Shield (Bouclier) est une application de sécurité qui protège votre boutique et votre page de paiement contre les robots, les fausses commandes et les faux numéros de téléphone. Allez dans Applications, ouvrez l'onglet Sécurité et vie privée, cliquez sur Installer sur la carte Shield, puis cliquez sur Réglages sur sa carte. Shield est une application payante facturée chaque mois depuis votre portefeuille (incluse avec le forfait Entreprise). Le prix s'affiche sur sa carte, et Installer et gérer les applications explique la facturation.
Statistiques
Shield s'ouvre sur son onglet Statistiques, qui montre ce qu'il a arrêté pour vous durant les 30 derniers jours complets, comparé aux 30 jours précédents. Vos règles se trouvent dans l'onglet Réglages, expliqué ci-dessous.
- Visiteurs arrêtés : les visiteurs bloqués avant de pouvoir acheter, y compris les mauvaises réponses au captcha d'entrée de la boutique. Un visiteur arrêté plusieurs jours est compté une fois par jour.
- Commandes arrêtées : les commandes que Shield a refusées, y compris celles auxquelles le Mode leurre a répondu par une fausse confirmation.
- Commandes vérifiées : les commandes à qui le captcha ciblé ou le mode attaque a demandé de taper le captcha. Certaines venaient de vrais clients qui ont ensuite commandé, elles ne sont donc pas comptées comme arrêtées.
- Attaques détectées : le nombre de fois où le mode attaque s'est activé.
- Bannis actuellement : les bannissements en vigueur aujourd'hui, répartis en Appareils, Adresses IP et Numéros de téléphone.
Les chiffres sont mis à jour une fois par jour et n'incluent pas la journée en cours. Ils sont arrondis : les petits nombres s'affichent comme « Moins de 10 », et les plus grands sont arrondis à la dizaine ou à la centaine la plus proche. Ainsi, quelqu'un qui teste un robot contre une boutique ne peut rien apprendre des chiffres. Les jours suivent l'heure UTC. Si Shield n'a encore rien arrêté, l'onglet l'indique, et si le comptage a commencé il y a moins de 30 jours, une note affiche la date de début. Pendant une attaque, une note en haut de l'onglet indique quand elle a commencé et jusqu'à quand le mode attaque reste activé.
Captcha du formulaire de commande
Quand Captcha du formulaire de commande est activé, un champ captcha avec un code en image apparaît sur le formulaire de paiement. Les clients doivent taper les chiffres affichés pour passer commande. Cela bloque les robots, les scripts et les abus par macro.
Captcha ciblé
Quand Captcha ciblé est activé, le captcha est demandé seulement aux commandes dont Shield n'est pas sûr, et tous les autres clients commandent normalement. Shield le demande quand la commande est envoyée via un VPN ou un proxy, quand un autre nouveau visiteur vient de commander depuis la même connexion internet, ou quand un ordinateur atteint le bouton de commande sans bouger sa souris. Quand le client clique pour commander, le champ captcha apparaît au même endroit que le captcha du formulaire de commande, avec le message « Saisissez les chiffres affichés pour confirmer votre commande ». Dès qu'il tape le bon code, la commande passe, et le code ne lui est plus demandé s'il corrige ensuite un autre champ. Le captcha ciblé n'a aucun effet tant que Captcha du formulaire de commande est activé, car le captcha est déjà demandé à chaque client.
Captcha d'entrée de la boutique
Quand Captcha d'entrée de la boutique est activé, chaque visiteur doit lire un code court et le taper avant que votre boutique se charge. Tant qu'il ne l'a pas fait, il ne voit que le défi du code : pas de produits, pas de prix, pas de design. Chaque visiteur le résout une fois par visite, et les robots d'exploration vérifiés des moteurs de recherche passent directement, donc votre indexation Google et vos aperçus de liens continuent de fonctionner. Utilisez-le quand des scrapers ou du trafic de robots visent votre boutique, en gardant en tête qu'il ajoute une étape devant chaque vrai client. Certains outils de vérification des publicités ou de vérification de domaine peuvent ne pas réussir à le passer, désactivez-le donc un moment si une plateforme n'arrive pas à vérifier votre site.
Bloqueur de commandes en double
Quand Bloqueur de commandes en double est activé, une nouvelle commande est bloquée lorsque la même adresse e-mail ou le même numéro de téléphone a récemment commandé le même produit, avec la même variante. L'acheteur voit « Cette commande a déjà été passée ». Avec le Mode leurre activé, il reçoit à la place une fausse confirmation et aucune commande n'est enregistrée.
Mode leurre
Quand Mode leurre est activé, les visiteurs arrêtés par Shield voient toujours une boutique normale et une confirmation de commande normale, mais aucune vraie commande n'est créée et vous n'êtes pas notifié. Les attaquants pensent que leurs commandes sont passées et perdent du temps à réessayer, pendant que vos vraies données de commandes restent propres.
Activer ou désactiver le Mode leurre change immédiatement ce que vivent les appareils bannis et les adresses IP bannies sur votre boutique. Activé, ces visiteurs voient la boutique normalement et reçoivent une fausse confirmation. Désactivé, ils reçoivent la réponse de blocage standard. Cela décide aussi du comportement des listes de blocage de user agents et de paramètres d'URL ci-dessous en cas de correspondance.
Mode attaque
Mode attaque est activé par défaut. Shield compare les commandes qu'il arrête avec ce que votre boutique voit d'habitude, et quand elles montent soudain bien au-dessus de la normale, votre boutique est considérée comme attaquée. Pendant les 3 heures suivantes, le captcha est demandé à chaque client avant de commander, chaque commande arrêtée par Shield reçoit une fausse confirmation comme avec le Mode leurre, et vous recevez un e-mail et une notification dans l'application. Chaque nouvelle hausse garde le mode attaque activé, et il se désactive tout seul 3 heures après la dernière, il n'y a donc rien à annuler. Le mode attaque n'agit que lorsque le Mode leurre est désactivé, car le Mode leurre simule déjà chaque commande arrêtée. Vous pouvez couper les alertes sous Alertes d'attaque du Bouclier dans vos réglages de notifications, et désactiver le mode attaque met fin tout de suite à une attaque en cours.
Protection contre le copier-coller
Quand Protection contre le copier-coller est activé, coller du texte dans les champs du paiement est considéré comme un signe de commande automatisée. Cela aide à arrêter les scripts et les robots de copier-coller qui remplissent les formulaires tout seuls, donc vos clients doivent saisir leurs informations plutôt que de les coller. Le champ du code promo n'est jamais concerné.
Validateur WhatsApp
Quand Validateur WhatsApp est activé, le numéro de téléphone saisi par le client est vérifié auprès de l'API WhatsApp. Si le numéro n'est pas lié à un vrai compte WhatsApp, la commande ne peut pas être passée. C'est très utile pour les boutiques qui confirment les commandes sur WhatsApp, car les commandes frauduleuses utilisent souvent des numéros inventés ou inexistants.
Nombre maximal de commandes par client
Activez Nombre maximal de commandes par client, puis réglez Nombre maximal de commandes par client sur 1, 2 ou 3. Le même client ne peut pas passer plus de commandes que ce nombre en une journée environ. Les autres valeurs affichent « Le nombre maximum de commandes par client doit être compris entre 1 et 3 ».
Même sans Shield, Storeep applique une limite de 3 commandes par client en une journée environ. Si vous installez Shield et mettez ce réglage sur Désactivé, la même limite par défaut de 3 commandes s'applique, la limite n'est donc jamais supprimée.
Storeep reconnaît le même client même quand il change certaines de ses informations. Les réseaux mobiles placent souvent beaucoup de personnes sans lien derrière une même connexion, donc une connexion partagée a plus de marge avant d'être bloquée. Régler la limite sur 1 ne signifie jamais une commande par foyer ou par réseau.
Les commandes abandonnées et supprimées ne comptent pas. Les commandes de test comptent comme n'importe quelle autre commande. Le client bloqué voit « Vous avez passé plusieurs commandes récemment. Veuillez attendre quelques heures avant de réessayer », sauf si le Mode leurre est activé : il reçoit alors une fausse confirmation et aucune commande n'est enregistrée.
C'est la règle que les marchands atteignent en testant leur propre boutique. Les commandes que vous passez après avoir ouvert votre boutique depuis un lien d'aperçu y échappent, voir Comment passer une commande de test, et pourquoi suis-je bloqué quand j'essaie d'en passer d'autres ?.
Reconnaissance renforcée des clients
Certains robots changent d'adresse IP et d'appareil à chaque commande, si bien qu'ils n'atteignent jamais la limite ci-dessus. Quand Reconnaissance renforcée des clients est activé, Shield les reconnaît quand même et les arrête. Votre boutique reste aussi rapide qu'avant quand cette option est désactivée.
Délai minimum pour passer une commande
Activez Délai minimum pour passer une commande et les commandes envoyées moins de quelques secondes après l'ouverture de la page de paiement sont arrêtées. Réglez l'attente avec le curseur Temps de retard requis, de 2 à 15 secondes. Shield peut attendre un peu plus longtemps que le temps défini, jamais moins. Les clients ne voient ni compte à rebours ni minuteur, donc les robots ne peuvent pas savoir combien de temps dure l'attente.
Le panneau indique : « Conseil : utilisez cette fonctionnalité pour bloquer les robots et les scripts qui soumettent instantanément. Si vous définissez un délai trop long, cela peut frustrer les clients authentiques. »
Temps minimum entre les commandes
Activez Temps minimum entre les commandes et un client qui vient de passer une commande doit attendre avant d'en passer une autre. Réglez l'attente avec le curseur Temps entre les commandes, de 5 à 60 minutes. Shield reconnaît le même client par sa visite, son appareil, son numéro de téléphone et son adresse e-mail, et par sa connexion quand il s'agit d'un VPN ou d'un proxy. Shield peut attendre un peu plus longtemps que le temps défini, jamais moins. Le client voit « Vous venez de passer une commande. Veuillez attendre quelques minutes avant d'en passer une autre », sauf si le Mode leurre est activé : il reçoit alors une fausse confirmation et aucune commande n'est enregistrée.
Le panneau indique : « Astuce : utilisez cette fonctionnalité pour ralentir les robots qui passent plusieurs commandes à la suite. Certains vrais clients passent une deuxième commande quelques minutes après la première, alors gardez un temps court. »
Bloqueur de vagues de commandes
Certains robots effacent leurs cookies et leurs données avant chaque commande, pour que chaque commande semble venir d'un nouveau visiteur. Quand Bloqueur de vagues de commandes est activé, Shield arrête les commandes dès que plusieurs nouveaux visiteurs commandent depuis la même connexion internet en quelques minutes. Un visiteur qui a parcouru votre boutique un moment avant de commander n'est jamais compté, et les vrais clients qui partagent une connexion ne commandent presque jamais de cette façon. Le visiteur bloqué voit « Vous avez passé plusieurs commandes récemment. Veuillez attendre quelques heures avant de réessayer », sauf si le Mode leurre est activé : il reçoit alors une fausse confirmation et aucune commande n'est enregistrée.
Mots-clés User-Agent bloqués
Dans Mots-clés User-Agent bloqués, saisissez un mot-clé par ligne, jusqu'à 50. Chaque visite est vérifiée : si un mot-clé apparaît n'importe où dans le User-Agent du visiteur (le nom qu'envoie son navigateur ou son outil), la visite est bloquée. Les entrées typiques sont des noms d'outils comme scrapy, selenium, headless ou apifybot. Les lignes en double et les lignes vides sont ignorées. Laissez vide pour désactiver ce contrôle. Avec le Mode leurre activé, un visiteur correspondant voit une boutique normale et chaque commande qu'il envoie est discrètement simulée à la place.
Paramètres d'URL
Paramètres d'URL vérifie les paramètres du lien par lequel un visiteur est arrivé. Saisissez une règle par ligne, jusqu'à 50. Il y a deux formes de règles :
- Nom avec une valeur, écrit sous la forme
name=value(par exempleutm_source=an) : correspond seulement quand ce paramètre apparaît avec exactement cette valeur. - Nom seul, écrit simplement avec le nom du paramètre (par exemple
gclid) : correspond dès que ce paramètre apparaît, quelle que soit sa valeur.
Choisissez comment la liste est utilisée dans Méthode des paramètres d'URL :
- Liste noire : un visiteur dont le lien d'arrivée contient un paramètre correspondant est bloqué. C'est utile pour couper une source publicitaire, une campagne ou un identifiant de clic qui produit sans cesse de fausses commandes en paiement à la livraison. Comme pour le blocage des user agents, quand le Mode leurre est activé, ce visiteur voit à la place une boutique normale et chaque commande qu'il envoie est discrètement simulée.
- Liste blanche : seuls les visiteurs dont le lien d'arrivée contient un paramètre correspondant peuvent passer de vraies commandes, par exemple
utm_source=facebookpour n'accepter que les commandes venant de vos propres publicités Facebook. Tous les autres, y compris les personnes qui tapent votre adresse ou vous trouvent via un moteur de recherche, peuvent ouvrir votre boutique, mais leurs commandes sont discrètement simulées quand le Mode leurre est activé, ou n'aboutissent pas quand il est désactivé. Une correspondance reste active pour le reste de la visite. Il faut au moins une règle pour enregistrer une liste blanche.
Toute personne qui connaît un paramètre de la liste peut l'ajouter elle-même à votre lien, donc une liste blanche ne remplace pas les autres contrôles de Shield, qui continuent de s'appliquer à chaque visiteur. Laissez le champ vide pour désactiver ce contrôle.
Protection supplémentaire et bannissements
Une note dans le panneau explique qu'au-delà de ces réglages, Storeep protège aussi votre boutique et vos commandes en arrière-plan, sans aucun réglage à gérer.
Depuis le détail d'une commande, vous pouvez bannir l'IP du client (aucune application nécessaire) ou son appareil (Shield nécessaire). Voir Connexions et sessions bannies pour consulter et lever les bannissements. Pour bloquer des pays entiers, des appareils ou les VPN, utilisez le Contrôle d'accès.
Enregistrer
Cliquez sur Sauvegarder. Le message « Le bouclier a été mis à jour avec succès. » le confirme. Une valeur hors limites affiche une erreur à côté de son champ.