En bref : logiciel de détection de fraude au paiement
- Le manque : Il y a un fossé de preuves au checkout. Les scores de risque côté serveur ratent la continuité d'appareil côté client que Visa CE 3.0 exige.
- Les chiffres : 60-80% des chargebacks e-commerce sont de la fraude amicale, pas criminelle. Les preuves standards gagnent 15-20%. Les preuves CE 3.0 gagnent 40-60%.
- La solution : L'empreinte d'appareil au checkout capture l'ensemble de signaux CE 3.0. Même appareil sur des commandes antérieures non contestées crée une présomption de légitimité.
Peu de temps ? Découvrez les outils de preuve de chargeback de cside. Elle couvre tout ce qui suit en un seul déploiement.
Le déficit de preuves dans la fraude au paiement
Une transaction frauduleuse et une transaction légitime sont identiques dans la base de données. Le numéro de carte a passé la validation, l'adresse de facturation correspondait, le CVV était correct et la commande a été expédiée. La différence n'apparaît que lorsque le vrai titulaire de la carte conteste la transaction, généralement 30 à 90 jours plus tard.
À ce moment-là, la session navigateur a disparu. L'empreinte de l'appareil, le statut VPN ou proxy et la manière dont le formulaire de paiement a été rempli n'existaient que dans le navigateur pendant ces quelques minutes. Si rien ne l'a enregistré à l'instant T, cela ne peut pas être reconstitué. Les marchands perdent des litiges qu'ils devraient gagner, non pas parce que la transaction était authentique, mais parce qu'ils ne peuvent pas produire les preuves de session qui trancheraient l'affaire.
Ce qu'il faut capturer au moment de la transaction
Cinq signaux existent dans le navigateur pendant une session de paiement, et aucun d'eux ne survit dans l'enregistrement de la transaction. Tous comptent à la fois pour la décision en temps réel et pour le litige ultérieur.
- Empreinte de l'appareil. Un identifiant stable de l'appareil qui persiste malgré le mode navigation privée, l'utilisation d'un VPN et l'effacement des cookies. Il vous permet de corréler la transaction avec l'activité antérieure du même appareil. Un appareil sans historique pour ce titulaire de carte, ou déjà lié à des litiges passés, mérite qu'on agisse.
- Indicateur d'agent IA. Une part croissante du card testing et de la fraude au paiement passe par des agents autonomes plutôt que par une personne saisissant des numéros de carte à la main. Le fait de savoir si un paiement a été piloté par un outil automatisé est un élément déterminant dans un litige, et il n'est visible que dans le navigateur.
- Statut VPN et proxy. Les fraudeurs masquent leur localisation via des VPN et des proxys résidentiels. Le fingerprinting TLS révèle une connexion anonymisée pendant la session ; l'adresse IP de l'enregistrement de la transaction, non.
- Comportement de session. Un humain marque une pause pour relire un numéro de carte, hésite avant de confirmer et déplace le curseur avec une imprécision organique. Un paiement scripté, non. Cette différence est mesurable dans le navigateur et invisible dans l'enregistrement du paiement.
- Rejeu de session. Un enregistrement horodaté de ce qui s'est passé à l'écran est la forme de preuve la plus directement lisible par un humain au moment de la transaction.
Comment ces preuves sont utilisées dans les litiges
Le cadre Compelling Evidence 3.0 de Visa accepte les données d'empreinte d'appareil et les preuves de session dans les litiges de rétrofacturation. Cela donne aux preuves de la couche navigateur capturées au moment de la transaction une voie définie vers la procédure formelle de litige.
Une empreinte d'appareil montrant que l'appareil connu du titulaire de la carte était présent au moment de la transaction contestée peut être décisive face à une réclamation de fraude amicale. Un rejeu de session montrant une interaction humaine naturelle appuie le même dossier. Un indicateur VPN ou une détection d'agent IA renforce la position d'un marchand lorsque la transaction était réellement frauduleuse. L'exigence est la même dans tous les cas : la preuve doit être capturée pendant la session et exportable dans un format accepté par la procédure de litige. Un export au format CE 3.0 qui regroupe l'identifiant de l'appareil, le rejeu de session et l'horodatage est le résultat qui fait réellement avancer un litige.
Comment fonctionne la détection au niveau du navigateur en pratique
Un outil de lutte contre la fraude au paiement au niveau du navigateur s'exécute sous la forme d'un script conforme à la norme PCI sur la page de paiement. Il se charge avec la page, collecte les cinq signaux ci-dessus pendant la session et les met à disposition en temps réel et pour un export ultérieur. Un dossier de preuves CE 3.0 comprenant l'identifiant de l'appareil, le rejeu de session et l'horodatage peut être généré en quelques secondes.
La même approche couvre le card testing, où les attaquants effectuent de petites transactions automatisées pour valider des numéros de carte volés avant un achat plus important. Ces séries sont pilotées par des outils automatisés, détectables par leur comportement de session même lorsque chaque débit individuel est trop faible pour déclencher une règle de vélocité.
cside fonctionne selon ce modèle. Il combine plus de 250 signaux par session en un score de risque en temps réel et renvoie un verdict qui signale les sessions d'agents IA et automatisées, y compris des outils nommés comme OpenAI Operator, Claude for Chrome, Playwright, Puppeteer et Selenium. cside s'intègre à Chargebacks911, et les marchands qui utilisent les deux peuvent extraire un dossier de preuves CE 3.0 par litige. Découvrez l'approche de cside sur la page dédiée aux preuves de rétrofacturation.
PCI DSS 4.0.1 et le chevauchement avec la conformité
Les pages de paiement entrent dans le périmètre de la norme PCI DSS 4.0.1. L'exigence 6.4.3 impose un inventaire et des contrôles d'intégrité pour chaque script chargé sur une page de paiement, et l'exigence 11.6.1 impose une détection des altérations du contenu de la page de paiement. Les deux sont devenues obligatoires le 2025-03-31.
Un script au niveau du navigateur validé PCI remplit les deux fonctions à la fois. Il capture les signaux de fraude et les preuves de litige tout en respectant les contrôles de surveillance des scripts et de détection des altérations que la norme PCI DSS 4.0.1 impose aux pages de paiement. Les équipes gèrent souvent la détection de la fraude et la conformité PCI comme des chantiers distincts avec des outils distincts, et un script au niveau du navigateur validé réunit tout cela en un seul déploiement. cside s'exécute comme un script validé PCI et aide les marchands à respecter les exigences 6.4.3 et 11.6.1 (voir la page sur la conformité PCI).
Pour situer ce que coûte l'exposition d'une page de paiement, IBM a établi le coût moyen mondial d'une violation de données à 4,88 millions de dollars en 2024, en hausse par rapport aux années précédentes :
| Année | Coût moyen mondial d'une violation de données |
|---|---|
| 2022 | 4,35 M$ |
| 2023 | 4,45 M$ |
| 2024 | 4,88 M$ |
Source : IBM Cost of a Data Breach Report 2024. Le skimming des pages de paiement et la fraude au paiement représentent une part significative de cette exposition pour les marchands.
Ce que la détection de la fraude au paiement ne résout pas
La détection au niveau du navigateur ne peut pas empêcher qu'une carte volée soit utilisée en premier lieu. Une fois qu'un numéro de carte est compromis, quelqu'un peut tenter de s'en servir. Ce que fait la couche navigateur, c'est créer les preuves qui décident de la suite.
Pour les transactions réellement frauduleuses, ces preuves établissent les faits de la session et permettent soit un blocage en temps réel, soit une défense contre un litige après la transaction. Pour les réclamations de fraude amicale, où un vrai titulaire de carte conteste un achat qu'il a effectivement réalisé, les mêmes preuves montrent que l'appareil du titulaire était présent et que la session était humaine. Cela ne remplace pas les règles anti-fraude, les contrôles de vélocité ou la surveillance des réseaux de cartes. Cela comble la seule lacune que tous ces éléments laissent ouverte : la session elle-même.
