Shield ist eine Sicherheits-App, die deinen Shop und deinen Checkout vor Bots, gefälschten Bestellungen und falschen Telefonnummern schützt. Gehe zu Apps, öffne den Tab Sicherheit und Datenschutz, klicke auf der Shield-Karte auf Installieren und klicke dann auf ihrer Karte auf Einstellungen. Shield ist eine kostenpflichtige App, die monatlich über dein Wallet abgerechnet wird (im Business-Tarif enthalten). Der Preis steht auf seiner Karte, und Apps installieren und verwalten erklärt die Abrechnung.
Statistiken
Shield öffnet sich auf dem Tab Statistiken, der zeigt, was es in den letzten 30 vollen Tagen für dich gestoppt hat, im Vergleich zu den 30 Tagen davor. Deine Regeln findest du im Tab Einstellungen, der unten erklärt wird.
- Gestoppte Besucher: Besucher, die blockiert wurden, bevor sie einkaufen konnten, einschließlich falscher Antworten auf das Captcha beim Betreten des Shops. Ein Besucher, der an mehreren Tagen gestoppt wurde, zählt einmal pro Tag.
- Gestoppte Bestellungen: Bestellungen, die Shield abgelehnt hat, einschließlich derer, auf die der Köder-Modus mit einer falschen Bestätigung geantwortet hat.
- Geprüfte Bestellungen: Bestellungen, bei denen das gezielte Captcha oder der Angriffsmodus nach dem Captcha gefragt hat. Einige davon waren echte Kunden, die danach bestellt haben, deshalb zählen sie nicht als gestoppt.
- Erkannte Angriffe: wie oft sich der Angriffsmodus eingeschaltet hat.
- Derzeit gesperrt: die heute geltenden Sperren, aufgeteilt in Geräte, IP-Adressen und Telefonnummern.
Die Zahlen werden einmal am Tag aktualisiert und enthalten den heutigen Tag nicht. Sie sind gerundet: Kleine Zahlen erscheinen als „Weniger als 10“, größere werden auf die nächste 10 oder 100 gerundet. So kann jemand, der einen Bot an einem Shop testet, aus den Zahlen nichts ableiten. Die Tage richten sich nach UTC-Zeit. Hat Shield noch nichts gestoppt, sagt der Tab das, und wenn die Zählung vor weniger als 30 Tagen begonnen hat, zeigt ein Hinweis das Startdatum. Während ein Angriff läuft, zeigt ein Hinweis oben im Tab, wann er begonnen hat und bis wann der Angriffsmodus aktiv bleibt.
Captcha im Bestellformular
Wenn Captcha im Bestellformular aktiviert ist, erscheint im Checkout-Formular ein Captcha-Feld mit einem Bildcode. Kunden müssen die angezeigten Zahlen eingeben, um eine Bestellung aufzugeben. Das blockiert Bots, Skripte und Makro-Missbrauch.
Gezieltes Captcha
Wenn Gezieltes Captcha aktiviert ist, wird nur bei Bestellungen nach dem Captcha gefragt, bei denen sich Shield unsicher ist, und alle anderen Kunden bestellen wie gewohnt. Shield fragt, wenn die Bestellung über ein VPN oder einen Proxy gesendet wird, wenn gerade ein anderer neuer Besucher über dieselbe Internetverbindung bestellt hat oder wenn ein Computer den Bestellbutton erreicht, ohne die Maus zu bewegen. Wenn der Kunde auf Bestellen klickt, erscheint das Captcha-Feld an derselben Stelle wie das Captcha im Bestellformular, mit der Meldung „Geben Sie die angezeigten Zahlen ein, um Ihre Bestellung zu bestätigen“. Sobald er den richtigen Code eingibt, geht die Bestellung durch, und er wird nicht erneut gefragt, wenn er danach ein anderes Feld korrigiert. Das gezielte Captcha hat keine Wirkung, solange Captcha im Bestellformular an ist, da dann bereits jeder Kunde gefragt wird.
Captcha beim Betreten des Shops
Wenn Captcha beim Betreten des Shops aktiviert ist, muss jeder Besucher einen kurzen Code lesen und eingeben, bevor dein Shop lädt. Bis dahin sieht er nur die Code-Abfrage: keine Produkte, keine Preise, kein Design. Jeder Besucher löst sie einmal pro Besuch, und verifizierte Suchmaschinen-Crawler kommen direkt durch, sodass deine Google-Indexierung und Linkvorschauen weiter funktionieren. Nutze es, wenn Scraper oder Bot-Traffic deinen Shop treffen, und denk daran, dass es jedem echten Kunden einen zusätzlichen Schritt vorschaltet. Manche Tools zur Anzeigenprüfung oder Domain-Verifizierung kommen eventuell nicht daran vorbei, schalte es also kurz aus, wenn eine Plattform deine Website nicht prüfen kann.
Blockierung doppelter Bestellungen
Wenn Blockierung doppelter Bestellungen aktiviert ist, wird eine neue Bestellung blockiert, wenn dieselbe E-Mail-Adresse oder Telefonnummer dasselbe Produkt mit derselben Variante vor Kurzem schon bestellt hat. Der Käufer sieht "Diese Bestellung wurde bereits aufgegeben". Ist der Köder-Modus an, bekommt er stattdessen eine falsche Bestätigung und es wird keine Bestellung gespeichert.
Köder-Modus
Wenn der Köder-Modus aktiviert ist, sehen von Shield gestoppte Besucher weiterhin einen normalen Shop und eine normale Bestellbestätigung, aber es wird keine echte Bestellung angelegt und du wirst nicht benachrichtigt. Angreifer glauben, ihre Bestellungen seien durchgegangen, und verschwenden Zeit mit neuen Versuchen, während deine echten Bestelldaten sauber bleiben.
Das Umschalten des Köder-Modus ändert sofort, wie gesperrte Geräte und gesperrte IP-Adressen deinen Shop erleben. Ist er an, sehen diese Besucher den Shop ganz normal und bekommen eine falsche Bestätigung. Ist er aus, erhalten sie die übliche Sperrantwort. Er bestimmt auch, wie sich die unten beschriebenen Sperrlisten für User-Agents und URL-Parameter bei einem Treffer verhalten.
Angriffsmodus
Angriffsmodus ist standardmäßig aktiviert. Shield vergleicht die Bestellungen, die es stoppt, mit dem, was Ihr Shop sonst sieht, und wenn sie plötzlich weit über das Normale steigen, gilt Ihr Shop als angegriffen. In den nächsten 3 Stunden wird jeder Kunde vor der Bestellung nach dem Captcha gefragt, jede von Shield gestoppte Bestellung erhält wie beim Köder-Modus eine falsche Bestätigung, und Sie erhalten eine E-Mail und eine App-Benachrichtigung. Jeder neue Anstieg hält den Angriffsmodus aktiv, und er schaltet sich 3 Stunden nach dem letzten von selbst ab, Sie müssen also nichts rückgängig machen. Der Angriffsmodus greift nur, solange der Köder-Modus aus ist, denn der Köder-Modus täuscht bereits jede gestoppte Bestellung vor. Sie können die Warnungen unter Angriffswarnungen des Schilds in Ihren Benachrichtigungseinstellungen stummschalten, und wenn Sie den Angriffsmodus ausschalten, endet ein laufender Angriff sofort.
Schutz vor Einfügen
Wenn Schutz vor Einfügen aktiviert ist, wird das Einfügen in die Checkout-Felder als Zeichen für automatisierte Bestellungen gewertet. Das hilft, Skripte und Bots per Kopieren und Einfügen zu stoppen, die Formulare selbstständig ausfüllen. Deine Kunden sollten ihre Daten daher eintippen, statt sie einzufügen. Das Gutscheinfeld ist davon nie betroffen.
WhatsApp-Validierer
Wenn der WhatsApp-Validierer aktiviert ist, wird die vom Kunden eingegebene Telefonnummer über die WhatsApp-API geprüft. Gehört die Nummer zu keinem echten WhatsApp-Konto, kann die Bestellung nicht aufgegeben werden. Das ist besonders nützlich für Shops, die Bestellungen über WhatsApp bestätigen, denn betrügerische Bestellungen nutzen oft erfundene oder nicht existierende Nummern.
Maximale Bestellungen pro Kunde
Aktiviere Maximale Bestellungen pro Kunde und setze dann Maximale Bestellungen pro Kunde auf 1, 2 oder 3. Derselbe Kunde kann innerhalb von etwa einem Tag nicht mehr Bestellungen aufgeben. Andere Werte zeigen „Die maximale Anzahl der Bestellungen pro Kunde muss zwischen 1 und 3 liegen“.
Auch ohne Shield wendet Storeep ein Limit von 3 Bestellungen pro Kunde in etwa einem Tag an. Wenn du Shield installierst und diese Einstellung auf Aus stellst, gilt dasselbe Standardlimit von 3 Bestellungen. Das Limit fällt also nie weg.
Storeep erkennt denselben Kunden auch dann, wenn er einige seiner Angaben ändert. Mobilfunknetze bündeln oft viele fremde Personen hinter einer Verbindung, daher bekommt eine geteilte Verbindung mehr Spielraum, bevor sie blockiert wird. Ein Limit von 1 bedeutet nie eine Bestellung pro Haushalt oder Netzwerk.
Abgebrochene und gelöschte Bestellungen zählen nicht. Testbestellungen zählen wie jede andere Bestellung. Der blockierte Kunde sieht „Sie haben in letzter Zeit mehrere Bestellungen aufgegeben. Bitte warten Sie ein paar Stunden, bevor Sie es erneut versuchen“, außer der Köder-Modus ist an: Dann bekommt er eine falsche Bestätigung und es wird keine Bestellung gespeichert.
An diese Regel stoßen Händler, wenn sie ihren eigenen Shop testen. Bestellungen, die du aufgibst, nachdem du deinen Shop über einen Vorschaulink geöffnet hast, überspringen sie, siehe Wie gebe ich eine Testbestellung auf und warum kann ich keine weiteren Bestellungen aufgeben?.
Strengere Kundenerkennung
Manche Bots ändern bei jeder Bestellung ihre IP-Adresse und ihr Gerät, sodass sie das Limit oben nie erreichen. Wenn Strengere Kundenerkennung aktiviert ist, erkennt Shield sie trotzdem und stoppt sie. Ist diese Option aus, bleibt dein Shop so schnell wie vorher.
Mindestverzögerung bei der Bestellaufgabe
Aktiviere Mindestverzögerung bei der Bestellaufgabe, dann werden Bestellungen gestoppt, die früher als eine bestimmte Anzahl Sekunden nach dem Öffnen des Checkouts gesendet werden. Stelle die Wartezeit mit dem Schieberegler Erforderliche Verzögerungszeit ein, von 2 bis 15 Sekunden. Shield wartet unter Umständen etwas länger als die von dir eingestellte Zeit, nie kürzer. Kunden sehen keinen Countdown und keinen Timer, daher können Bots nicht erkennen, wie lange die Wartezeit ist.
Der Bereich gibt den Hinweis: „Tipp: Verwenden Sie diese Funktion, um Bots und Skripte zu blockieren, die sofort Daten übermitteln. Eine zu lange Zeiteinstellung kann echte Kunden frustrieren.“
Mindestzeit zwischen Bestellungen
Aktiviere Mindestzeit zwischen Bestellungen, dann muss ein Kunde, der gerade bestellt hat, warten, bevor er eine weitere Bestellung aufgeben kann. Stelle die Wartezeit mit dem Schieberegler Zeit zwischen Bestellungen ein, von 5 bis 60 Minuten. Shield erkennt denselben Kunden an seinem Besuch, seinem Gerät, seiner Telefonnummer und seiner E-Mail-Adresse sowie an seiner Verbindung, wenn es ein VPN oder Proxy ist. Shield wartet unter Umständen etwas länger als die von dir eingestellte Zeit, nie kürzer. Der Kunde sieht „Sie haben gerade eine Bestellung aufgegeben. Bitte warten Sie ein paar Minuten, bevor Sie eine weitere aufgeben“, außer der Köder-Modus ist an: Dann bekommt er eine falsche Bestätigung und es wird keine Bestellung gespeichert.
Der Bereich gibt den Hinweis: „Tipp: Nutzen Sie diese Funktion, um Bots auszubremsen, die mehrere Bestellungen hintereinander aufgeben. Manche echten Kunden bestellen ein paar Minuten nach der ersten Bestellung ein zweites Mal, halten Sie die Zeit also kurz.“
Blockierung von Bestellwellen
Manche Bots löschen vor jeder Bestellung ihre Cookies und Daten, sodass jede Bestellung von einem neuen Besucher zu kommen scheint. Wenn Blockierung von Bestellwellen aktiviert ist, stoppt Shield die Bestellungen, sobald mehrere neue Besucher innerhalb weniger Minuten über dieselbe Internetverbindung bestellen. Ein Besucher, der sich vor der Bestellung eine Weile in deinem Shop umgesehen hat, wird nie mitgezählt, und echte Kunden, die sich eine Verbindung teilen, bestellen fast nie auf diese Weise. Der blockierte Besucher sieht „Sie haben in letzter Zeit mehrere Bestellungen aufgegeben. Bitte warten Sie ein paar Stunden, bevor Sie es erneut versuchen“, außer der Köder-Modus ist an: Dann bekommt er eine falsche Bestätigung und es wird keine Bestellung gespeichert.
Blockierte User-Agent-Schlüsselwörter
Gib unter Blockierte User-Agent-Schlüsselwörter ein Schlüsselwort pro Zeile ein, bis zu 50. Jeder Besuch wird geprüft: Kommt ein Schlüsselwort irgendwo im User-Agent des Besuchers vor (dem Namen, den sein Browser oder Tool sendet), wird der Besuch blockiert. Typische Einträge sind Tool-Namen wie scrapy, selenium, headless oder apifybot. Doppelte und leere Zeilen werden ignoriert. Lass das Feld leer, um diese Prüfung auszuschalten. Bei eingeschaltetem Köder-Modus sieht ein passender Besucher stattdessen einen normalen Shop, und jede Bestellung, die er abschickt, wird unbemerkt nur vorgetäuscht.
URL-Parameter
URL-Parameter prüft die Parameter im Link, über den ein Besucher kam. Gib eine Regel pro Zeile ein, bis zu 50. Es gibt zwei Regelformen:
- Name mit Wert, geschrieben als
name=value(zum Beispielutm_source=an): trifft nur zu, wenn dieser Parameter genau mit diesem Wert vorkommt. - Nur Name, geschrieben nur als Parametername (zum Beispiel
gclid): trifft immer zu, wenn dieser Parameter vorkommt, egal mit welchem Wert.
Wähle unter Methode für URL-Parameter, wie die Liste verwendet wird:
- Blacklist: Ein Besucher, dessen Einstiegslink einen passenden Parameter enthält, wird blockiert. Das ist nützlich, um eine Anzeigenquelle, eine Kampagne oder eine Klick-ID abzuschneiden, die immer wieder gefälschte Nachnahme-Bestellungen erzeugt. Wie bei der User-Agent-Sperre gilt: Ist der Köder-Modus an, sieht dieser Besucher stattdessen einen normalen Shop, und jede Bestellung, die er abschickt, wird unbemerkt nur vorgetäuscht.
- Whitelist: Nur Besucher, deren Einstiegslink einen passenden Parameter enthält, können echte Bestellungen aufgeben, zum Beispiel
utm_source=facebook, um nur Bestellungen aus deinen eigenen Facebook-Anzeigen anzunehmen. Alle anderen, auch Leute, die deine Adresse eintippen oder dich über die Suche finden, können deinen Shop öffnen, aber ihre Bestellungen werden bei aktivem Köder-Modus unbemerkt vorgetäuscht und gehen bei ausgeschaltetem Köder-Modus nicht durch. Ein Treffer gilt für den Rest dieses Besuchs. Zum Speichern einer Whitelist brauchst du mindestens eine Regel.
Wer einen Parameter aus der Liste kennt, kann ihn selbst an deinen Link anhängen. Eine Whitelist ersetzt deshalb nicht die anderen Shield-Prüfungen, die für jeden Besucher weiterlaufen. Lass das Feld leer, um diese Prüfung auszuschalten.
Zusätzlicher Schutz und Sperren
Ein Hinweis im Bereich erklärt, dass Storeep über diese Einstellungen hinaus deinen Shop und deine Bestellungen auch im Hintergrund schützt, ohne dass du etwas einstellen musst.
In den Details einer Bestellung kannst du die IP des Kunden sperren (keine App nötig) oder sein Gerät (braucht Shield). Siehe Anmeldungen und gesperrte Sitzungen, um Sperren zu prüfen und aufzuheben. Um ganze Länder, Geräte oder VPNs zu blockieren, nutze die Zugriffskontrolle.
Speichern
Klicke auf Speichern. Die Meldung „Der Schutzschild wurde erfolgreich aktualisiert.“ bestätigt es. Ein Wert außerhalb des erlaubten Bereichs zeigt einen Fehler neben seinem Feld.