Il card testing (test delle carte) è l'uso del tuo checkout per scoprire quali carte rubate funzionano ancora. Qualcuno compra un elenco di numeri di carta, poi li prova in blocco, con piccoli pagamenti o salvando una carta, e tiene quelle che il tuo fornitore di pagamenti accetta. Stripe elenca gli altri nomi: carding, account testing, enumeration e card checking; OWASP lo chiama carding, "più tentativi di autorizzazione di pagamento per verificare la validità di dati di carte di pagamento rubati in blocco". Si fa con uno script, perché un elenco vale la pena di provarlo solo a grandi volumi.
Quanto ti costa il card testing
- Contestazioni. Alcuni pagamenti di prova vanno a buon fine, i titolari li vedono e segnalano una frode, e ognuno può diventare una contestazione con la sua commissione.
- I pagamenti dei tuoi clienti veri. Migliaia di rifiuti legati alla tua attività fanno vedere agli emittenti ogni tuo pagamento come più rischioso, e Stripe avverte che i pagamenti legittimi possono essere rifiutati più spesso, anche dopo che i test sono finiti.
- Commissioni e carico. Commissioni di autorizzazione su alcuni piani tariffari, e un'ondata di richieste a cui i tuoi server e il tuo fornitore devono rispondere.
- L'attenzione dei circuiti. Visa lo conta: da giugno 2025 il suo programma di monitoraggio degli acquirer segnala un esercente le cui autorizzazioni di enumeration raggiungono il 20% di tutte le sue autorizzazioni, con almeno 300.000 in un mese.
- I tuoi numeri. I piccoli pagamenti del tester sembrano nuovi clienti nei tuoi dati.
Come si vede nei pagamenti
Stripe indica i sintomi più comuni:
- un picco di pagamenti non riusciti o bloccati;
- un picco di richieste rifiutate, molte con un rifiuto generico;
- più pagamenti piccoli, spesso con nomi e indirizzi email senza senso.
Tieni d'occhio anche il salvataggio della carta, non solo il pagamento. Stripe nota che i tester lo preferiscono, perché una carta salvata in un account di solito non compare nell'estratto conto del titolare, e nessuno la segnala.
Perché un solo controllo non basta
I tester cambiano carte, indirizzi e sessioni, quindi un filtro su un solo segnale, come l'indirizzo IP, di solito da solo non basta, nelle parole di Stripe. Il suo consiglio è un insieme di controlli sulle rotte che salvano una carta o accettano un pagamento: un CAPTCHA verificato sul server, un accesso prima del pagamento, limiti di frequenza, e una combinazione di questi. Ognuno aggiunge un passaggio, e il passaggio ricade sui tuoi acquirenti come sullo script.
Chiedi prima di addebitare
Uno script di card testing di solito invia direttamente alla tua rotta di pagamento e non carica mai la pagina di checkout. Bot Protection giudica la richiesta prima che il tuo server chiami il fornitore di pagamenti, e su quella rotta puoi chiedere la prova che la pagina sia stata davvero visitata: un'azione che richiede il tag. Mettila sulla richiesta che addebita la carta, su quella che salva una carta e su quella che riscatta una carta regalo. Poi agisci in base alla classe:
bot_high: rifiuta con lo stesso messaggio di una carta rifiutata, o con una risposta esca, così lo script non scopre nulla sulle sue carte.bot: chiedi prima un tuo controllo, come 3-D Secure, o fai passare l'acquirente dalla pagina di sfida.unknown,human,human_high: il pagamento normale.
Inizia in modalità monitor: nessuno viene fermato, e ogni risposta dice cosa avrebbe fatto la modalità blocco, così vedi quante richieste del tuo checkout sono script prima di attivarla. La configurazione completa, rotta per rotta e linguaggio per linguaggio, è in proteggere un checkout.
Dopo il pagamento
Rimborsa i piccoli pagamenti passati prima che i titolari li contestino, come consiglia Stripe. Poi rimanda l'esito del pagamento come feedback: un chargeback o una frode confermata pesano sulle decisioni successive per lo stesso browser, e un buon cliente le alza.
Resta fail-open
Il controllo sta nel tuo checkout, quindi non deve mai fermarlo. Usa un timeout breve e lascia passare l'acquirente a qualunque errore: qualche pagamento di prova durante un guasto costa meno di un checkout che non risponde. Di più in perché un controllo anti-bot deve essere fail-open.
Fonti
Verificate il 28 ottobre 2026.