Shield est une application de sécurité que vous devez installer depuis la marketplace d'applications avant que ses paramètres soient disponibles. Une fois installée, elle ajoute plusieurs couches de protection à la caisse de votre boutique pour bloquer les bots, les schémas de commandes frauduleuses et les numéros de téléphone fictifs. Rendez-vous dans Applications, trouvez Shield dans la collection Sécurité et confidentialité, installez-le, puis cliquez sur l'icône des paramètres pour le configurer.
Ouvrir les paramètres de Shield
Après l'installation, rendez-vous dans Applications et cliquez sur l'icône d'engrenage à côté de Shield, ou naviguez directement vers /apps/shield. Un panneau de paramètres s'ouvre avec tous les contrôles disponibles.
Captcha
Lorsque le Captcha est activé, un champ de saisie CAPTCHA avec un code image apparaît sur le formulaire de caisse. Les clients doivent taper les chiffres affichés pour passer une commande. Cela bloque les bots, les scripts et les abus basés sur des macros. Seuls les vrais utilisateurs capables de lire l'image peuvent finaliser la caisse.
Bloqueur de commandes en double
Lorsque le Bloqueur de commandes en double est activé, les nouvelles commandes sont vérifiées par rapport aux commandes précédentes passées par le même client, en utilisant l'adresse e-mail et le numéro de téléphone. Si un doublon est détecté, la commande est automatiquement bloquée. Cela empêche les achats répétés ou frauduleux de la même identité.
Mode leurre
Lorsque le Mode leurre est activé, les visiteurs dont l'appareil a été banni ou dont la commande est rejetée par une autre règle Shield voient une boutique entièrement normale : vrai panier, vraie validation, vrais totaux. Ils reçoivent ensuite une fausse confirmation de commande construite à partir des données qu'ils ont saisies. Aucune vraie commande n'est créée, aucune notification n'est envoyée et aucun pixel publicitaire ne se déclenche. Les attaquants croient que leurs commandes ont abouti et perdent du temps à réessayer, tandis que vos vraies données de commandes restent propres.
Activer ou désactiver le mode leurre met immédiatement à jour la façon dont les appareils bannis vivent votre boutique. Avec le mode leurre activé, ces visiteurs voient la boutique normalement et reçoivent une fausse confirmation ; avec le mode leurre désactivé, ils reçoivent la réponse de blocage standard.
Protection contre le collage
Lorsque la Protection contre le collage est activée, les clients ne peuvent pas coller du texte dans les champs de la caisse. Cela oblige la saisie manuelle et bloque les scripts automatisés et les attaques de bots basées sur le presse-papiers qui remplissent les formulaires par programmation.
Validateur WhatsApp
Lorsque le Validateur WhatsApp est activé, le numéro de téléphone fourni par le client est validé contre l'API WhatsApp. Si le numéro de téléphone n'est pas associé à un vrai compte WhatsApp, la commande ne peut pas être passée. C'est particulièrement efficace pour les boutiques utilisant des flux de confirmation de commande basés sur WhatsApp, car les commandes frauduleuses utilisent souvent des numéros de téléphone inventés ou inexistants.
Nombre maximum de commandes par client
Lorsque le Nombre maximum de commandes par client est activé, les clients sont limités à ne pas passer plus que le nombre de commandes spécifié. Le champ Nombre maximum de commandes par client accepte un nombre entre 1 et 3. Définir cela à 1 signifie que chaque client (identifié par e-mail et téléphone) ne peut jamais passer qu'une seule commande. Cela empêche les abus et limite les achats frauduleux en masse d'une seule identité.
Délai minimum de passation de commande
Lorsque le Délai minimum de passation de commande est activé, le bouton de commande en caisse reste inactif pendant un nombre de secondes requis après le chargement de la page. Le délai est défini avec un curseur labellisé Délai requis, allant de 2 à 20 secondes. Le client ne voit pas de compte à rebours ni de minuterie. Le bouton ne fait simplement rien lorsqu'on clique dessus jusqu'à ce que le temps soit écoulé. Cela garantit que les bots et scripts qui soumettent instantanément ne peuvent pas passer de commandes, sans révéler le seuil de sécurité aux attaquants potentiels.
Un conseil à l'écran indique : "Conseil : utilisez cette fonctionnalité pour bloquer les bots et scripts qui soumettent instantanément. Définir le délai trop long peut frustrer les vrais clients."
Mots-clés d'agent utilisateur bloqués
La zone de texte Mots-clés d'agent utilisateur bloqués accepte un mot-clé par ligne, jusqu'à 50 mots-clés. Chaque mot-clé doit être entre 2 et 100 caractères. Chaque visite entrante est vérifiée : si un mot-clé apparaît dans l'identifiant de navigateur du visiteur, la requête est bloquée. Les entrées typiques peuvent inclure des noms d'outils tels que scrapy, selenium, headless ou apifybot. Laissez le champ vide pour désactiver entièrement cette vérification. Lorsque le mode leurre est également activé, les visiteurs correspondants voient une fausse boutique au lieu d'être complètement bloqués.
Paramètres d'URL bloqués
La zone de texte Paramètres d'URL bloqués vous permet de signaler les visiteurs selon les paramètres de suivi présents dans le lien par lequel ils sont arrivés. Chaque visite est vérifiée par rapport à cette liste : si l'URL d'arrivée du visiteur contient un paramètre correspondant, la requête est bloquée. Saisissez une règle par ligne, jusqu'à 50 règles. Chaque règle peut comporter jusqu'à 100 caractères, et son nom de paramètre peut contenir des lettres, des chiffres, des traits de soulignement et des tirets.
Il existe deux types de règle :
- Nom avec une valeur : écrit sous la forme
name=value, par exempleutm_source=an. Cela correspond uniquement lorsque ce paramètre apparaît avec exactement cette valeur. - Nom seul : écrit simplement comme le nom du paramètre, par exemple
gclid. Cela correspond chaque fois que ce paramètre apparaît dans l'URL d'arrivée, quelle que soit sa valeur.
C'est utile pour couper le trafic que vous savez frauduleux ou automatisé, comme une source publicitaire, une campagne ou un identifiant de clic spécifique qui continue à produire de fausses commandes en paiement à la livraison. Laissez le champ vide pour désactiver entièrement cette vérification. Lorsque le mode leurre est également activé, les visiteurs correspondants voient une boutique entièrement normale et chaque commande qu'ils soumettent est silencieusement falsifiée au lieu d'être bloquée d'emblée.
Protection supplémentaire
Une note dans le panneau explique qu'au-delà des règles configurables de Shield, Storeep exécute silencieusement plusieurs mesures de sécurité en couches en arrière-plan, y compris la détection comportementale avancée et la détection d'automatiseurs, pour garder votre boutique et vos commandes sécurisées en tout temps.
Chaque commande enregistre l'appareil et l'adresse IP du client. Vous pouvez bannir un appareil ou une IP spécifique directement depuis la page de détails de la commande ; ces bannissements apparaissent dans Paramètres > Sessions bannies. Voir Sessions et sessions bannies pour savoir comment consulter et lever les bannissements.
Enregistrement
Cliquez sur Enregistrer. Un message de succès confirme la mise à jour. Des erreurs de validation apparaissent en ligne à côté du champ concerné si une valeur est en dehors de la plage autorisée.