Praktik terbaik perlindungan dari ancaman otomatis

Google Cloud Fraud Defense membantu Anda melindungi aplikasi web dari ancaman kritis yang diidentifikasi dalam OWASP Automated Threats (OAT) to Web Applications. Untuk setiap ancaman, dokumen ini memberikan opsi implementasi minimal dan optimal untuk membantu Anda memilih strategi mitigasi yang sesuai dengan persyaratan dan lingkungan keamanan organisasi Anda.

Pilih implementasi berdasarkan kebutuhan antipenipuan organisasi Anda: implementasi yang optimal menerapkan fitur Fraud Defense yang relevan untuk perlindungan yang komprehensif, sedangkan implementasi minimal memberikan pertahanan dasar. Untuk mengetahui informasi selengkapnya tentang strategi mitigasi penipuan untuk kasus penggunaan Anda, hubungi tim penjualan kami.

Carding

Carding adalah ancaman otomatis yang dilakukan penyerang dengan melakukan beberapa upaya otorisasi pembayaran untuk memverifikasi validitas data kartu pembayaran yang dicuri secara massal.

Implementasi minimum

  1. Instal kunci situs kotak centang di semua halaman tempat pengguna akhir perlu memasukkan informasi kartu kredit mereka. Untuk mempelajari cara menginstal kunci situs kotak centang, lihat Menginstal kunci situs kotak centang (tantangan kotak centang) di situs.

  2. Membuat penilaian untuk semua token. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

Penerapan yang optimal

  1. Instal kunci situs berbasis skor di semua halaman tempat pengguna akhir perlu memasukkan informasi kartu kredit mereka. Tentukan tindakan dalam parameter action seperti card_entry. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.

  2. Instal reCAPTCHA untuk alur kerja pembayaran di situs Anda. Untuk mempelajari cara melindungi alur kerja pembayaran, lihat Melindungi alur kerja pembayaran.

  3. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

  4. Simpan semua ID penilaian dan beri anotasi pada penilaian yang berubah menjadi pembelian curang atau penagihan balik sebagai fraudulent. Untuk mempelajari cara memberi anotasi pada penilaian, lihat Memberi anotasi pada penilaian.

Strategi mitigasi penipuan

Setelah Anda menerapkan Fraud Defense, gunakan salah satu strategi mitigasi penipuan berikut untuk melindungi situs Anda dari carding:

  • Instal reCAPTCHA untuk alur kerja pembayaran di situs Anda. Untuk mempelajari cara melindungi alur kerja pembayaran, lihat Melindungi alur kerja pembayaran.

  • Konfigurasikan API pengelolaan kartu untuk memastikan bahwa token reCAPTCHA valid dan skornya lebih besar dari nilai minimumnya.

    Jika skor tidak memenuhi atau melebihi nilai minimum yang ditentukan, jangan jalankan otorisasi kartu atau izinkan pengguna akhir menggunakan kartu. Jika memungkinkan, izinkan transaksi dilanjutkan pada saat pembelian, tetapi batalkan transaksi nanti untuk menghindari penyerang mengetahui hal ini.

  • Saat membuat penilaian, pastikan penilaian Anda memenuhi kriteria berikut untuk transaksi yang berhasil:

    • Semua token yang dinilai valid dan memiliki skor yang lebih besar dari nilai minimum yang ditentukan.
    • Nilai expectedAction cocok dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor di halaman web Anda. Untuk mempelajari cara memverifikasi tindakan, lihat memverifikasi tindakan.

    Jika transaksi tidak memenuhi kriteria ini, jangan jalankan otorisasi kartu atau izinkan pengguna akhir menggunakan kartu. Jika memungkinkan, izinkan transaksi dilanjutkan pada saat pembelian, tetapi batalkan transaksi nanti untuk menghindari penyerang mengetahui hal ini.

Cracking kartu

Card cracking adalah ancaman otomatis yang dilakukan penyerang untuk mengidentifikasi nilai yang hilang untuk tanggal mulai, tanggal habis masa berlaku, dan kode keamanan untuk data kartu pembayaran yang dicuri dengan mencoba berbagai nilai.

Implementasi minimum

  1. Instal kunci situs kotak centang di semua halaman tempat pengguna akhir perlu memasukkan detail pembayaran mereka, termasuk fungsi checkout dan tambahkan metode pembayaran. Untuk mempelajari cara menginstal kunci situs kotak centang, lihat Menginstal kunci situs kotak centang (tantangan kotak centang) di situs.

  2. Membuat penilaian untuk semua token. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

Penerapan yang optimal

  1. Instal kunci situs berbasis skor di semua halaman tempat pengguna akhir perlu memasukkan detail pembayaran mereka. Tentukan tindakan dalam parameter action seperti checkout atau add_pmtmethod. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.

  2. Instal reCAPTCHA untuk alur kerja pembayaran di situs Anda. Untuk mempelajari cara melindungi alur kerja pembayaran, lihat Melindungi alur kerja pembayaran.

  3. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

  4. Simpan semua ID penilaian dan beri anotasi pada penilaian yang berubah menjadi pembelian curang atau penagihan balik sebagai fraudulent. Untuk mempelajari cara memberi anotasi pada penilaian, lihat Memberi anotasi pada penilaian.

Strategi mitigasi penipuan

Setelah menerapkan Fraud Defense, gunakan salah satu strategi mitigasi fraud berikut untuk melindungi situs Anda dari card cracking:

  • Instal reCAPTCHA untuk alur kerja pembayaran di situs Anda. Untuk mempelajari cara melindungi alur kerja pembayaran, lihat Melindungi alur kerja pembayaran.

  • Menerapkan model respons dan membuat penilaian:

    1. Membuat dan menerapkan model respons yang disesuaikan untuk risiko berbasis skor.

      Contoh berikut menunjukkan contoh model respons:

      • Untuk nilai minimum skor rendah hingga menengah (0,0-0,5), gunakan pengelolaan risiko berbasis konteks, seperti membatasi jumlah percobaan, dan memblokir pembelian di atas nilai yang ditentukan.
      • Untuk nilai minimum skor tertinggi (> 0,5), izinkan pengguna akhir melanjutkan tanpa tantangan apa pun.

    2. Saat membuat penilaian, pastikan nilai expectedAction cocok dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor di halaman web Anda. Jika tidak cocok, jangan jalankan otorisasi kartu atau izinkan pengguna akhir menggunakan kartu. Jika memungkinkan, izinkan transaksi dilanjutkan pada saat pembelian, tetapi batalkan transaksi nanti untuk menghindari penyerang mengetahui hal ini.

Pembobolan kredensial

Pembobolan kredensial adalah ancaman otomatis yang dilakukan penyerang untuk mengidentifikasi kredensial login yang valid dengan mencoba berbagai nilai untuk nama pengguna dan sandi.

Implementasi minimum

  1. Instal kunci situs kotak centang di semua halaman tempat pengguna akhir harus memasukkan kredensial mereka, termasuk fungsi login dan lupa sandi. Untuk mempelajari cara menginstal kunci situs kotak centang, lihat Menginstal kunci situs kotak centang (tantangan kotak centang) di situs.

  2. Membuat penilaian untuk semua token. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

Penerapan yang optimal

  1. Instal kunci situs berbasis skor di semua halaman tempat pengguna akhir perlu memasukkan kredensial mereka. Tentukan tindakan dalam parameter action seperti login atau authenticate. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.
  2. Direkomendasikan: Terapkan Password defense reCAPTCHA untuk semua upaya autentikasi. Untuk mempelajari cara menggunakan Password defense, lihat Mendeteksi kebocoran sandi dan kredensial yang diretas.
  3. Opsional: Untuk mengaktifkan pemblokiran interaksi bervolume tinggi dan skor reCAPTCHA rendah, integrasikan reCAPTCHA dengan firewall aplikasi web (WAF). Misalnya, Anda dapat menggunakan integrasi reCAPTCHA untuk WAF dan Google Cloud Armor.
  4. Terapkan pelindung akun reCAPTCHA untuk memantau tren perilaku pengguna akhir di seluruh login dan menerima sinyal tambahan yang dapat mengindikasikan ATO. Untuk mempelajari cara menggunakan pelindung akun reCAPTCHA, lihat Mendeteksi dan mencegah aktivitas penipuan terkait akun.
  5. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.
  6. Simpan semua ID Penilaian dan beri anotasi pada penilaian yang tampak bersifat menipu, seperti Pengambilalihan Akun (ATO) atau aktivitas penipuan lainnya. Untuk mempelajari cara memberi anotasi pada penilaian, lihat Memberi anotasi pada penilaian.

Strategi mitigasi penipuan

Setelah Anda menerapkan Fraud Defense, gunakan strategi mitigasi fraud berikut untuk melindungi situs Anda dari pembobolan kredensial:

  1. Membuat dan menerapkan model respons yang disesuaikan untuk risiko berbasis skor.

    Contoh berikut menunjukkan contoh model respons:

    • Untuk nilai minimum skor rendah hingga menengah (0,0-0,5), tantang pengguna akhir dengan autentikasi multi-faktor melalui email atau SMS.
    • Untuk nilai minimum skor tertinggi (> 0,5), izinkan pengguna akhir melanjutkan tanpa tantangan apa pun.
  2. Mengakhiri atau menghentikan sesi untuk pengguna akhir yang berhasil melakukan autentikasi, tetapi menerima respons credentialsLeaked: true dari Password defense reCAPTCHA, dan mengirim email kepada pengguna akhir untuk mengubah sandi mereka.
  3. Saat membuat penilaian, pastikan nilai expectedAction cocok dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor di halaman web Anda. Jika tidak cocok, jangan izinkan autentikasi.

Credential stuffing

Credential stuffing adalah ancaman otomatis yang menggunakan upaya login massal untuk memverifikasi validitas pasangan nama pengguna/sandi yang dicuri.

Implementasi minimum

  1. Instal kunci situs kotak centang di semua halaman tempat pengguna akhir harus memasukkan kredensial mereka, termasuk fungsi login dan lupa sandi. Untuk mempelajari cara menginstal kunci situs kotak centang, lihat Menginstal kunci situs kotak centang (tantangan kotak centang) di situs.

  2. Membuat penilaian untuk semua token. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

Penerapan yang optimal

  1. Instal kunci situs berbasis skor di semua halaman tempat pengguna akhir perlu memasukkan kredensial mereka. Tentukan tindakan dalam parameter action seperti login atau authenticate. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.
  2. Direkomendasikan: Terapkan Password defense reCAPTCHA untuk semua upaya autentikasi. Untuk mempelajari cara menggunakan Password defense, lihat Mendeteksi kebocoran sandi dan kredensial yang diretas.
  3. Terapkan pelindung akun reCAPTCHA untuk memantau tren perilaku pengguna akhir di seluruh login dan menerima sinyal tambahan yang dapat mengindikasikan ATO. Untuk mempelajari cara menggunakan pelindung akun reCAPTCHA, lihat Mendeteksi dan mencegah aktivitas penipuan terkait akun.

  4. Opsional: Untuk mengaktifkan pemblokiran interaksi bervolume tinggi dan skor reCAPTCHA rendah, integrasikan reCAPTCHA dengan firewall aplikasi web (WAF). Misalnya, Anda dapat menggunakan integrasi reCAPTCHA untuk WAF dan Google Cloud Armor.

  5. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

  6. Simpan semua ID penilaian dan beri anotasi pada penilaian yang berubah menjadi pembelian curang atau penagihan balik sebagai fraudulent. Untuk mempelajari cara memberi anotasi pada penilaian, lihat Memberi anotasi pada penilaian.

Strategi mitigasi penipuan

Setelah menerapkan Fraud Defense, gunakan strategi mitigasi penipuan berikut untuk melindungi situs Anda dari credential stuffing:

  1. Membuat dan menerapkan model respons yang disesuaikan untuk risiko berbasis skor.

    Contoh berikut menunjukkan contoh model respons:

    • Untuk nilai minimum skor reCAPTCHA terendah (0,0), beri tahu pengguna akhir bahwa sandi mereka salah.
    • Untuk nilai minimum skor menengah (0,1-0,5), tantang pengguna akhir dengan autentikasi multi-faktor melalui email atau SMS.
    • Untuk nilai minimum skor tertinggi (> 0,5), izinkan pengguna akhir melanjutkan tanpa tantangan apa pun.
  2. Mengakhiri atau menghentikan sesi untuk pengguna akhir yang berhasil melakukan autentikasi, tetapi menerima respons credentialsLeaked: true dari Password defense reCAPTCHA, dan mengirim email kepada pengguna akhir untuk mengubah sandi mereka.
  3. Saat membuat penilaian, pastikan nilai expectedAction cocok dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor di halaman web Anda. Jika tidak cocok, jangan izinkan autentikasi.
  4. Dalam penilaian Anda, jika accountDefenderAssessment=PROFILE_MATCH, izinkan pengguna akhir melanjutkan tanpa verifikasi apa pun.

Mencairkan saldo

Pencairan dana adalah ancaman otomatis saat penyerang memperoleh mata uang atau item bernilai tinggi melalui penggunaan kartu pembayaran yang dicuri dan divalidasi sebelumnya.

Implementasi minimum

  1. Instal kunci situs berbasis skor di semua halaman tempat checkout dapat dilakukan. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.
  2. Membuat penilaian untuk semua token. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

Penerapan yang optimal

  1. Instal kunci situs berbasis skor di semua halaman tempat pengguna akhir memasukkan informasi kartu voucher mereka. Tentukan tindakan seperti add_gift_card. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.

  2. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

  3. Simpan semua ID penilaian dan beri anotasi pada transaksi yang bersifat menipu.

Strategi mitigasi penipuan

Setelah Anda menerapkan Fraud Defense, gunakan strategi mitigasi fraud berikut untuk melindungi situs Anda dari pencairan dana:

  • Instal reCAPTCHA untuk alur kerja pembayaran di situs Anda. Untuk mempelajari cara melindungi alur kerja pembayaran, lihat Melindungi alur kerja pembayaran.

  • Menerapkan model respons dan membuat penilaian:

    1. Membuat dan menerapkan model respons yang disesuaikan untuk risiko berbasis skor.

      Contoh berikut menunjukkan contoh model respons:

      • Untuk nilai minimum skor rendah hingga menengah (0,0-0,5), gunakan pengelolaan risiko berbasis konteks, seperti membatasi jumlah percobaan, dan memblokir pembelian di atas nilai yang ditentukan.
      • Untuk nilai minimum skor tertinggi (> 0,5), izinkan pengguna akhir melanjutkan tanpa tantangan apa pun.
    2. Saat membuat penilaian, pastikan nilai expectedAction cocok dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor di halaman web Anda. Jika tidak cocok, jangan izinkan autentikasi. Jika memungkinkan, izinkan transaksi dilanjutkan pada saat pembelian, tetapi batalkan transaksi nanti untuk menghindari penyerang mengetahui hal ini.

Pembuatan akun

Pembuatan akun adalah ancaman otomatis yang dilakukan penyerang dengan membuat beberapa akun untuk penyalahgunaan berikutnya.

Implementasi minimum

  1. Instal kunci situs kotak centang di semua halaman tempat pengguna akhir harus memasukkan kredensial mereka, termasuk fungsi login dan lupa sandi. Untuk mempelajari cara menginstal kunci situs kotak centang, lihat Menginstal kunci situs kotak centang (tantangan kotak centang) di situs.

  2. Membuat penilaian untuk semua token. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

Penerapan yang optimal

  1. Instal kunci situs berbasis skor di semua halaman tempat akun dibuat. Tentukan tindakan dalam parameter action seperti register. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.
  2. Direkomendasikan: Terapkan Password defense reCAPTCHA untuk semua upaya autentikasi. Untuk mempelajari cara menggunakan Password defense, lihat Mendeteksi kebocoran sandi dan kredensial yang diretas.
  3. Terapkan Fraud Defense Account defense untuk menerima sinyal tambahan yang mengindikasikan pembuatan akun palsu. Untuk mempelajari cara menggunakan pelindung akun reCAPTCHA, lihat Mendeteksi dan mencegah aktivitas penipuan terkait akun.

  4. Opsional: Untuk mengaktifkan pemblokiran interaksi bervolume tinggi dan skor reCAPTCHA rendah, integrasikan reCAPTCHA dengan firewall aplikasi web (WAF). Misalnya, Anda dapat menggunakan integrasi reCAPTCHA untuk WAF dan Google Cloud Armor.

  5. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

  6. Simpan semua ID penilaian dan beri anotasi pada transaksi yang bersifat menipu.

Strategi mitigasi penipuan

Setelah Anda menerapkan Fraud Defense, gunakan strategi mitigasi fraud berikut untuk melindungi situs Anda dari pembuatan akun:

  1. Membuat dan menerapkan model respons yang disesuaikan untuk risiko berbasis skor.

    Contoh berikut menunjukkan contoh model respons:

    • Untuk nilai minimum skor reCAPTCHA terendah (0,0), batasi tindakan akun hingga akun tersebut menjalani pemeriksaan penipuan lebih lanjut.
    • Untuk nilai minimum skor menengah (0,1-0,5), tantang pengguna akhir dengan autentikasi multi-faktor melalui email atau SMS.
    • Untuk nilai minimum skor tertinggi (> 0,5), izinkan pengguna akhir melanjutkan tanpa tantangan apa pun.
  2. Mengakhiri atau menghentikan sesi untuk pengguna akhir yang berhasil melakukan autentikasi, tetapi menerima respons credentialsLeaked: true dari Fraud Defense Password defense, dan meminta pengguna untuk memilih sandi baru.
  3. Saat membuat penilaian, pastikan nilai expectedAction cocok dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor di halaman web Anda. Jika tidak cocok, jangan izinkan pendaftaran akun atau pembuatan akun.
  4. Dalam penilaian Anda, jika accountDefenderAssessment=SUSPICIOUS_ACCOUNT_CREATION, batasi akses akun hingga validasi lebih lanjut dapat dilakukan.

Perubahan akun dan alamat yang bersifat menipu

Penyerang mungkin mencoba mengubah detail akun, termasuk alamat email, nomor telepon, atau alamat surat sebagai bagian dari aktivitas penipuan atau pengambilalihan akun.

Implementasi minimum

  1. Instal kunci situs kotak centang di semua halaman tempat pengguna akhir harus memasukkan kredensial mereka, termasuk fungsi login dan lupa sandi. Untuk mempelajari cara menginstal kunci situs kotak centang, lihat Menginstal kunci situs kotak centang (tantangan kotak centang) di situs.

  2. Membuat penilaian untuk semua token. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

Penerapan yang optimal

  1. Instal kunci situs berbasis skor di semua halaman tempat akun dibuat. Tentukan tindakan dalam parameter action seperti change_telephone atau change_physicalmail. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.

  2. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

  3. Terapkan pelindung akun reCAPTCHA untuk memantau tren perilaku pengguna akhir di seluruh login dan menerima sinyal tambahan yang dapat mengindikasikan ATO. Untuk mempelajari cara menggunakan pelindung akun reCAPTCHA, lihat Mendeteksi dan mencegah aktivitas penipuan terkait akun.

  4. Simpan semua ID penilaian dan beri anotasi pada transaksi yang bersifat menipu.

Strategi mitigasi penipuan

Setelah Anda menerapkan Fraud Defense, gunakan strategi mitigasi penipuan berikut untuk melindungi situs Anda dari perubahan akun dan alamat yang bersifat menipu:

  1. Membuat dan menerapkan model respons yang disesuaikan untuk risiko berbasis skor.

    Contoh berikut menunjukkan contoh model respons:

    • Untuk nilai minimum skor rendah hingga menengah (0,0-0,5), tantang pengguna akhir dengan autentikasi multi-faktor melalui email atau SMS.
    • Untuk nilai minimum skor tertinggi (> 0,5), izinkan pengguna akhir melanjutkan tanpa tantangan apa pun.

  2. Saat membuat penilaian, pastikan nilai expectedAction cocok dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor di halaman web Anda. Jika tidak cocok, jangan izinkan perubahan akun.

  3. Dalam penilaian Anda, jika accountDefenderAssessment tidak memiliki label PROFILE_MATCH, verifikasi pengguna akhir dengan autentikasi multi-faktor melalui email atau SMS.

Pembobolan token

Pembobolan token adalah ancaman otomatis saat penyerang melakukan enumerasi massal nomor kupon, kode voucher, token diskon.

Implementasi minimum

  1. Instal kunci situs kotak centang di semua halaman tempat pengguna akhir perlu memasukkan informasi kartu voucher mereka. Untuk mempelajari cara menginstal kunci situs kotak centang, lihat Menginstal kunci situs kotak centang (tantangan kotak centang) di situs.

  2. Membuat penilaian untuk semua token. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

Penerapan yang optimal

  1. Instal kunci situs berbasis skor di semua halaman tempat pengguna akhir perlu memasukkan informasi kartu voucher mereka. Tentukan tindakan seperti gift_card_entry. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.

  2. Opsional: Untuk mengaktifkan pemblokiran interaksi bervolume tinggi dan skor reCAPTCHA rendah, integrasikan reCAPTCHA dengan firewall aplikasi web (WAF). Misalnya, Anda dapat menggunakan integrasi reCAPTCHA untuk WAF dan Google Cloud Armor.

  3. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

  4. Simpan semua ID penilaian dan beri anotasi pada penilaian yang berubah menjadi kartu voucher atau kupon yang bersifat menipu.

Strategi mitigasi penipuan

Setelah Anda menerapkan Fraud Defense, gunakan salah satu strategi mitigasi penipuan berikut untuk melindungi situs Anda dari pembobolan token:

  • Konfigurasikan API pengelolaan kartu untuk memastikan bahwa token reCAPTCHA valid dan skornya lebih besar dari nilai minimumnya.

    Jika skor tidak memenuhi atau melebihi nilai minimum yang ditentukan, jangan jalankan otorisasi kartu voucher atau kartu kredit, atau izinkan pengguna akhir menggunakan kupon, kartu voucher. Jika memungkinkan, izinkan transaksi dilanjutkan pada saat pembelian, tetapi batalkan transaksi nanti untuk menghindari penyerang mengetahui hal ini.

  • Saat membuat penilaian, pastikan penilaian Anda memenuhi kriteria berikut untuk transaksi yang berhasil:

    • Semua token yang dinilai valid dan memiliki skor yang lebih besar dari nilai minimum yang ditentukan.
    • Nilai expectedAction cocok dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor di halaman web Anda. Untuk mempelajari cara memverifikasi tindakan, lihat memverifikasi tindakan.

    Jika transaksi tidak memenuhi kriteria ini, jangan jalankan otorisasi kartu voucher atau kartu kredit, atau izinkan pengguna akhir menggunakan kupon atau kartu voucher. Jika memungkinkan, izinkan transaksi dilanjutkan pada saat pembelian, tetapi batalkan transaksi nanti untuk menghindari penyerang mengetahui hal ini.

Scalping

Scalping adalah ancaman otomatis yang dilakukan penyerang untuk mendapatkan barang atau layanan pilihan dan yang ketersediaannya terbatas dengan metode yang tidak adil.

Implementasi minimum

  1. Instal kunci situs berbasis skor di semua halaman tempat pengguna akhir perlu memasukkan informasi kartu voucher mereka. Tentukan tindakan dalam parameter action seperti add_to_cart. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.
  2. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

Penerapan yang optimal

  1. Instal kunci situs berbasis skor di semua halaman tempat pengguna akhir perlu memasukkan informasi kartu voucher mereka. Tentukan tindakan dalam parameter action seperti add_to_cart. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.

  2. Opsional: Untuk mengaktifkan pemblokiran interaksi bervolume tinggi dan skor reCAPTCHA rendah, integrasikan reCAPTCHA dengan firewall aplikasi web (WAF). Misalnya, Anda dapat menggunakan integrasi reCAPTCHA untuk WAF dan Google Cloud Armor.

  3. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

  4. Simpan semua ID penilaian dan beri anotasi pada transaksi yang bersifat menipu.

Strategi mitigasi penipuan

Setelah Anda menerapkan Fraud Defense, gunakan strategi mitigasi fraud berikut untuk melindungi situs Anda dari scalping:

  1. Membuat dan menerapkan model respons yang disesuaikan untuk risiko berbasis skor.

    Contoh berikut menunjukkan contoh model respons:

    • Untuk nilai minimum skor rendah hingga menengah (0,0-0,5), gunakan pengelolaan risiko berbasis konteks, seperti membatasi jumlah percobaan, dan memblokir pembelian di atas nilai yang ditentukan.
    • Untuk nilai minimum skor tertinggi (> 0,5), izinkan pengguna akhir melanjutkan tanpa tantangan apa pun.

  2. Saat membuat penilaian, pastikan nilai expectedAction cocok dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor di halaman web Anda. Jika tidak cocok, jangan jalankan otorisasi kartu voucher.

Skewing

Skewing adalah ancaman otomatis yang menggunakan klik link, permintaan halaman, atau pengiriman formulir berulang untuk mengubah beberapa metrik.

Implementasi minimum

  1. Instal kunci situs berbasis skor di semua halaman yang memungkinkan terjadinya penyimpangan metrik. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.
  2. Membuat penilaian untuk semua token. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

Penerapan yang optimal

  1. Instal kunci situs berbasis skor di semua halaman yang memungkinkan terjadinya penyimpangan metrik. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.

  2. Opsional: Untuk mengaktifkan pemblokiran interaksi bervolume tinggi dan skor reCAPTCHA rendah, integrasikan reCAPTCHA dengan firewall aplikasi web (WAF). Misalnya, Anda dapat menggunakan integrasi reCAPTCHA untuk WAF dan Google Cloud Armor.

  3. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

  4. Simpan semua ID penilaian dan beri anotasi pada transaksi yang bersifat menipu.

Strategi mitigasi penipuan

Setelah Anda menerapkan Fraud Defense, gunakan strategi mitigasi penipuan berikut untuk melindungi situs Anda dari penyimpangan:

Membuat dan menerapkan model respons yang disesuaikan untuk risiko berbasis skor.

Contoh berikut menunjukkan contoh model respons:

  • Untuk nilai minimum skor rendah hingga menengah (0,0-0,5), gunakan pengelolaan risiko berbasis konteks, seperti melacak berapa kali pengguna mengklik iklan, atau berapa kali pengguna memuat ulang halaman. Gunakan data ini untuk menentukan apakah akan menghitung metrik.
  • Untuk nilai minimum skor tertinggi (> 0,5), izinkan pengguna akhir melanjutkan tanpa tantangan apa pun.

Scraping

Scraping adalah ancaman otomatis saat penyerang mengumpulkan data atau artefak situs secara otomatis.

Implementasi minimum

  1. Instal kunci situs berbasis skor di semua halaman yang berisi informasi penting dan di halaman interaksi pengguna akhir umum yang penting. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.
  2. Membuat penilaian untuk semua token. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

Penerapan yang optimal

  1. Instal kunci situs berbasis skor di semua halaman yang berisi informasi penting dan di halaman interaksi pengguna akhir umum yang penting. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.

  2. Opsional: Untuk mengaktifkan pemblokiran interaksi bervolume tinggi dan skor reCAPTCHA rendah, integrasikan reCAPTCHA dengan firewall aplikasi web (WAF). Misalnya, Anda dapat menggunakan integrasi reCAPTCHA untuk WAF dan Google Cloud Armor.

  3. Membuat penilaian untuk semua token. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

  4. Simpan semua ID penilaian dan beri anotasi pada transaksi yang bersifat menipu.

Strategi mitigasi penipuan

Setelah Anda menerapkan Fraud Defense, gunakan strategi mitigasi fraud berikut untuk melindungi situs Anda dari scraping:

Kekalahan CAPTCHA

Penggagalan CAPTCHA adalah ancaman otomatis saat penyerang menggunakan otomatisasi dalam upaya menganalisis dan menentukan jawaban atas pengujian CAPTCHA visual dan/atau aural serta teka-teki terkait.

Implementasi minimum

  1. Instal kunci situs berbasis skor di semua halaman yang melibatkan input pengguna akhir, pembuatan akun, informasi pembayaran, atau interaksi pengguna akhir yang berpotensi melakukan penipuan. Tentukan tindakan deskriptif dalam parameter action. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.

  2. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

Penerapan yang optimal

  1. Instal kunci situs berbasis skor di semua halaman yang melibatkan input pengguna akhir, pembuatan akun, informasi pembayaran, atau interaksi pengguna akhir yang berpotensi melakukan penipuan. Tentukan tindakan deskriptif dalam parameter action. Untuk mempelajari cara menginstal kunci situs berbasis skor, lihat Menginstal kunci situs berbasis skor (tanpa verifikasi) di situs.

  2. Opsional: Untuk mengaktifkan pemblokiran interaksi bervolume tinggi dan skor reCAPTCHA rendah, integrasikan reCAPTCHA dengan firewall aplikasi web (WAF). Misalnya, Anda dapat menggunakan integrasi reCAPTCHA untuk WAF dan Google Cloud Armor.

  3. Buat penilaian untuk semua token, dan tetapkan expectedAction agar sesuai dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor. Untuk mempelajari cara membuat penilaian, lihat Membuat penilaian.

  4. Simpan semua ID penilaian dan beri anotasi pada penilaian yang berubah menjadi pembelian curang atau penagihan balik sebagai fraudulent. Untuk mempelajari cara memberi anotasi pada penilaian, lihat Memberi anotasi pada penilaian.

Strategi mitigasi penipuan

Setelah Anda menerapkan Fraud Defense, gunakan salah satu strategi mitigasi penipuan berikut untuk melindungi situs Anda dari pembobolan CAPTCHA:

  • Menerapkan model respons dan membuat penilaian:

    1. Membuat dan menerapkan model respons yang disesuaikan untuk risiko berbasis skor.

      Contoh berikut menunjukkan contoh model respons:

      • Untuk nilai minimum skor rendah hingga menengah (0,0-0,5), tantang pengguna akhir dengan autentikasi multi-faktor melalui email atau SMS.
      • Untuk nilai minimum skor tertinggi (> 0,5), izinkan pengguna akhir melanjutkan tanpa tantangan apa pun.
    2. Saat membuat penilaian, pastikan nilai expectedAction cocok dengan nilai action yang Anda tentukan saat menginstal kunci situs berbasis skor di halaman web Anda. Jika tidak cocok, jangan izinkan autentikasi.

  • Jika pengguna akhir menggunakan browser web yang menonaktifkan JavaScript, lakukan hal berikut:

    1. Blokir pengguna akhir tersebut.
    2. Beri tahu pengguna akhir bahwa situs Anda memerlukan JavaScript untuk melanjutkan.

  • Pastikan promise grecaptcha.enterprise.ready terpenuhi untuk mencegah browser pengguna akhir yang memblokir skrip Google agar tidak dimuat. Hal ini menunjukkan bahwa reCAPTCHA JavaScript API dimuat sepenuhnya dan tidak mengalami error.

  • Untuk API khusus web, sebaiknya teruskan token reCAPTCHA atau hasil penilaian Fraud Defense ke API backend, lalu hanya izinkan tindakan API jika token reCAPTCHA valid dan memenuhi nilai minimum skor. Hal ini memastikan bahwa pengguna akhir tidak menggunakan API tanpa melalui situs.

Langkah berikutnya