Protection anti-bots pour l'e-commerce : scalpers, scrapers et testeurs de cartes

Une boutique en ligne est un ensemble de portes que les bots peuvent franchir : la page produit, le panier, la connexion, le checkout, le solde de carte cadeau. Chacune attire un type de bot différent, et chacune coûte à la boutique d'une manière différente.

Ce que les bots font à une boutique

Scraper les prix et les stocks. Concurrents et revendeurs lisent votre catalogue toute la journée, pour casser vos prix ou savoir quand le stock arrive.
Accaparer les produits limités. Les sorties de sneakers, consoles et objets de collection partent en quelques secondes chez les bots et réapparaissent sur des sites de revente.
Bloquer l'inventaire. Des paniers remplis d'articles jamais achetés, si bien que les vrais clients voient « rupture de stock ».
Credential stuffing. Des mots de passe fuités sont essayés sur vos comptes pour voler cartes enregistrées, points de fidélité et adresses.
Tester des cartes. Des numéros de cartes volées sont vérifiés par de petites commandes, et il vous reste les frais, les chargebacks et un prestataire de paiement qui pose des questions.
Vider les cartes cadeaux. Les endpoints de consultation de solde sont martelés pour trouver les cartes approvisionnées.

Les signes

Du trafic sur les pages produit avec un taux d'ajout au panier proche de zéro, depuis des datacenters.
Des paiements échoués en rafales, beaucoup de cartes par appareil, de petits montants.
Des taux d'échec de connexion bien au-dessus de la normale.
Des requêtes à l'API du panier ou du checkout par des clients qui n'ont jamais chargé la page produit.

Où interroger

Ajout au panier de produits limités : refusez bot_high ; une limite par client plus basse pour bot.
Connexion : répondez à bot_high par un « mot de passe incorrect » normal ; demandez un second facteur à bot. Plus dans le credential stuffing à la connexion.
Checkout et solde de carte cadeau : refusez bot_high ; demandez 3-D Secure à bot.
API de recherche et de produits : servez bot_high plus lentement, ou depuis le cache, pour que le scraping coûte plus qu'il ne rapporte.

Renvoyez les commandes abouties et les chargebacks : un client dont la commande a été livrée est une personne, et un chargeback est la preuve du contraire.