 de ellas en un mes.
- Tus números. Los pagos pequeños del probador parecen clientes nuevos en tus datos.
Cómo se ve en tus pagos
Stripe nombra los síntomas habituales:
- un pico de pagos fallidos o bloqueados;
- un pico de solicitudes rechazadas, muchas con un rechazo genérico;
- más pagos pequeños, a menudo con nombres y emails sin sentido.
Vigila también el guardado de tarjetas, no solo el pago. Stripe señala que los probadores lo prefieren, porque una tarjeta guardada en una cuenta no suele aparecer en el extracto del titular, así que nadie la denuncia.
Por qué un solo control no basta
Los probadores rotan tarjetas, direcciones y sesiones, así que un filtro por una sola señal, como la dirección IP, no suele bastar por sí solo, en palabras de Stripe. Su consejo es un conjunto de controles en las rutas que guardan una tarjeta o cobran un pago: un CAPTCHA verificado en el servidor, un inicio de sesión antes del pago, límites de velocidad, y una combinación de ellos. Cada uno añade un paso, y el paso cae sobre tus compradores tanto como sobre el script.
Pregunta antes de cobrar
Un script de prueba suele enviar directo a tu ruta de pago y nunca carga tu página de checkout. Bot Protection juzga la solicitud antes de que tu servidor llame al proveedor de pagos, y en esa ruta puedes pedir la prueba de que la página se visitó de verdad: una acción que necesita el tag. Ponla en el post que cobra la tarjeta, en el que guarda una tarjeta y en el que canjea una tarjeta regalo. Después actúa según la clase:
bot_high: rechaza con el mismo mensaje que muestra una tarjeta rechazada, o con una respuesta señuelo (decoy), para que el script no aprenda nada sobre sus tarjetas.bot: pide antes tu propia verificación, como 3-D Secure, o envía al comprador por la página de desafío.unknown,human,human_high: el pago normal.
Empieza en modo monitor: nadie queda bloqueado, y cada respuesta dice lo que habría hecho el modo bloqueo, así ves cuántas solicitudes de tu checkout son scripts antes de activarlo. La configuración completa, ruta por ruta y lenguaje por lenguaje, está en proteger un checkout.
Después del pago
Reembolsa los pagos pequeños que pasaron antes de que sus titulares los disputen, como aconseja Stripe. Después envía el resultado del pago como feedback: un contracargo o un fraude confirmado pesa en las siguientes decisiones sobre el mismo navegador, y un buen cliente las mejora.
Que falle en abierto
La comprobación está en tu checkout, así que nunca puede detenerlo. Usa un timeout corto y deja pasar al comprador ante cualquier error: unos pagos de prueba durante una caída cuestan menos que un checkout que no responde. Más en por qué una comprobación de bots debe hacer fail-open.
Fuentes
Comprobadas el 28 de octubre de 2026.