Si vous gérez une boutique en ligne, la prévention de la fraude e-commerce n'est pas un contrôle unique à l'étape du paiement. C'est un ensemble de défenses réparties sur tout le parcours client : la page de connexion, le formulaire d'inscription, le checkout, le processus de litige qui suit, et les scripts qui tournent sur vos pages en permanence. Les fraudeurs sondent chacun de ces points, presque toujours avec de l'automatisation, et un stack conçu uniquement pour scorer les transactions est aveugle aux endroits où l'attaque commence réellement.
Ce guide passe en revue les cinq types de fraude qui coûtent le plus aux marchands en ligne, comment prévenir chacun, et comment les assembler en une défense en couches plutôt qu'en un tas d'outils déconnectés. Si vous cherchez des produits précis plutôt qu'un cadre, le guide complémentaire des logiciels de prévention de la fraude e-commerce classe dix fournisseurs ; celui-ci porte sur les tâches à accomplir.
Ce qui compte comme fraude e-commerce
La fraude e-commerce est toute activité qui utilise votre boutique pour s'emparer d'argent, de marchandises, de données ou d'un accès à un compte qui n'appartiennent pas à l'acteur. La bonne façon d'y penser est selon l'endroit où elle se produit dans le parcours :
- À la connexion : détournement de compte.
- À l'inscription : abus de nouveaux comptes et de promotions.
- Au checkout : card testing et fraude au paiement.
- Après la vente : rétrofacturations et fraude amicale.
- Tout au long de la vie de la page : Magecart et skimming côté client.
Deux faits façonnent toute la défense. D'abord, l'essentiel de tout cela est automatisé, donc le premier signal fiable est comment une session se comporte et depuis quel appareil elle arrive, pas la transaction qu'elle finit par déclencher. Ensuite, une grande partie de la surface d'attaque vit dans le navigateur, où les outils côté serveur et du prestataire de paiement ne peuvent pas voir. Ces deux faits expliquent pourquoi le device intelligence et la visibilité côté client sont sous tout le reste.
Détournement de compte (ATO)
Le détournement de compte, c'est un fraudeur qui se connecte au compte d'un vrai client, généralement avec des identifiants fuités lors d'une violation et rejoués à grande échelle (credential stuffing). Une fois à l'intérieur, il vide le solde stocké, vole les cartes enregistrées, change l'adresse de livraison ou revend le compte. Javelin Strategy & Research a chiffré les pertes liées au détournement de compte aux États-Unis à 13,5 milliards de dollars en 2025, en hausse de 18 % sur un an, ce qui en fait l'une des catégories les plus coûteuses de cette liste.
Comment le prévenir. Les mots de passe seuls n'y parviendront pas, car l'attaquant en a déjà un valide. Le signal durable est l'appareil et le comportement de la session derrière la connexion :
- Le device fingerprinting repère une connexion depuis un appareil que votre client n'a jamais utilisé et relie de nombreuses tentatives échouées à une seule machine, même avec cookies effacés et IP rotatives.
- La détection de sessions automatisées et de bots signale les outils sur lesquels tourne le credential stuffing (Playwright, Puppeteer, Selenium et navigateurs agentiques) avant que le formulaire de connexion ne soit soumis à grande échelle.
- La détection de VPN et de proxy élève le risque sur les connexions cachées derrière des connexions anonymisantes, y compris les proxies résidentiels qui échappent aux listes de réputation d'IP.
- L'authentification renforcée (un code à usage unique, une nouvelle vérification) appliquée uniquement aux sessions à risque garde la friction loin de vos vrais clients.
L'objectif est de scorer la session avant la vérification des identifiants, pas après. Une analyse complète se trouve sur le cas d'usage détournement de compte.
Abus de nouveaux comptes et de promotions
Toute la fraude n'a pas besoin d'un compte volé ; certaines n'ont besoin que de beaucoup de faux. Les attaquants créent des comptes dupliqués ou synthétiques pour récolter des crédits d'inscription, des bonus de parrainage, des essais gratuits et des remises de première commande, ou pour préparer une fraude ultérieure. Cela déclenche rarement une rétrofacturation, donc cela se cache dans vos métriques de croissance sous « nouveaux utilisateurs » tout en drainant discrètement le budget promotionnel.
Comment le prévenir. L'indice est que de nombreux comptes « différents » partagent une même origine :
- La corrélation d'appareils relie les comptes créés depuis le même appareil même si l'e-mail, le nom et le moyen de paiement diffèrent, c'est le signal le plus efficace contre le farming de promotions.
- La détection de navigation privée et de navigateurs anti-détection capte les configurations privées et durcies utilisées pour ressembler à un nouveau visiteur à chaque fois.
- Les règles de vélocité par appareil, et pas seulement par IP ou e-mail, détectent les rafales d'inscriptions qu'une vue purement réseau manque.
Voir le cas d'usage fraude aux nouveaux comptes pour le détail de la détection.
Card testing
Le card testing est la manière dont les criminels valident des numéros de carte volés avant de les utiliser ailleurs. Ils lancent de grands volumes de petites autorisations ou de commandes de faible valeur contre votre checkout, gardent les cartes qui passent et jettent le reste. Même quand les débits de test sont minuscules, vous payez des frais d'autorisation, risquez des pénalités de la passerelle pour un taux de refus élevé et absorbez souvent les rétrofacturations quand le vrai titulaire s'en aperçoit.
Comment le prévenir. Le card testing est presque entièrement automatisé et à haute vélocité, ce qui le rend détectable au niveau de la session :
- La détection de bots et d'automatisation identifie les tentatives de checkout scriptées qui portent le volume.
- Le device fingerprinting relie une rafale de tentatives à un seul appareil même quand les numéros de carte et les IP changent.
- Les limites de vélocité sur les tentatives de paiement par appareil et par session freinent la boucle de test.
- CAPTCHA ou authentification renforcée sur les seules sessions à risque casse l'automatisation sans pénaliser les acheteurs authentiques.
Le cas d'usage card testing couvre l'ensemble des signaux en profondeur.
Rétrofacturations et fraude amicale
Une rétrofacturation, c'est un client qui conteste un débit auprès de sa banque. Certaines relèvent d'une vraie fraude (une carte volée), mais une part croissante est de la fraude amicale : un vrai client conteste un achat légitime, par confusion réelle ou délibérément pour obtenir la marchandise gratuitement. Dans les deux cas, vous perdez le revenu, la marchandise et des frais de litige, et trop de rétrofacturations menacent votre accord de traitement.
Comment la prévenir. Deux mouvements, dans l'ordre :
- Prévenez les transactions qui deviennent des rétrofacturations. Stopper le détournement de compte et le card testing en amont supprime une grande partie des litiges avant qu'ils n'existent.
- Gagnez celles que vous contestez grâce aux preuves. Pour la fraude amicale en particulier, la banque veut la preuve que la commande provient de l'appareil du client. La preuve au niveau de l'appareil liée à la commande (le fingerprint, le statut VPN ou proxy et le verdict de session automatisée) est ce qui fait pencher un litige en votre faveur.
cside exporte des preuves de rétrofacturation liées au même ID de device fingerprint, empaquetées pour le processus de représentation, pour que vous n'ayez pas à reconstituer ce qui s'est passé à partir des journaux après coup.
Magecart et skimming côté client
Les autres catégories concernent qui transacte. Celle-ci concerne ce qui tourne sur votre page. Les attaques de type Magecart injectent un script malveillant dans votre checkout, souvent via une dépendance tierce compromise (une balise d'analytique, un outil de test A/B, un widget de chat), et écrèment les données de carte à mesure que le client les saisit. Votre serveur ne voit jamais le vol, votre prestataire de paiement ne le voit jamais et le client termine un achat d'apparence normale.
Comment le prévenir. Vous ne pouvez pas scorer pour vous sortir d'un skimmer ; vous devez voir les scripts :
- L'inventaire des scripts et la surveillance de l'intégrité vous disent quel script tourne sur vos pages de paiement et alertent quand l'un change ou qu'un nouveau apparaît.
- La surveillance des dépendances tierces capte la voie de la chaîne d'approvisionnement, où l'attaquant compromet un fournisseur de confiance plutôt que votre propre code.
- Les exigences 6.4.3 et 11.6.1 de PCI DSS 4.0.1 rendent obligatoires l'inventaire des scripts et la surveillance des changements sur les pages de paiement, et elles sont auditées sur votre page, pas sur celle de votre prestataire.
C'est une discipline différente du scoring de fraude, et cside la couvre avec la surveillance des scripts de sécurité côté client.
Un cadre de défense en couches
Aucun produit unique n'arrête les cinq. Une prévention efficace de la fraude e-commerce combine trois choses :
- Une source de signaux au niveau du navigateur. Elle voit l'appareil, le comportement de la session, l'automatisation, la connexion VPN ou proxy et les scripts de la page, avant que la transaction ne se déclenche. C'est la couche qui manque à la plupart des stacks.
- Un moteur de décision ou de règles. Il consomme les signaux plus vos données de transaction et décide d'autoriser, de défier ou de bloquer. Ce peut être une plateforme de fraude dédiée ou vos propres règles.
- Preuves et conformité. C'est ce que vous utilisez après coup : les dossiers de représentation de rétrofacturation et les enregistrements de surveillance des scripts PCI DSS pour votre QSA.
L'échec courant est d'acheter la couche deux et de sauter la couche un, puis de se demander pourquoi la plateforme de scoring continue de manquer les attaques automatisées et les connexions depuis des appareils neufs. Le moteur de scoring ne vaut que les signaux qui l'alimentent, et les signaux les plus riches vivent dans le navigateur.
Où s'insère cside
cside est un unique script JavaScript propriétaire (first-party) qui fournit la couche au niveau du navigateur qui manque pour les cinq types de fraude ci-dessus. Comme il se charge depuis votre propre origine, il n'y a pas de domaine collecteur tiers qu'une liste de filtres ou un attaquant puisse bloquer, donc vous conservez du signal sur les visiteurs soucieux de leur vie privée.
- Device intelligence. Un device fingerprint stable construit à partir de plus de 250 signaux de navigateur, d'appareil et de réseau par session, qui conserve sa précision en navigation privée, avec VPN et à l'effacement des cookies. Il est renvoyé avec un verdict en temps réel : agents IA et sessions automatisées (OpenAI Operator, Claude for Chrome, Playwright, Puppeteer, Selenium), connexions VPN et proxy y compris les proxies résidentiels, et mode navigation privée. C'est l'entrée dont dépendent tous les types de fraude ci-dessus.
- Sécurité côté client. Inventaire des scripts et surveillance de l'intégrité pour vos pages de paiement, ce que demandent les exigences 6.4.3 et 11.6.1 de PCI DSS 4.0.1 et ce qui capte le skimming de type Magecart. Il s'agit de surveillance des scripts, une discipline distincte du nombre de signaux d'appareil ci-dessus.
- Preuves de rétrofacturation. Preuve au niveau de l'appareil liée au même ID de fingerprint, empaquetée pour la représentation.
Les signaux viennent d'une seule intégration et d'un seul contrat, et ils alimentent la plateforme de décision que vous utilisez déjà, au lieu de la remplacer. La couverture des appareils est le web aujourd'hui, avec des SDK natifs iOS et Android en bêta (accès anticipé) exécutant le même moteur que le client web.
Quels contrôles prioriser ?
- Vous perdez des comptes à cause du credential stuffing : commencez par le device fingerprinting et la détection de sessions automatisées à la connexion.
- Le budget promotions et parrainage disparaît dans de faux utilisateurs : corrélation d'appareils à l'inscription.
- Un pic de petites commandes refusées : détection de bots et limites de vélocité par appareil au checkout.
- Les rétrofacturations grignotent la marge : prévention en amont d'abord, puis preuve au niveau de l'appareil pour la représentation.
- Périmètre PCI sur votre checkout : inventaire des scripts et surveillance des changements, que le scoring de fraude ne voit jamais.
Ajustez le contrôle à la perte que vous subissez réellement, placez une source de signaux au niveau du navigateur sous votre plateforme de décision, et validez sur du trafic réel avant de vous engager. Pour une comparaison fournisseur par fournisseur, voir le guide des logiciels de prévention de la fraude e-commerce.
