Protección contra bots para e-commerce: revendedores, scrapers y probadores de tarjetas

Una tienda online es un conjunto de puertas por donde entran los bots: la página del producto, el carrito, el login, el checkout, el saldo de la tarjeta de regalo. Cada una atrae un tipo distinto de bot, y cada una le cuesta a la tienda de una forma distinta.

Qué hacen los bots con una tienda

Extraen precios y stock. Competidores y revendedores leen tu catálogo todo el día, para venderte más barato o saber cuándo llega el stock.
Acaparan productos limitados. Los lanzamientos de zapatillas, consolas y coleccionables se agotan en segundos para los bots y reaparecen en sitios de reventa.
Retienen inventario. Carritos llenos de productos que nunca se compran, y los clientes reales ven "sin stock".
Atacan los logins. Contraseñas filtradas se prueban en tus cuentas para robar tarjetas guardadas, puntos de fidelidad y direcciones.
Prueban tarjetas. Números de tarjetas robadas se verifican con pedidos pequeños, y te quedan comisiones, contracargos y un procesador haciendo preguntas.
Vacían tarjetas de regalo. Los endpoints de consulta de saldo se bombardean hasta dar con tarjetas con dinero.

Las señales

Tráfico en páginas de producto con una tasa de agregado al carrito casi nula, desde datacenters.
Pagos rechazados en ráfagas, muchas tarjetas por dispositivo, montos pequeños.
Tasas de fallo en el login muy por encima de lo normal.
Solicitudes a la API del carrito o del checkout desde clientes que nunca cargaron la página del producto.

Dónde consultar

Agregar al carrito en productos limitados: rechaza bot_high; un límite por cliente menor para bot.
Login: responde a bot_high con un "contraseña incorrecta" normal; pídele a bot un segundo factor. Más en credential stuffing en el login.
Checkout y saldo de tarjetas de regalo: rechaza bot_high; pídele a bot 3-D Secure.
APIs de búsqueda y de producto: sirve a bot_high más lento, o desde caché, para que extraer cueste más de lo que rinde.

Envía como feedback los pedidos completados y los contracargos: un cliente con un pedido entregado es una persona, y un contracargo es la prueba de lo contrario.