O Shield (Escudo) é uma app de segurança que protege a sua loja e o checkout contra bots, pedidos falsos e números de telefone falsos. Vá a Aplicações, abra o separador Segurança e privacidade, clique em Instalar no cartão do Shield e depois clique em Configurações no seu cartão. O Shield é uma app paga, cobrada mensalmente a partir da sua carteira (incluída no plano Business). O preço aparece no cartão e Instalar e gerir apps explica a faturação.
Estatísticas
O Shield abre no separador Estatísticas, que mostra o que travou por si nos últimos 30 dias completos, comparado com os 30 dias anteriores. As suas regras estão no separador Configurações, explicado abaixo.
- Visitantes travados: visitantes bloqueados antes de poderem comprar, incluindo as respostas erradas ao captcha de entrada na loja. Um visitante travado em vários dias conta uma vez por dia.
- Encomendas travadas: encomendas que o Shield recusou, incluindo aquelas a que o Modo engodo respondeu com uma confirmação falsa.
- Encomendas verificadas: encomendas a que o captcha em caso de dúvida ou o modo de ataque pediu o captcha. Algumas eram de clientes reais que depois encomendaram, por isso não contam como travadas.
- Ataques detetados: quantas vezes o modo de ataque foi ativado.
- Banidos agora: os banimentos em vigor hoje, divididos em Dispositivos, Endereços IP e Números de telefone.
Os valores são atualizados uma vez por dia e não incluem o dia de hoje. São arredondados: os números pequenos aparecem como "Menos de 10", e os maiores são arredondados à dezena ou à centena mais próxima. Assim, quem testa um bot contra uma loja não consegue tirar nenhuma informação dos valores. Os dias seguem a hora UTC. Se o Shield ainda não travou nada, o separador indica-o, e se a contagem começou há menos de 30 dias aparece uma nota com a data de início. Enquanto um ataque estiver a decorrer, uma nota no topo do separador indica quando começou e até quando o modo de ataque fica ativo.
Captcha do formulário de pedido
Quando o Captcha do formulário de pedido está ativo, aparece no formulário de checkout um campo de captcha com um código em imagem. Os clientes têm de escrever os números mostrados para fazer um pedido. Isto bloqueia bots, scripts e abusos com macros.
Captcha em caso de dúvida
Quando o Captcha em caso de dúvida está ativo, o captcha só é pedido nas encomendas de que o Shield não tem a certeza, e todos os outros clientes encomendam normalmente. O Shield pede-o quando a encomenda é enviada através de uma VPN ou de um proxy, quando outro visitante novo acabou de encomendar a partir da mesma ligação à internet, ou quando um computador chega ao botão de encomenda sem mexer o rato. Quando o cliente clica para encomendar, o campo do captcha aparece no mesmo sítio que o captcha do formulário de pedido, com a mensagem "Introduza os números que vê para confirmar a sua encomenda". Assim que escreve o código certo, a encomenda é feita, e o captcha não volta a ser pedido se depois corrigir outro campo. O captcha em caso de dúvida não faz nada enquanto o Captcha do formulário de pedido estiver ativo, porque o captcha já é pedido a todos os clientes.
Captcha de entrada na loja
Quando o Captcha de entrada na loja está ativo, todos os visitantes têm de ler um código curto e escrevê-lo antes de a sua loja carregar. Até o fazerem, só veem o desafio do código: sem produtos, sem preços, sem design. Cada visitante resolve-o uma vez por visita, e os robôs verificados dos motores de busca passam diretamente, por isso a indexação no Google e as pré-visualizações de links continuam a funcionar. Use-o quando scrapers ou tráfego de bots atingem a sua loja, e lembre-se de que acrescenta um passo à frente de cada cliente real. Algumas ferramentas de revisão de anúncios ou de verificação de domínio podem não o conseguir passar, por isso desative-o por momentos se uma plataforma não conseguir verificar o seu site.
Bloqueador de pedidos duplicados
Quando o Bloqueador de pedidos duplicados está ativo, um novo pedido é bloqueado quando o mesmo endereço de email ou número de telefone encomendou recentemente o mesmo produto, com a mesma variante. O comprador vê "Esta encomenda já foi efetuada". Com o Modo engodo ativo, recebe em vez disso uma confirmação falsa e nenhum pedido é guardado.
Modo engodo
Quando o Modo engodo está ativo, os visitantes travados pelo Shield continuam a ver uma loja normal e uma confirmação de pedido normal, mas não é criado nenhum pedido real e não é notificado. Os atacantes pensam que os pedidos passaram e perdem tempo a tentar de novo, enquanto os dados dos seus pedidos reais ficam limpos.
Ativar ou desativar o Modo engodo muda de imediato a forma como os dispositivos e os endereços IP banidos veem a sua loja. Ativo, esses visitantes veem a loja normalmente e recebem uma confirmação falsa. Desativado, recebem a resposta de bloqueio padrão. Isto também define o comportamento das listas de bloqueio de User-Agent e de parâmetros de URL abaixo quando há uma correspondência.
Modo de ataque
O Modo de ataque está ativo por predefinição. O Shield compara as encomendas que trava com o que a sua loja costuma ver e, quando sobem de repente muito acima do normal, a sua loja é tratada como estando a ser atacada. Durante as 3 horas seguintes, o captcha é pedido a todos os clientes antes de encomendarem, cada encomenda travada pelo Shield recebe uma confirmação falsa, tal como no Modo engodo, e recebe um email e uma notificação na app. Cada nova subida mantém o modo de ataque ativo, e ele desliga-se sozinho 3 horas depois da última, por isso não há nada a desfazer. O modo de ataque só atua enquanto o Modo engodo estiver desligado, porque o Modo engodo já falsifica todas as encomendas travadas. Pode silenciar os alertas em Alertas de ataque do Shield, nas definições de notificações, e desligar o modo de ataque termina de imediato um ataque em curso.
Proteção contra colagem
Quando a Proteção contra colagem está ativa, colar nos campos do checkout é tratado como um sinal de encomenda automática. Isto ajuda a travar scripts e bots de copiar e colar que preenchem formulários sozinhos, por isso os seus clientes devem escrever os seus dados em vez de os colar. O campo do cupão nunca é afetado.
Validador do WhatsApp
Quando o Validador do WhatsApp está ativo, o número de telefone que o cliente introduz é validado na API do WhatsApp. Se o número não estiver associado a uma conta WhatsApp real, o pedido não pode ser feito. Isto é especialmente útil para lojas que confirmam pedidos pelo WhatsApp, já que os pedidos fraudulentos usam muitas vezes números inventados ou inexistentes.
Máximo de pedidos por cliente
Ative Máximo de pedidos por cliente e depois defina Máximo de pedidos por cliente como 1, 2 ou 3. O mesmo cliente não pode fazer mais do que esse número de pedidos em cerca de um dia. Outros valores mostram "O número máximo de pedidos por cliente deve estar entre 1 e 3".
Mesmo sem o Shield, o Storeep aplica um limite de 3 pedidos por cliente em cerca de um dia. Se instalar o Shield e desativar esta definição, aplica-se o mesmo limite predefinido de 3 pedidos, por isso o limite nunca é removido.
O Storeep reconhece o mesmo cliente mesmo quando ele muda alguns dos seus dados. As redes móveis colocam muitas vezes várias pessoas sem relação entre si atrás de uma mesma ligação, por isso uma ligação partilhada tem mais margem antes de ser bloqueada. Definir o limite como 1 nunca significa um pedido por casa ou por rede.
Os pedidos abandonados e eliminados não contam. Os pedidos de teste contam como qualquer outro pedido. O cliente bloqueado vê "Efetuou vários pedidos recentemente. Aguarde algumas horas antes de tentar novamente", exceto se o Modo engodo estiver ativo; nesse caso recebe uma confirmação falsa e nenhum pedido é guardado.
É esta a regra que os comerciantes atingem ao testar a própria loja. Os pedidos que faz depois de abrir a loja a partir de um link de visualização não estão sujeitos a ela, consulte Como faço um pedido de teste e porque é que estou bloqueado para fazer mais?.
Reconhecimento rigoroso de clientes
Alguns bots mudam de endereço IP e de dispositivo em cada pedido, por isso nunca atingem o limite acima. Quando o Reconhecimento Rigoroso de Clientes está ativo, o Shield continua a reconhecê-los e trava-os. A sua loja continua tão rápida como antes quando esta opção está desativada.
Atraso mínimo na colocação do pedido
Ative Atraso mínimo na colocação do pedido e os pedidos enviados antes de um certo número de segundos após a abertura do checkout são travados. Defina a espera com o cursor Tempo de atraso necessário, de 2 a 15 segundos. O Shield pode esperar um pouco mais do que o tempo que definiu, nunca menos. Os clientes não veem nenhuma contagem decrescente nem temporizador, por isso os bots não conseguem saber quanto tempo dura a espera.
O painel dá esta sugestão: "Dica: use esse recurso para bloquear bots e scripts que enviam mensagens instantaneamente. Definir um tempo muito longo pode frustrar os clientes genuínos."
Tempo mínimo entre pedidos
Ative Tempo mínimo entre pedidos e um cliente que acabou de fazer um pedido tem de esperar antes de fazer outro. Defina a espera com o cursor Tempo entre pedidos, de 5 a 60 minutos. O Shield reconhece o mesmo cliente pela visita, pelo dispositivo, pelo número de telefone e pelo endereço de email, e pela ligação quando se trata de uma VPN ou de um proxy. O Shield pode esperar um pouco mais do que o tempo que definiu, nunca menos. O cliente vê "Acabou de efetuar um pedido. Aguarde alguns minutos antes de efetuar outro", exceto se o Modo engodo estiver ativo; nesse caso recebe uma confirmação falsa e nenhum pedido é guardado.
O painel dá esta sugestão: "Dica: use esta funcionalidade para abrandar os bots que efetuam vários pedidos seguidos. Alguns clientes reais fazem um segundo pedido poucos minutos depois do primeiro, por isso mantenha o tempo curto."
Bloqueador de vagas de pedidos
Alguns bots apagam os cookies e os dados antes de cada pedido, para que cada pedido pareça vir de um novo visitante. Quando o Bloqueador de vagas de pedidos está ativo, o Shield trava os pedidos assim que vários visitantes novos encomendam a partir da mesma ligação à internet em poucos minutos. Um visitante que navegou na sua loja durante algum tempo antes de encomendar nunca é contado, e os clientes reais que partilham uma ligação quase nunca encomendam desta forma. O visitante bloqueado vê "Efetuou vários pedidos recentemente. Aguarde algumas horas antes de tentar novamente", exceto se o Modo engodo estiver ativo; nesse caso recebe uma confirmação falsa e nenhum pedido é guardado.
Palavras-chave de User-Agent bloqueadas
Em Palavras-chave User-Agent bloqueadas, introduza uma palavra-chave por linha, até 50. Todas as visitas são verificadas: se alguma palavra-chave aparecer em qualquer parte do User-Agent do visitante (o nome que o navegador ou a ferramenta envia), a visita é bloqueada. Entradas típicas são nomes de ferramentas como scrapy, selenium, headless ou apifybot. As linhas duplicadas e em branco são ignoradas. Deixe vazio para desativar esta verificação. Com o Modo engodo ativo, um visitante correspondente vê uma loja normal e todos os pedidos que submeter são, em vez disso, simulados sem aviso.
Parâmetros de URL
Parâmetros de URL verifica os parâmetros do link por onde o visitante chegou. Introduza uma regra por linha, até 50. Há duas formas de regra:
- Nome com um valor, escrito como
name=value(por exemploutm_source=an): só corresponde quando esse parâmetro aparece com exatamente esse valor. - Apenas o nome, escrito só com o nome do parâmetro (por exemplo
gclid): corresponde sempre que esse parâmetro aparece, seja qual for o valor.
Escolha como a lista é usada em Método dos parâmetros de URL:
- Lista negra: um visitante cujo link de entrada tenha um parâmetro correspondente é bloqueado. Isto é útil para cortar uma fonte de anúncios, uma campanha ou um identificador de clique que continua a gerar pedidos falsos com pagamento na entrega. Tal como no bloqueio por User-Agent, quando o Modo engodo está ativo, esse visitante vê antes uma loja normal e todos os pedidos que submeter são simulados sem aviso.
- Lista branca: só os visitantes cujo link de entrada tenha um parâmetro correspondente podem fazer pedidos reais, por exemplo
utm_source=facebookpara aceitar pedidos apenas dos seus próprios anúncios no Facebook. Todos os outros, incluindo quem escreve o seu endereço ou o encontra numa pesquisa, continuam a poder abrir a sua loja, mas os pedidos deles são simulados sem aviso quando o Modo engodo está ativo, ou não são aceites quando está desativado. Uma correspondência conta para o resto dessa visita. Precisa de pelo menos uma regra para guardar uma lista branca.
Qualquer pessoa que conheça um parâmetro da lista pode adicioná-lo ao seu link, por isso uma lista branca não substitui as outras verificações do Shield, que continuam ativas para todos os visitantes. Deixe o campo vazio para desativar esta verificação.
Proteção adicional e banimentos
Uma nota no painel explica que, além destas definições, o Storeep também protege a sua loja e os seus pedidos em segundo plano, sem nenhuma definição para gerir.
Nos detalhes de um pedido pode banir o IP do cliente (sem precisar de app) ou o dispositivo dele (precisa do Shield). Consulte Acessos e sessões banidas para rever e remover banimentos. Para bloquear países inteiros, dispositivos ou VPNs, use o Controlo de acessos.
Guardar
Clique em Guardar. A mensagem "O escudo foi atualizado com sucesso" confirma a alteração. Um valor fora do intervalo mostra um erro ao lado do respetivo campo.