Best practice per la protezione dalle minacce automatizzate

Google Cloud Fraud Defense ti aiuta a proteggere le tue applicazioni web dalle minacce critiche identificate in OWASP Automated Threats (OAT) to Web Applications. Per ogni minaccia, questo documento fornisce opzioni di implementazione minime e ottimali per aiutarti a scegliere la strategia di mitigazione più adatta ai requisiti di sicurezza e all'ambiente della tua organizzazione.

Scegli un'implementazione in base alle esigenze di lotta alle frodi della tua organizzazione: un'implementazione ottimale applica le funzionalità di Fraud Defense pertinenti per una protezione completa, mentre un'implementazione minima fornisce difese di base. Per ulteriori informazioni sulle strategie di mitigazione delle frodi per il tuo caso d'uso, contatta il nostro team di vendita.

Carding

Il carding è una minaccia automatizzata in cui gli utenti malintenzionati effettuano più tentativi di autorizzazione dei pagamenti per verificare la validità dei dati delle carte di pagamento rubati in blocco.

Implementazione minima

  1. Installa le chiavi sito della casella di controllo su tutte le pagine in cui gli utenti finali devono inserire i dati della carta di credito. Per scoprire come installare le chiavi di sito della casella di controllo, consulta Installa chiavi di sito della casella di controllo (verifica con casella di controllo) sui siti web.

  2. Crea valutazioni per tutti i token. Per scoprire come creare valutazioni, consulta Crea una valutazione.

Implementazione ottimale

  1. Installa chiavi di sito basate sul punteggio in tutte le pagine in cui gli utenti finali devono inserire i dati della carta di credito. Specifica un'azione nel parametro action, ad esempio card_entry. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.

  2. Installa reCAPTCHA per il workflow di pagamento sul tuo sito web. Per scoprire come proteggere il tuo workflow di pagamento, consulta Proteggi i workflow di pagamento.

  3. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.

  4. Salva tutti gli ID valutazione e annota le valutazioni che si trasformano in acquisti fraudolenti o storni di addebito come fraudulent. Per scoprire come annotare le valutazioni, consulta Annota una valutazione.

Strategia di mitigazione delle frodi

Dopo aver implementato Fraud Defense, utilizza una delle seguenti strategie di mitigazione delle frodi per proteggere il tuo sito web dal carding:

  • Installa reCAPTCHA per il workflow di pagamento sul tuo sito web. Per scoprire come proteggere il tuo workflow di pagamento, consulta Proteggi i workflow di pagamento.

  • Configura le API di gestione delle carte per assicurarti che i token reCAPTCHA siano validi e che i punteggi siano superiori al valore di soglia.

    Se i punteggi non raggiungono o superano il valore di soglia specificato, non eseguire un'autorizzazione della carta o non consentire all'utente finale di utilizzare la carta. Se possibile, consenti che la transazione prosegua al momento dell'acquisto, ma annullala in un secondo momento per evitare di avvisare l'utente malintenzionato.

  • Quando crei le valutazioni, assicurati che soddisfino i seguenti criteri per una transazione riuscita:

    • Tutti i token valutati sono validi e hanno un punteggio superiore a un valore di soglia specificato.
    • Il valore di expectedAction corrisponde al valore di action specificato durante l'installazione delle chiavi sito basate su punteggio nelle tue pagine web. Per scoprire come verificare le azioni, consulta Verifica le azioni.

    Se una transazione non soddisfa questi criteri, non eseguire un'autorizzazione della carta né consentire all'utente finale di utilizzare la carta. Se possibile, consenti che la transazione prosegua al momento dell'acquisto, ma annullala in un secondo momento per evitare di avvisare l'utente malintenzionato.

Card cracking

Il card cracking è una minaccia automatizzata in cui gli utenti malintenzionati identificano i valori mancanti per la data di inizio, la data di scadenza e i codici di sicurezza dei dati delle carte di pagamento rubate provando valori diversi.

Implementazione minima

  1. Installa le chiavi di sito con casella di controllo su tutte le pagine in cui gli utenti finali devono inserire i propri dati di pagamento, incluse le funzioni di checkout e aggiunta di un metodo di pagamento. Per scoprire come installare le chiavi di sito della casella di controllo, consulta Installa chiavi di sito della casella di controllo (verifica con casella di controllo) sui siti web.

  2. Crea valutazioni per tutti i token. Per scoprire come creare valutazioni, consulta Crea una valutazione.

Implementazione ottimale

  1. Installa chiavi di sito basate sul punteggio in tutte le pagine in cui gli utenti finali devono inserire i propri dati di pagamento. Specifica un'azione nel parametro action, ad esempio checkout o add_pmtmethod. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.

  2. Installa reCAPTCHA per il workflow di pagamento sul tuo sito web. Per scoprire come proteggere il tuo workflow di pagamento, consulta Proteggi i workflow di pagamento.

  3. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.

  4. Salva tutti gli ID valutazione e annota le valutazioni che si trasformano in acquisti fraudolenti o storni di addebito come fraudulent. Per scoprire come annotare le valutazioni, consulta Annota una valutazione.

Strategia di mitigazione delle frodi

Dopo aver implementato Fraud Defense, utilizza una delle seguenti strategie di mitigazione delle frodi per proteggere il tuo sito web dal card cracking:

  • Installa reCAPTCHA per il workflow di pagamento sul tuo sito web. Per scoprire come proteggere il tuo workflow di pagamento, consulta Proteggi i workflow di pagamento.

  • Implementa un modello di risposta e crea valutazioni:

    1. Crea e implementa un modello di risposta adattato al rischio basato sul punteggio.

      L'esempio seguente mostra un modello di risposta di esempio:

      • Per una soglia di punteggio da bassa a intermedia (0,0-0,5), utilizza la gestione del rischio basata sul contesto, ad esempio limitando il numero di tentativi e bloccando gli acquisti oltre un valore specificato.
      • Per la soglia di punteggio più alta (> 0,5), consenti all'utente finale di procedere senza alcuna verifica.

    2. Quando crei le valutazioni, assicurati che il valore di expectedAction corrisponda al valore di action specificato durante l'installazione delle chiavi di sito basate sul punteggio nelle tue pagine web. Se non corrispondono, non eseguire un'autorizzazione della carta né consentire all'utente finale di utilizzare la carta. Se possibile, consenti che la transazione prosegua al momento dell'acquisto, ma annullala in un secondo momento per evitare di avvisare l'utente malintenzionato.

Credential cracking

La violazione delle credenziali è una minaccia automatizzata in cui gli utenti malintenzionati identificano credenziali di accesso valide provando diversi valori per nomi utente e password.

Implementazione minima

  1. Installa le chiavi sito della casella di controllo su tutte le pagine in cui gli utenti finali devono inserire le proprie credenziali, incluse le funzioni di accesso e password dimenticata. Per scoprire come installare le chiavi di sito della casella di controllo, consulta Installa chiavi di sito della casella di controllo (verifica con casella di controllo) sui siti web.

  2. Crea valutazioni per tutti i token. Per scoprire come creare valutazioni, consulta Crea una valutazione.

Implementazione ottimale

  1. Installa chiavi di sito basate sul punteggio in tutte le pagine in cui gli utenti finali devono inserire le proprie credenziali. Specifica un'azione nel parametro action, ad esempio login o authenticate. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.
  2. Consigliato: implementa reCAPTCHA Password defense per tutti i tentativi di autenticazione. Per scoprire come utilizzare Password defense, consulta Rileva la divulgazione di password e le violazioni delle credenziali.
  3. (Facoltativo) Per abilitare il blocco delle interazioni con volumi elevati e punteggi reCAPTCHA bassi, integra reCAPTCHA con un web application firewall (WAF). Ad esempio, puoi utilizzare l'integrazione di reCAPTCHA per WAF e Google Cloud Armor.
  4. Implementa reCAPTCHA Account Defender per monitorare il comportamento degli utenti finali durante gli accessi e ricevere indicatori aggiuntivi che possono indicare un ATO. Per scoprire come utilizzare reCAPTCHA account defender, consulta Rileva e previeni le attività fraudolente relative all'account.
  5. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.
  6. Salva tutti gli ID valutazione e annota la valutazione che sembra fraudolenta, ad esempio takeover dell'account (ATO) o qualsiasi altra attività fraudolenta. Per scoprire come annotare le valutazioni, consulta Annota una valutazione.

Strategia di mitigazione delle frodi

Dopo aver implementato Fraud Defense, utilizza la seguente strategia di mitigazione delle frodi per proteggere il tuo sito web dal cracking delle credenziali:

  1. Crea e implementa un modello di risposta adattato al rischio basato sul punteggio.

    L'esempio seguente mostra un modello di risposta di esempio:

    • Per una soglia di punteggio da bassa a intermedia (0,0-0,5), verifica l'utente finale con l'autenticazione a più fattori tramite email o SMS.
    • Per la soglia di punteggio più alta (> 0,5), consenti all'utente finale di procedere senza alcuna verifica.
  2. Termina o interrompi le sessioni per gli utenti finali che eseguono correttamente l'autenticazione, ma ricevono una risposta credentialsLeaked: true da reCAPTCHA Password defense, e invia un'email agli utenti finali per modificare la password.
  3. Quando crei le valutazioni, assicurati che il valore di expectedAction corrisponda al valore di action specificato durante l'installazione delle chiavi di sito basate sul punteggio nelle tue pagine web. Se non corrispondono, non consentire l'autenticazione.

Credential stuffing

Il credential stuffing è una minaccia automatizzata in cui gli utenti malintenzionati utilizzano tentativi di accesso di massa per verificare la validità delle coppie nome utente/password rubate.

Implementazione minima

  1. Installa le chiavi sito della casella di controllo su tutte le pagine in cui gli utenti finali devono inserire le proprie credenziali, incluse le funzioni di accesso e password dimenticata. Per scoprire come installare le chiavi di sito della casella di controllo, consulta Installa chiavi di sito della casella di controllo (verifica con casella di controllo) sui siti web.

  2. Crea valutazioni per tutti i token. Per scoprire come creare valutazioni, consulta Crea una valutazione.

Implementazione ottimale

  1. Installa chiavi di sito basate sul punteggio in tutte le pagine in cui gli utenti finali devono inserire le proprie credenziali. Specifica un'azione nel parametro action, ad esempio login o authenticate. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.
  2. Consigliato: implementa reCAPTCHA Password defense per tutti i tentativi di autenticazione. Per scoprire come utilizzare Password defense, consulta Rileva la divulgazione di password e le violazioni delle credenziali.
  3. Implementa reCAPTCHA Account Defender per monitorare il comportamento degli utenti finali durante gli accessi e ricevere indicatori aggiuntivi che possono indicare un ATO. Per scoprire come utilizzare reCAPTCHA account defender, consulta Rileva e previeni le attività fraudolente relative all'account.

  4. (Facoltativo) Per abilitare il blocco delle interazioni con volumi elevati e punteggi reCAPTCHA bassi, integra reCAPTCHA con un web application firewall (WAF). Ad esempio, puoi utilizzare l'integrazione di reCAPTCHA per WAF e Google Cloud Armor.

  5. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.

  6. Salva tutti gli ID valutazione e annota le valutazioni che si trasformano in acquisti fraudolenti o storni di addebito come fraudulent. Per scoprire come annotare le valutazioni, consulta Annota una valutazione.

Strategia di mitigazione delle frodi

Dopo aver implementato Fraud Defense, utilizza la seguente strategia di mitigazione delle frodi per proteggere il tuo sito web dal credential stuffing:

  1. Crea e implementa un modello di risposta adattato al rischio basato sul punteggio.

    L'esempio seguente mostra un modello di risposta di esempio:

    • Per la soglia di punteggio reCAPTCHA più bassa (0,0), informa l'utente finale che la password non è corretta.
    • Per la soglia di punteggio intermedia (0,1-0,5), verifica l'utente finale con l'autenticazione a più fattori tramite email o SMS.
    • Per la soglia di punteggio più alta (> 0,5), consenti all'utente finale di procedere senza alcuna verifica.
  2. Termina o interrompi le sessioni per gli utenti finali che eseguono correttamente l'autenticazione, ma ricevono una risposta credentialsLeaked: true da reCAPTCHA Password defense, e invia un'email agli utenti finali per modificare la password.
  3. Quando crei le valutazioni, assicurati che il valore di expectedAction corrisponda al valore di action specificato durante l'installazione delle chiavi di sito basate sul punteggio nelle tue pagine web. Se non corrispondono, non consentire l'autenticazione.
  4. Nella tua valutazione, se accountDefenderAssessment=PROFILE_MATCH, consenti all'utente finale di procedere senza alcuna verifica.

Prelevare

Il cashing out è una minaccia automatizzata in cui gli utenti malintenzionati ottengono valuta o articoli di alto valore tramite l'utilizzo di carte di pagamento rubate e precedentemente convalidate.

Implementazione minima

  1. Installa chiavi di sito basate sul punteggio su tutte le pagine in cui è possibile effettuare il pagamento. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.
  2. Crea valutazioni per tutti i token. Per scoprire come creare valutazioni, consulta Crea una valutazione.

Implementazione ottimale

  1. Installa le chiavi di sito basate sul punteggio in tutte le pagine in cui gli utenti finali inseriscono i dati della carta regalo. Specifica un'azione, ad esempio add_gift_card. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.

  2. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.

  3. Salva tutti gli ID valutazione e annota le transazioni fraudolente.

Strategia di mitigazione delle frodi

Dopo aver implementato Fraud Defense, utilizza la seguente strategia di mitigazione delle frodi per proteggere il tuo sito web dal prelievo di denaro:

  • Installa reCAPTCHA per il workflow di pagamento sul tuo sito web. Per scoprire come proteggere il tuo workflow di pagamento, consulta Proteggi i workflow di pagamento.

  • Implementa un modello di risposta e crea valutazioni:

    1. Crea e implementa un modello di risposta adattato al rischio basato sul punteggio.

      L'esempio seguente mostra un modello di risposta di esempio:

      • Per una soglia di punteggio da bassa a intermedia (0,0-0,5), utilizza la gestione del rischio basata sul contesto, ad esempio limitando il numero di tentativi e bloccando gli acquisti oltre un valore specificato.
      • Per la soglia di punteggio più alta (> 0,5), consenti all'utente finale di procedere senza alcuna verifica.
    2. Quando crei le valutazioni, assicurati che il valore di expectedAction corrisponda al valore di action specificato durante l'installazione delle chiavi di sito basate sul punteggio nelle tue pagine web. Se non corrispondono, non consentire l'autenticazione. Se possibile, consenti che la transazione prosegua al momento dell'acquisto, ma annullala in un secondo momento per evitare di avvisare l'utente malintenzionato.

Creazione di un account

La creazione di account è una minaccia automatizzata in cui gli utenti malintenzionati creano più account per un successivo uso improprio.

Implementazione minima

  1. Installa le chiavi sito della casella di controllo su tutte le pagine in cui gli utenti finali devono inserire le proprie credenziali, incluse le funzioni di accesso e password dimenticata. Per scoprire come installare le chiavi di sito della casella di controllo, consulta Installa chiavi di sito della casella di controllo (verifica con casella di controllo) sui siti web.

  2. Crea valutazioni per tutti i token. Per scoprire come creare valutazioni, consulta Crea una valutazione.

Implementazione ottimale

  1. Installa chiavi di sito basate sul punteggio in tutte le pagine in cui vengono creati gli account. Specifica un'azione nel parametro action, ad esempio register. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.
  2. Consigliato: implementa reCAPTCHA Password defense per tutti i tentativi di autenticazione. Per scoprire come utilizzare Password defense, consulta Rileva la divulgazione di password e le violazioni delle credenziali.
  3. Implementa Account defense di Fraud Defense per ricevere indicatori aggiuntivi che segnalano la creazione di account falsi. Per scoprire come utilizzare reCAPTCHA account defender, consulta Rileva e previeni le attività fraudolente relative all'account.

  4. (Facoltativo) Per abilitare il blocco delle interazioni con volumi elevati e punteggi reCAPTCHA bassi, integra reCAPTCHA con un web application firewall (WAF). Ad esempio, puoi utilizzare l'integrazione di reCAPTCHA per WAF e Google Cloud Armor.

  5. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.

  6. Salva tutti gli ID valutazione e annota le transazioni fraudolente.

Strategia di mitigazione delle frodi

Dopo aver implementato Fraud Defense, utilizza la seguente strategia di mitigazione delle frodi per proteggere il tuo sito web dalla creazione di account:

  1. Crea e implementa un modello di risposta adattato al rischio basato sul punteggio.

    L'esempio seguente mostra un modello di risposta di esempio:

    • Per la soglia di punteggio reCAPTCHA più bassa (0,0), limita le azioni dell'account finché non viene sottoposto a ulteriori controlli antifrode.
    • Per la soglia di punteggio intermedia (0,1-0,5), verifica l'utente finale con l'autenticazione a più fattori tramite email o SMS.
    • Per la soglia di punteggio più alta (> 0,5), consenti all'utente finale di procedere senza alcuna verifica.
  2. Termina o interrompi le sessioni per gli utenti finali che eseguono correttamente l'autenticazione, ma ricevono una risposta credentialsLeaked: true da Fraud Defense Password defense, quindi chiedi all'utente di selezionare una nuova password.
  3. Quando crei le valutazioni, assicurati che il valore di expectedAction corrisponda al valore di action specificato durante l'installazione delle chiavi di sito basate sul punteggio nelle tue pagine web. Se non corrispondono, non consentire la registrazione o la creazione dell'account.
  4. Nella tua valutazione, se accountDefenderAssessment=SUSPICIOUS_ACCOUNT_CREATION, limita l'accesso all'account finché non sarà possibile eseguire un'ulteriore convalida.

Modifiche fraudolente di account e indirizzi

Gli utenti malintenzionati potrebbero tentare di modificare i dettagli dell'account, inclusi indirizzi email, numeri di telefono o indirizzi postali, nell'ambito di attività fraudolente o takeover dell'account.

Implementazione minima

  1. Installa le chiavi sito della casella di controllo su tutte le pagine in cui gli utenti finali devono inserire le proprie credenziali, incluse le funzioni di accesso e password dimenticata. Per scoprire come installare le chiavi di sito della casella di controllo, consulta Installa chiavi di sito della casella di controllo (verifica con casella di controllo) sui siti web.

  2. Crea valutazioni per tutti i token. Per scoprire come creare valutazioni, consulta Crea una valutazione.

Implementazione ottimale

  1. Installa chiavi di sito basate sul punteggio in tutte le pagine in cui vengono creati gli account. Specifica un'azione nel parametro action, ad esempio change_telephone o change_physicalmail. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.

  2. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.

  3. Implementa reCAPTCHA Account Defender per monitorare il comportamento degli utenti finali durante gli accessi e ricevere indicatori aggiuntivi che possono indicare un ATO. Per scoprire come utilizzare reCAPTCHA account defender, consulta Rileva e previeni le attività fraudolente relative all'account.

  4. Salva tutti gli ID valutazione e annota le transazioni fraudolente.

Strategia di mitigazione delle frodi

Dopo aver implementato Fraud Defense, utilizza la seguente strategia di mitigazione delle frodi per proteggere il tuo sito web da modifiche fraudolente di account e indirizzi:

  1. Crea e implementa un modello di risposta adattato al rischio basato sul punteggio.

    L'esempio seguente mostra un modello di risposta di esempio:

    • Per una soglia di punteggio da bassa a intermedia (0,0-0,5), verifica l'utente finale con l'autenticazione a più fattori tramite email o SMS.
    • Per la soglia di punteggio più alta (> 0,5), consenti all'utente finale di procedere senza alcuna verifica.

  2. Quando crei le valutazioni, assicurati che il valore di expectedAction corrisponda al valore di action specificato durante l'installazione delle chiavi di sito basate sul punteggio nelle tue pagine web. Se non corrispondono, non consentire modifiche all'account.

  3. Nella valutazione, se accountDefenderAssessment non ha l'etichetta PROFILE_MATCH, chiedi all'utente finale di eseguire l'autenticazione a più fattori tramite email o SMS.

Cracking dei token

Il token cracking è una minaccia automatizzata in cui gli utenti malintenzionati eseguono l'enumerazione di massa di numeri di coupon, codici di voucher e token di sconto.

Implementazione minima

  1. Installa le chiavi di sito con casella di controllo su tutte le pagine in cui gli utenti finali devono inserire i dati della carta regalo. Per scoprire come installare le chiavi di sito della casella di controllo, consulta Installa chiavi di sito della casella di controllo (verifica con casella di controllo) sui siti web.

  2. Crea valutazioni per tutti i token. Per scoprire come creare valutazioni, consulta Crea una valutazione.

Implementazione ottimale

  1. Installa chiavi di sito basate sul punteggio in tutte le pagine in cui gli utenti finali devono inserire i dati della carta regalo. Specifica un'azione, ad esempio gift_card_entry. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.

  2. (Facoltativo) Per abilitare il blocco delle interazioni con volumi elevati e punteggi reCAPTCHA bassi, integra reCAPTCHA con un web application firewall (WAF). Ad esempio, puoi utilizzare l'integrazione di reCAPTCHA per WAF e Google Cloud Armor.

  3. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.

  4. Salva tutti gli ID valutazione e annota le valutazioni che si trasformano in carte regalo o coupon fraudolenti.

Strategia di mitigazione delle frodi

Dopo aver implementato Fraud Defense, utilizza una delle seguenti strategie di mitigazione delle frodi per proteggere il tuo sito web dal cracking dei token:

  • Configura le API di gestione delle carte per assicurarti che i token reCAPTCHA siano validi e che i punteggi siano superiori al valore di soglia.

    Se i punteggi non raggiungono o superano la soglia specificata, non eseguire un'autorizzazione della carta regalo o della carta di credito e non consentire all'utente finale di utilizzare il coupon o la carta regalo. Se possibile, consenti che la transazione prosegua al momento dell'acquisto, ma annullala in un secondo momento per evitare di avvisare l'utente malintenzionato.

  • Quando crei le valutazioni, assicurati che soddisfino i seguenti criteri per una transazione riuscita:

    • Tutti i token valutati sono validi e hanno un punteggio superiore a un valore di soglia specificato.
    • Il valore di expectedAction corrisponde al valore di action specificato durante l'installazione delle chiavi sito basate su punteggio nelle tue pagine web. Per scoprire come verificare le azioni, consulta Verifica le azioni.

    Se una transazione non soddisfa questi criteri, non eseguire un'autorizzazione della carta regalo o della carta di credito e non consentire all'utente finale di utilizzare il coupon o la carta regalo. Se possibile, consenti che la transazione prosegua al momento dell'acquisto, ma annullala in un secondo momento per evitare di avvisare l'utente malintenzionato.

Scalping

Lo scalping è una minaccia automatizzata in cui gli utenti malintenzionati ottengono beni o servizi con disponibilità limitata e preferiti con metodi sleali.

Implementazione minima

  1. Installa chiavi di sito basate sul punteggio in tutte le pagine in cui gli utenti finali devono inserire i dati della carta regalo. Specifica un'azione nel parametro action, ad esempio add_to_cart. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.
  2. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.

Implementazione ottimale

  1. Installa chiavi di sito basate sul punteggio in tutte le pagine in cui gli utenti finali devono inserire i dati della carta regalo. Specifica un'azione nel parametro action, ad esempio add_to_cart. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.

  2. (Facoltativo) Per abilitare il blocco delle interazioni con volumi elevati e punteggi reCAPTCHA bassi, integra reCAPTCHA con un web application firewall (WAF). Ad esempio, puoi utilizzare l'integrazione di reCAPTCHA per WAF e Google Cloud Armor.

  3. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.

  4. Salva tutti gli ID valutazione e annota le transazioni fraudolente.

Strategia di mitigazione delle frodi

Dopo aver implementato Fraud Defense, utilizza la seguente strategia di mitigazione delle frodi per proteggere il tuo sito web dallo scalping:

  1. Crea e implementa un modello di risposta adattato al rischio basato sul punteggio.

    L'esempio seguente mostra un modello di risposta di esempio:

    • Per una soglia di punteggio da bassa a intermedia (0,0-0,5), utilizza la gestione del rischio basata sul contesto, ad esempio limitando il numero di tentativi e bloccando gli acquisti oltre un valore specificato.
    • Per la soglia di punteggio più alta (> 0,5), consenti all'utente finale di procedere senza alcuna verifica.

  2. Quando crei le valutazioni, assicurati che il valore di expectedAction corrisponda al valore di action specificato durante l'installazione delle chiavi di sito basate sul punteggio nelle tue pagine web. Se non corrispondono, non eseguire l'autorizzazione della carta regalo.

Inclinazione

Lo skewing è una minaccia automatizzata in cui gli utenti malintenzionati utilizzano clic ripetuti sui link, richieste di pagine o invii di moduli per alterare alcune metriche.

Implementazione minima

  1. Installa chiavi di sito basate sul punteggio su tutte le pagine in cui è possibile che le metriche vengano alterate. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.
  2. Crea valutazioni per tutti i token. Per scoprire come creare valutazioni, consulta Crea una valutazione.

Implementazione ottimale

  1. Installa chiavi di sito basate sul punteggio su tutte le pagine in cui è possibile che le metriche vengano alterate. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.

  2. (Facoltativo) Per abilitare il blocco delle interazioni con volumi elevati e punteggi reCAPTCHA bassi, integra reCAPTCHA con un web application firewall (WAF). Ad esempio, puoi utilizzare l'integrazione di reCAPTCHA per WAF e Google Cloud Armor.

  3. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.

  4. Salva tutti gli ID valutazione e annota le transazioni fraudolente.

Strategia di mitigazione delle frodi

Dopo aver implementato Fraud Defense, utilizza la seguente strategia di mitigazione delle frodi per proteggere il tuo sito web da distorsioni:

Crea e implementa un modello di risposta adattato al rischio basato sul punteggio.

L'esempio seguente mostra un modello di risposta di esempio:

  • Per una soglia di punteggio da bassa a intermedia (0,0-0,5), utilizza la gestione del rischio basata sul contesto, ad esempio monitorando il numero di volte in cui un utente ha fatto clic su un annuncio o il numero di volte in cui un utente ha ricaricato la pagina. Utilizza questi dati per determinare se conteggiare la metrica.
  • Per la soglia di punteggio più alta (> 0,5), consenti all'utente finale di procedere senza alcuna verifica.

Scraping

Lo scraping è una minaccia automatizzata in cui gli utenti malintenzionati raccolgono dati o artefatti del sito web in modo automatico.

Implementazione minima

  1. Installa le chiavi sito basate sul punteggio su tutte le pagine che contengono informazioni importanti e sulle pagine di interazione comuni degli utenti finali. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.
  2. Crea valutazioni per tutti i token. Per scoprire come creare valutazioni, consulta Crea una valutazione.

Implementazione ottimale

  1. Installa le chiavi sito basate sul punteggio su tutte le pagine che contengono informazioni importanti e sulle pagine di interazione comuni degli utenti finali. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.

  2. (Facoltativo) Per abilitare il blocco delle interazioni con volumi elevati e punteggi reCAPTCHA bassi, integra reCAPTCHA con un web application firewall (WAF). Ad esempio, puoi utilizzare l'integrazione di reCAPTCHA per WAF e Google Cloud Armor.

  3. Crea valutazioni per tutti i token. Per scoprire come creare valutazioni, consulta Crea una valutazione.

  4. Salva tutti gli ID valutazione e annota le transazioni fraudolente.

Strategia di mitigazione delle frodi

Dopo aver implementato Fraud Defense, utilizza le seguenti strategie di mitigazione delle frodi per proteggere il tuo sito web dallo scraping:

Superamento del CAPTCHA

La violazione dei CAPTCHA è una minaccia automatizzata in cui gli utenti malintenzionati utilizzano l'automazione nel tentativo di analizzare e determinare la risposta ai test CAPTCHA visivi e/o acustici e ai relativi puzzle.

Implementazione minima

  1. Installa chiavi di sito basate su punteggio su tutte le pagine che prevedono l'input utente dell'utente finale, la creazione di account, i dati di pagamento o le interazioni dell'utente finale con il potenziale di attività fraudolente. Specifica un'azione descrittiva nel parametro action. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.

  2. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.

Implementazione ottimale

  1. Installa chiavi di sito basate su punteggio su tutte le pagine che prevedono l'input utente dell'utente finale, la creazione di account, i dati di pagamento o le interazioni dell'utente finale con il potenziale di attività fraudolente. Specifica un'azione descrittiva nel parametro action. Per scoprire come installare le chiavi di sito basate sul punteggio, consulta Installa chiavi di sito basate sul punteggio (senza verifica) sui siti web.

  2. (Facoltativo) Per abilitare il blocco delle interazioni con volumi elevati e punteggi reCAPTCHA bassi, integra reCAPTCHA con un web application firewall (WAF). Ad esempio, puoi utilizzare l'integrazione di reCAPTCHA per WAF e Google Cloud Armor.

  3. Crea valutazioni per tutti i token e imposta expectedAction in modo che corrisponda al valore di action che hai specificato durante l'installazione delle chiavi sito basate sul punteggio. Per scoprire come creare valutazioni, consulta Crea una valutazione.

  4. Salva tutti gli ID valutazione e annota le valutazioni che si trasformano in acquisti fraudolenti o storni di addebito come fraudulent. Per scoprire come annotare le valutazioni, consulta Annota una valutazione.

Strategia di mitigazione delle frodi

Dopo aver implementato Fraud Defense, utilizza una delle seguenti strategie di mitigazione delle frodi per proteggere il tuo sito web dalla violazione dei CAPTCHA:

  • Implementa un modello di risposta e crea valutazioni:

    1. Crea e implementa un modello di risposta adattato al rischio basato sul punteggio.

      L'esempio seguente mostra un modello di risposta di esempio:

      • Per una soglia di punteggio da bassa a intermedia (0,0-0,5), verifica l'utente finale con l'autenticazione a più fattori tramite email o SMS.
      • Per la soglia di punteggio più alta (> 0,5), consenti all'utente finale di procedere senza alcuna verifica.
    2. Quando crei le valutazioni, assicurati che il valore di expectedAction corrisponda al valore di action specificato durante l'installazione delle chiavi di sito basate sul punteggio nelle tue pagine web. Se non corrispondono, non consentire l'autenticazione.

  • Se gli utenti finali utilizzano browser web con JavaScript disattivato, segui questi passaggi:

    1. Bloccare gli utenti finali.
    2. Informa gli utenti finali che il tuo sito web richiede JavaScript per procedere.

  • Assicurati che la promessa grecaptcha.enterprise.ready venga mantenuta per evitare che i browser degli utenti finali blocchino il caricamento dello script di Google. Ciò indica che l'API JavaScript reCAPTCHA è stata caricata completamente e non ha riscontrato errori.

  • Per le API solo web, ti consigliamo di passare il token reCAPTCHA o il risultato della valutazione di Fraud Defense all'API di backend e di consentire l'azione dell'API solo se il token reCAPTCHA è valido e soddisfa un valore di soglia del punteggio. In questo modo, l'utente finale non utilizza l'API senza passare attraverso il sito web.

Passaggi successivi