Shield ist eine Sicherheits-App, die du aus dem App-Markt installierst, bevor ihre Einstellungen verfügbar werden. Nach der Installation fügt sie deinem Checkout mehrere Schutzebenen hinzu, um Bots, betrügerische Bestellmuster und gefälschte Telefonnummern zu blockieren. Gehe zu Apps, suche Shield in der Sammlung Sicherheit & Datenschutz, installiere es und klicke dann auf das Einstellungssymbol (Zahnrad) daneben, um das Konfigurationsfeld zu öffnen.
Captcha
Wenn Captcha aktiviert ist, erscheint im Checkout-Formular ein CAPTCHA-Eingabefeld mit einem Bildcode. Kunden müssen die angezeigten Zahlen eingeben, um eine Bestellung aufzugeben. Das blockiert Bots, Skripte und makrobasierten Missbrauch, sodass nur echte Nutzer, die das Bild lesen können, den Checkout abschließen.
Blocker für doppelte Bestellungen
Wenn der Blocker für doppelte Bestellungen aktiviert ist, wird jede neue Bestellung anhand der E-Mail-Adresse und Telefonnummer mit früheren Bestellungen desselben Kunden abgeglichen. Wird ein Duplikat erkannt, wird die Bestellung automatisch blockiert. Das verhindert wiederholte oder betrügerische Käufe von derselben Identität.
Köder-Modus
Wenn der Köder-Modus aktiviert ist, sehen Besucher, deren Gerät gesperrt ist oder deren Bestellung durch eine andere Shield-Regel abgelehnt wird, einen völlig normalen Shop: echter Warenkorb, echte Prüfung, echte Summen. Sie erhalten dann eine gefälschte Bestellbestätigung, die aus den von ihnen eingegebenen Daten erstellt wird. Es wird keine echte Bestellung angelegt, keine Benachrichtigungen werden gesendet und keine Werbe-Pixel ausgelöst. Angreifer glauben, ihre Bestellungen seien durchgegangen, und verschwenden Zeit mit erneuten Versuchen, während deine echten Bestelldaten sauber bleiben.
Das Umschalten des Köder-Modus ändert sofort, wie gesperrte Geräte deinen Shop erleben. Ist er aktiv, sehen diese Besucher den Shop als normal und erhalten eine gefälschte Bestätigung. Ist er aus, erhalten sie die standardmäßige Blockierungsantwort. Das steuert auch, wie sich die unten stehenden User-Agent- und URL-Parameter-Sperrlisten bei einer Übereinstimmung verhalten.
Einfüge-Schutz
Wenn der Einfüge-Schutz aktiviert ist, können Kunden keinen Text in Checkout-Felder einfügen. Das erzwingt die manuelle Eingabe und blockiert automatisierte Skripte und Zwischenablage-Bots, die Formulare programmatisch befüllen.
WhatsApp-Prüfung
Wenn die WhatsApp-Prüfung aktiviert ist, wird die vom Kunden eingegebene Telefonnummer über die WhatsApp-API geprüft. Ist die Nummer keinem echten WhatsApp-Konto zugeordnet, kann die Bestellung nicht aufgegeben werden. Das ist besonders nützlich für Shops, die Bestellungen über WhatsApp bestätigen, da betrügerische Bestellungen oft erfundene oder nicht existierende Nummern verwenden.
Maximale Bestellungen pro Kunde
Aktiviere Maximale Bestellungen pro Kunde und setze dann das Feld Maximale Bestellungen pro Kunde auf eine ganze Zahl zwischen 1 und 3. Derselbe Kunde kann innerhalb von 24 Stunden nicht mehr als so viele Bestellungen aufgeben. Werte außerhalb von 1 bis 3 oder nicht-numerische Werte werden mit einer Inline-Fehlermeldung abgelehnt.
Wenn du Shield nie installierst, gilt der Plattform-Standard von 3 von allein. Installierst du Shield und schaltest diese Einstellung aus, entfällt die Obergrenze vollständig und keine der unten genannten Zählungen läuft. Lass sie also an, es sei denn, du verkaufst etwas, das deine Kunden wirklich mehrmals täglich nachbestellen.
Bei jeder Bestellung werden vier Zählungen durchgeführt, jede über die letzten 24 Stunden, und schon eine davon blockiert sie: derselbe Browser, dieselbe Kundensitzung, dasselbe Gerät (das zählt auch noch, nachdem der Käufer seine Cookies gelöscht hat) und getrennte Käufer über dieselbe Internetverbindung.
Die ersten drei verwenden deine Zahl. Die Verbindungszählung nicht, und zwar absichtlich: sie zählt, wie viele verschiedene Personen sich eine Adresse geteilt haben, denn Mobilfunknetze in vielen Ländern setzen Hunderte nicht miteinander verbundener Kunden hinter eine einzige Adresse. Sie erlaubt 5 Käufer in einem erkannten lokalen Netz oder 3, sobald du dein eigenes Limit setzt oder wenn die Verbindung ein VPN oder ein Rechenzentrum ist. Dein Limit auf 1 zu setzen bedeutet daher nie einen Haushalt pro Netz.
Abgebrochene, gelöschte und Testbestellungen bleiben bei allen vier außen vor. Der blockierte Kunde sieht "Sie haben in letzter Zeit mehrere Bestellungen aufgegeben. Bitte warten Sie ein paar Stunden, bevor Sie es erneut versuchen", außer der Köder-Modus ist aktiv, dann bekommt er stattdessen die gefälschte Bestätigung und es wird keine Bestellung angelegt.
Das ist die Regel, auf die Händler beim Testen ihres eigenen Shops stoßen. Markiere solche Checkouts als Testbestellungen, damit sie nie mitgezählt werden, und lies Wie gebe ich eine Testbestellung auf, und warum werde ich blockiert, wenn ich weitere aufgeben will?, um zu erfahren, wie du die Sperre wieder aufhebst.
Mindestverzögerung bei der Bestellaufgabe
Aktiviere die Mindestverzögerung bei der Bestellaufgabe und die Checkout-Bestellschaltfläche bleibt nach dem Laden der Seite für eine erforderliche Anzahl von Sekunden inaktiv. Stelle die Wartezeit mit dem Schieberegler Erforderliche Verzögerungszeit ein, der von 2 bis 15 Sekunden reicht. Der Kunde sieht keinen Countdown und keinen Timer: Die Schaltfläche tut beim Klicken einfach nichts, bis die Zeit abgelaufen ist, sodass Bots, die sofort absenden, keine Bestellungen aufgeben können und Angreifer deinen Schwellenwert nicht auslesen können.
Das Panel gibt einen Hinweis: "Tipp: Nutze diese Funktion, um Bots und Skripte zu blockieren, die sofort absenden. Eine zu lange Zeit kann echte Kunden verärgern."
Gesperrte User-Agent-Schlüsselwörter
Das Textfeld Gesperrte User-Agent-Schlüsselwörter nimmt ein Schlüsselwort pro Zeile auf, bis zu 50 Schlüsselwörter, jedes zwischen 2 und 100 Zeichen. Jeder Besuch wird geprüft: Erscheint ein Schlüsselwort irgendwo im User-Agent-Header des Besuchers, wird die Anfrage blockiert. Typische Einträge sind Tool-Namen wie scrapy, selenium, headless oder apifybot. Doppelte und leere Zeilen werden ignoriert. Lasse das Feld leer, um diese Prüfung zu deaktivieren. Mit aktivem Köder-Modus sieht ein passender Besucher einen normalen Shop und jede von ihm abgesendete Bestellung wird stillschweigend gefälscht, statt blockiert zu werden.
Gesperrte URL-Parameter
Das Textfeld Gesperrte URL-Parameter markiert Besucher anhand der Parameter im Link, über den sie gekommen sind. Gib eine Regel pro Zeile ein, bis zu 50 Regeln, jede bis zu 100 Zeichen. Ein Parametername darf Buchstaben, Ziffern, Unterstriche und Bindestriche enthalten. Es gibt zwei Regelformen:
- Name mit einem Wert, geschrieben als
name=value(zum Beispielutm_source=an): trifft nur zu, wenn dieser Parameter mit genau diesem Wert erscheint. - Nur Name, geschrieben als reiner Parametername (zum Beispiel
gclid): trifft zu, sobald dieser Parameter erscheint, egal mit welchem Wert.
Trägt die Landing-URL eines Besuchers einen passenden Parameter, wird die Anfrage blockiert. Das ist nützlich, um eine Werbequelle, Kampagne oder Klick-Kennung zu unterbinden, die immer wieder gefälschte Nachnahmebestellungen erzeugt. Lasse das Feld leer, um diese Prüfung zu deaktivieren. Wie beim User-Agent-Blockieren sieht ein passender Besucher bei aktivem Köder-Modus einen normalen Shop und jede von ihm abgesendete Bestellung wird stillschweigend gefälscht.
Zusätzlicher Schutz und Sperren
Ein Hinweis im Panel erklärt, dass Storeep über die konfigurierbaren Regeln von Shield hinaus im Hintergrund mehrere gestaffelte Sicherheitsmaßnahmen still ausführt, darunter fortschrittliche Verhaltens- und Automatisierungserkennung, um deinen Shop und deine Bestellungen sicher zu halten.
Jede Bestellung erfasst den Geräte-Fingerabdruck und die IP-Adresse des Kunden, und du kannst ein bestimmtes Gerät oder eine IP direkt von der Bestelldetailseite aus sperren. Diese Sperren erscheinen in Einstellungen > Gesperrte Sitzungen, auch wenn Shield nicht installiert ist. Siehe Sitzungen und gesperrte Sitzungen dazu, wie du Sperren überprüfst und aufhebst.
Speichern
Klicke auf Speichern. Eine Erfolgsmeldung bestätigt die Aktualisierung, und jeder Wert außerhalb des zulässigen Bereichs zeigt einen Inline-Fehler neben seinem Feld, sodass du ihn vor dem Speichern korrigieren kannst.