Práticas recomendadas para proteção contra ameaças automatizadas

Este documento descreve as implementações recomendadas de reCAPTCHA e estratégias de redução de fraudes para se defender contra ameaças automatizadas críticas (Ameaças automatizadas (OAT) da OWASP para aplicativos da Web). Os arquitetos corporativos e as partes interessadas em tecnologia podem analisar essas informações para tomar uma decisão informada sobre a implementação do reCAPTCHA e a estratégia de mitigação de fraudes para o caso de uso.

Este documento contém as seguintes informações para cada tipo de ameaça:

  • Implementação ideal do reCAPTCHA. Essa implementação foi projetada com os recursos relevantes do reCAPTCHA para a melhor proteção contra fraudes.

  • Implementação mínima do reCAPTCHA. Essa implementação foi projetada para oferecer o mínimo de proteção contra fraudes.

  • Estratégias recomendadas para a mitigação de fraudes.

Escolha a implementação e a estratégia de redução de fraudes que melhor se adaptam ao seu caso de uso. Os seguintes fatores podem influenciar a implementação e a estratégia de redução de fraude escolhida:

  • Necessidades e recursos de combate à fraude da organização.
  • Ambiente atual da organização.

Para mais informações sobre as estratégias de redução de fraude para seu caso de uso, entre em contato com nossa equipe de vendas.

Carding

O uso de cartões é uma ameaça automatizada em que invasores fazem várias tentativas de autorização de pagamento para verificar a validade de dados de cartão de pagamento roubados em massa.

Implementação mínima

  1. Instale chaves de site de caixa de seleção em todas as páginas em que os usuários finais precisam inserir as informações do cartão de crédito. Para saber como instalar chaves de site com caixa de seleção, consulte Instalar chaves de site com caixa de seleção (teste de caixa de seleção) em sites.

  2. Crie avaliações para todos os tokens. Para saber como criar avaliações, consulte Criar uma avaliação.

Implementação ideal

  1. Instale chaves de site com base em pontuação em todas as páginas em que os usuários finais precisam inserir as informações do cartão de crédito. Especifique uma ação no parâmetro action, como card_entry. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.

  2. Instale o reCAPTCHA para o fluxo de trabalho de pagamento no seu site. Para saber como proteger seu fluxo de trabalho de pagamento, consulte Proteger fluxos de trabalho de pagamento.

  3. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.

  4. Salve todos os IDs de avaliação e anote as avaliações que se tornam compras fraudulentas ou chargebacks como fraudulent. Para saber como fazer anotações em avaliações, consulte Como anotar uma avaliação.

Estratégia de mitigação de fraudes

Depois de implementar o reCAPTCHA, use uma das seguintes estratégias de redução de fraudes para proteger seu site contra fraudes com cartões:

  • Instale o reCAPTCHA para o fluxo de trabalho de pagamento no seu site. Para saber como proteger seu fluxo de trabalho de pagamento, consulte Proteger fluxos de trabalho de pagamento.

  • Configure as APIs de gerenciamento de cartão para garantir que os tokens do reCAPTCHA sejam válidos e que as pontuações sejam maiores que o valor de limite.

    Se as pontuações não atenderem ou excederem o valor de limite especificado, não execute uma autorização de cartão nem permita que o usuário final use o cartão. Sempre que possível, permita que a transação prossiga no momento da compra, mas cancele-a mais tarde para não alertar o invasor.

  • Ao criar avaliações, verifique se elas atendem aos seguintes critérios para uma transação bem-sucedida:

    • Todos os tokens avaliados são válidos e têm uma pontuação maior que um valor de limite especificado.
    • O valor de expectedAction corresponde ao valor de action que você especificou ao instalar as chaves de site com base na pontuação nas suas páginas da Web. Para saber como verificar ações, consulte verificar ações.

    Se uma transação não atender a esses critérios, não execute uma autorização de cartão nem permita que o usuário final use o cartão. Sempre que possível, permita que a transação prossiga no momento da compra, mas cancele-a mais tarde para não alertar o invasor.

Cracking de cartão

O cracking de cartão é uma ameaça automatizada em que os invasores tentam valores diferentes para identificar valores ausentes de data de início, data de validade e códigos de segurança de dados de cartão de pagamento roubados.

Implementação mínima

  1. Instale chaves de site de caixa de seleção em todas as páginas em que os usuários finais precisam inserir os detalhes de pagamento, incluindo as funções finalização de compra e adicionar forma de pagamento. Para saber como instalar chaves de site com caixa de seleção, consulte Instalar chaves de site com caixa de seleção (teste de caixa de seleção) em sites.

  2. Crie avaliações para todos os tokens. Para saber como criar avaliações, consulte Criar uma avaliação.

Implementação ideal

  1. Instale chaves de site com base na pontuação em todas as páginas em que os usuários finais precisam inserir os detalhes de pagamento. Especifique uma ação no parâmetro action, como checkout ou add_pmtmethod. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.

  2. Instale o reCAPTCHA para o fluxo de trabalho de pagamento no seu site. Para saber como proteger seu fluxo de trabalho de pagamento, consulte Proteger fluxos de trabalho de pagamento.

  3. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.

  4. Salve todos os IDs de avaliação e anote as avaliações que se tornam compras fraudulentas ou chargebacks como fraudulent. Para saber como fazer anotações em avaliações, consulte Como anotar uma avaliação.

Estratégia de mitigação de fraudes

Depois de implementar o reCAPTCHA, use uma das seguintes estratégias de redução de fraudes para proteger seu site contra cracking de cartão:

  • Instale o reCAPTCHA para o fluxo de trabalho de pagamento no seu site. Para saber como proteger seu fluxo de trabalho de pagamento, consulte Proteger fluxos de trabalho de pagamento.

  • Implemente um modelo de resposta e crie avaliações:

    1. Crie e implemente um modelo de resposta ajustado para o risco com base na pontuação.

      O exemplo a seguir mostra um modelo de resposta de exemplo:

      • Para um limite de pontuação baixo a intermediário (0,0 a 0,5), use o gerenciamento de risco baseado no contexto, como limitar o número de tentativas e bloquear compras acima de um valor especificado.
      • Para o limite de pontuação mais alto (> 0,5), permita que o usuário final prossiga sem qualquer desafio.

    2. Ao criar avaliações, verifique se o valor de expectedAction corresponde ao valor de action que você especificou ao instalar as chaves de site baseadas em pontuação nas suas páginas da Web. Se eles não corresponderem, não execute uma autorização de cartão nem permita que o usuário final use o cartão. Sempre que possível, permita que a transação prossiga no momento da compra, mas cancele-a mais tarde para não alertar o invasor.

Quebra de credenciais

O cracking de credenciais é uma ameaça automatizada em que os invasores identificam credenciais de login válidas tentando valores diferentes para nomes de usuário e senhas.

Implementação mínima

  1. Instale chaves de site de caixa de seleção em todas as páginas em que os usuários finais precisam inserir as credenciais, incluindo as funções login e esqueci minha senha. Para saber como instalar chaves de site com caixa de seleção, consulte Instalar chaves de site com caixa de seleção (teste de caixa de seleção) em sites.

  2. Crie avaliações para todos os tokens. Para saber como criar avaliações, consulte Criar uma avaliação.

Implementação ideal

  1. Instale chaves de site com base na pontuação em todas as páginas em que os usuários finais precisam inserir as credenciais. Especifique uma ação no parâmetro action, como login ou authenticate. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.
  2. Recomendado: implemente a detecção de vazamento de senhas do reCAPTCHA para todas as tentativas de autenticação. Para saber como usar a detecção de vazamento de senha, consulte Detectar vazamentos de senha e credenciais violadas.
  3. Opcional: para permitir o bloqueio de interações de alto volume e baixa pontuação do reCAPTCHA, integre o reCAPTCHA a um firewall de aplicativos da Web (WAF, na sigla em inglês). Por exemplo, você pode usar a integração do reCAPTCHA para WAF e Google Cloud Armor.
  4. Implemente o reCAPTCHA Account Defender para analisar o comportamento do usuário final em relação aos logins e receber outros indicadores que podem indicar uma invasão de conta. Para saber como usar o defensor da conta do reCAPTCHA, consulte Detectar e impedir atividades fraudulentas relacionadas à conta.
  5. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.
  6. Salve todos os IDs de avaliação e anote a avaliação que parece fraudulenta, como invasões de conta (ATOs, na sigla em inglês) ou qualquer outra atividade fraudulenta. Para saber como fazer anotações em avaliações, consulte Como anotar uma avaliação.

Estratégia de mitigação de fraudes

Depois de implementar o reCAPTCHA, use a seguinte estratégia de redução de fraudes para proteger seu site contra quebra de credenciais:

  1. Crie e implemente um modelo de resposta ajustado para o risco com base na pontuação.

    O exemplo a seguir mostra um modelo de resposta de exemplo:

    • Para um limite de pontuação baixo a intermediário (0,0 a 0,5), desafie o usuário final com a autenticação multifator por e-mail ou SMS.
    • Para o limite de pontuação mais alto (> 0,5), permita que o usuário final prossiga sem qualquer desafio.
  2. Encerrar ou interromper sessões para usuários finais que fazem a autenticação com sucesso, mas recebem uma resposta credentialsLeaked: true da detecção de vazamento de senha do reCAPTCHA e enviar um e-mail aos usuários finais para que eles mudem a senha.
  3. Ao criar avaliações, verifique se o valor de expectedAction corresponde ao valor de action que você especificou ao instalar as chaves de site baseadas em pontuação nas suas páginas da Web. Se eles não corresponderem, não permita a autenticação.

Preenchimento de credenciais

O preenchimento de credenciais é uma ameaça automatizada em que os invasores usam tentativas de login em massa para verificar a validade de pares de nome de usuário/senha roubados.

Implementação mínima

  1. Instale chaves de site de caixa de seleção em todas as páginas em que os usuários finais precisam inserir as credenciais, incluindo as funções login e esqueci minha senha. Para saber como instalar chaves de site com caixa de seleção, consulte Instalar chaves de site com caixa de seleção (teste de caixa de seleção) em sites.

  2. Crie avaliações para todos os tokens. Para saber como criar avaliações, consulte Criar uma avaliação.

Implementação ideal

  1. Instale chaves de site com base na pontuação em todas as páginas em que os usuários finais precisam inserir as credenciais. Especifique uma ação no parâmetro action, como login ou authenticate. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.
  2. Recomendado: implemente a detecção de vazamento de senhas do reCAPTCHA para todas as tentativas de autenticação. Para saber como usar a detecção de vazamento de senha, consulte Detectar vazamentos de senha e credenciais violadas.
  3. Implemente o reCAPTCHA Account Defender para analisar o comportamento do usuário final em relação a logins e receber outros indicadores que podem indicar uma ATO. Para saber como usar o defensor da conta do reCAPTCHA, consulte Detectar e impedir atividades fraudulentas relacionadas à conta.

  4. Opcional: para permitir o bloqueio de interações de alto volume e baixa pontuação do reCAPTCHA, integre o reCAPTCHA a um firewall de aplicativos da Web (WAF, na sigla em inglês). Por exemplo, você pode usar a integração do reCAPTCHA para WAF e Google Cloud Armor.

  5. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.

  6. Salve todos os IDs de avaliação e anote as avaliações que se tornam compras fraudulentas ou chargebacks como fraudulent. Para saber como fazer anotações em avaliações, consulte Anotar uma avaliação.

Estratégia de mitigação de fraudes

Depois de implementar o reCAPTCHA, use a seguinte estratégia de redução de fraudes para proteger seu site contra preenchimento de credenciais:

  1. Crie e implemente um modelo de resposta ajustado para o risco com base na pontuação.

    O exemplo a seguir mostra um modelo de resposta de exemplo:

    • Para o limite de pontuação mais baixo do reCAPTCHA (0,0), informe ao usuário final que a senha está incorreta.
    • Para o limite de pontuação intermediário (0,1 a 0,5), desafie o usuário final com a autenticação multifator por e-mail ou SMS.
    • Para o limite de pontuação mais alto (> 0,5), permita que o usuário final prossiga sem qualquer desafio.
  2. Encerrar ou interromper sessões para usuários finais que fazem a autenticação com sucesso, mas recebem uma resposta credentialsLeaked: true da detecção de vazamento de senha do reCAPTCHA e enviar um e-mail aos usuários finais para que eles mudem a senha.
  3. Ao criar avaliações, verifique se o valor de expectedAction corresponde ao valor de action que você especificou ao instalar as chaves de site baseadas em pontuação nas suas páginas da Web. Se eles não corresponderem, não permita a autenticação.
  4. Na sua avaliação, se accountDefenderAssessment=PROFILE_MATCH, permita que o usuário final prossiga sem nenhum desafio.

Saque

O saque é uma ameaça automatizada em que os invasores conseguem moedas ou itens de alto valor usando cartões de pagamento roubados e validados anteriormente.

Implementação mínima

  1. Instale chaves de site com base na pontuação em todas as páginas em que o processo de finalização de compra é possível. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.
  2. Crie avaliações para todos os tokens. Para saber como criar avaliações, consulte Criar uma avaliação.

Implementação ideal

  1. Instale chaves de site com base na pontuação em todas as páginas em que os usuários finais inserem as informações do vale-presente. Especifique uma ação, como add_gift_card. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.

  2. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.

  3. Salve todos os IDs de avaliação e anote as transações que foram fraudulentas.

Estratégia de mitigação de fraude

Depois de implementar o reCAPTCHA, use a seguinte estratégia de redução de fraudes para proteger seu site contra saques:

  • Instale o reCAPTCHA para o fluxo de trabalho de pagamento no seu site. Para saber como proteger seu fluxo de trabalho de pagamento, consulte Proteger fluxos de trabalho de pagamento.

  • Implemente um modelo de resposta e crie avaliações:

    1. Crie e implemente um modelo de resposta ajustado para o risco com base na pontuação.

      O exemplo a seguir mostra um modelo de resposta de exemplo:

      • Para um limite de pontuação baixo a intermediário (0,0 a 0,5), use o gerenciamento de risco baseado no contexto, como limitar o número de tentativas e bloquear compras acima de um valor especificado.
      • Para o limite de pontuação mais alto (> 0,5), permita que o usuário final prossiga sem qualquer desafio.
    2. Ao criar avaliações, verifique se o valor de expectedAction corresponde ao valor de action que você especificou ao instalar as chaves de site baseadas em pontuação nas suas páginas da Web. Se eles não corresponderem, não permita a autenticação. Sempre que possível, permita que a transação prossiga no momento da compra, mas cancele-a mais tarde para não alertar o invasor.

Criação de conta

A criação de contas é uma ameaça automatizada em que os invasores criam várias contas para uso indevido posterior.

Implementação mínima

  1. Instale chaves de site de caixa de seleção em todas as páginas em que os usuários finais precisam inserir as credenciais, incluindo as funções login e esqueci minha senha. Para saber como instalar chaves de site com caixa de seleção, consulte Instalar chaves de site com caixa de seleção (teste de caixa de seleção) em sites.

  2. Crie avaliações para todos os tokens. Para saber como criar avaliações, consulte Criar uma avaliação.

Implementação ideal

  1. Instale chaves de site com base na pontuação em todas as páginas em que as contas são criadas. Especifique uma ação no parâmetro action, como register. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.
  2. Recomendado: implemente a detecção de vazamento de senhas do reCAPTCHA para todas as tentativas de autenticação. Para saber como usar a detecção de vazamento de senha, consulte Detectar vazamentos de senha e credenciais violadas.
  3. Implementamos o defensor da conta do reCAPTCHA para receber outros indicadores que indicam a criação de contas falsas. Para saber como usar o defensor da conta do reCAPTCHA, consulte Detectar e impedir atividades fraudulentas relacionadas à conta.

  4. Opcional: para permitir o bloqueio de interações de alto volume e baixa pontuação do reCAPTCHA, integre o reCAPTCHA a um firewall de aplicativos da Web (WAF, na sigla em inglês). Por exemplo, você pode usar a integração do reCAPTCHA para WAF e Google Cloud Armor.

  5. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.

  6. Salve todos os IDs de avaliação e anote as transações que foram fraudulentas.

Estratégia de mitigação de fraude

Depois de implementar o reCAPTCHA, use a seguinte estratégia de redução de fraudes para proteger seu site contra a criação de contas:

  1. Crie e implemente um modelo de resposta ajustado para o risco com base na pontuação.

    O exemplo a seguir mostra um modelo de resposta de exemplo:

    • Para o limite de pontuação mais baixo do reCAPTCHA (0,0), limite as ações da conta até que ela passe por outras verificações de fraude.
    • Para o limite de pontuação intermediário (0,1 a 0,5), desafie o usuário final com a autenticação multifator por e-mail ou SMS.
    • Para o limite de pontuação mais alto (> 0,5), permita que o usuário final prossiga sem qualquer desafio.
  2. Encerrar ou interromper sessões de usuários finais que se autenticam, mas recebem uma resposta credentialsLeaked: true da detecção de vazamento de senha do reCAPTCHA e solicitar que o usuário selecione uma nova senha.
  3. Ao criar avaliações, verifique se o valor de expectedAction corresponde ao valor de action que você especificou ao instalar as chaves de site baseadas em pontuação nas suas páginas da Web. Se não corresponderem, não permita o registro ou a criação de contas.
  4. Na sua avaliação, se accountDefenderAssessment=SUSPICIOUS_ACCOUNT_CREATION, restringa o acesso da conta até que outra validação possa ser realizada.

Mudanças fraudulentas de conta e endereço

Os invasores podem tentar mudar os detalhes da conta, incluindo endereços de e-mail, números de telefone ou endereços de correspondência como parte de atividades fraudulentas ou de invasões de contas.

Implementação mínima

  1. Instale chaves de site de caixa de seleção em todas as páginas em que os usuários finais precisam inserir as credenciais, incluindo as funções login e esqueci minha senha. Para saber como instalar chaves de site com caixa de seleção, consulte Instalar chaves de site com caixa de seleção (teste de caixa de seleção) em sites.

  2. Crie avaliações para todos os tokens. Para saber como criar avaliações, consulte Criar uma avaliação.

Implementação ideal

  1. Instale chaves de site com base na pontuação em todas as páginas em que as contas são criadas. Especifique uma ação no parâmetro action, como change_telephone ou change_physicalmail. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.

  2. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.

  3. Implemente o reCAPTCHA Account Defender para analisar o comportamento do usuário final em relação aos logins e receber outros indicadores que podem indicar uma invasão de conta. Para saber como usar o defensor da conta do reCAPTCHA, consulte Detectar e impedir atividades fraudulentas relacionadas à conta.

  4. Salve todos os IDs de avaliação e anote as transações que foram fraudulentas.

Estratégia de mitigação de fraudes

Depois de implementar o reCAPTCHA, use a seguinte estratégia de redução de fraudes para proteger seu site contra mudanças fraudulentas de conta e endereço:

  1. Crie e implemente um modelo de resposta ajustado para o indicador de risco.

    O exemplo a seguir mostra um modelo de resposta de exemplo:

    • Para um limite de pontuação baixo a intermediário (0,0 a 0,5), desafie o usuário final com a autenticação multifator por e-mail ou SMS.
    • Para o limite de pontuação mais alto (> 0,5), permita que o usuário final prossiga sem qualquer desafio.

  2. Ao criar avaliações, verifique se o valor de expectedAction corresponde ao valor de action que você especificou ao instalar as chaves de site baseadas em pontuação nas suas páginas da Web. Se eles não corresponderem, não permita mudanças na conta.

  3. Na sua avaliação, se accountDefenderAssessment não tiver o rótulo PROFILE_MATCH, solicite ao usuário final a autenticação multifator por e-mail ou SMS.

Quebra de token

O cracking de token é uma ameaça automatizada em que os invasores fazem enumeração em massa de números de cupons, códigos de vales e tokens de desconto.

Implementação mínima

  1. Instale chaves de site com caixa de seleção em todas as páginas em que os usuários finais precisam inserir as informações do vale-presente. Para saber como instalar chaves de site com caixa de seleção, consulte Instalar chaves de site com caixa de seleção (teste de caixa de seleção) em sites.

  2. Crie avaliações para todos os tokens. Para saber como criar avaliações, consulte Criar uma avaliação.

Implementação ideal

  1. Instale chaves de site com base em pontuação em todas as páginas em que os usuários finais precisam inserir as informações do vale-presente. Especifique uma ação, como gift_card_entry. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.

  2. Opcional: para permitir o bloqueio de interações de alto volume e baixa pontuação do reCAPTCHA, integre o reCAPTCHA a um firewall de aplicativos da Web (WAF, na sigla em inglês). Por exemplo, você pode usar a integração do reCAPTCHA para WAF e Google Cloud Armor.

  3. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.

  4. Salve todos os IDs de avaliação e anexe comentários às avaliações que se tornam cartões-presente ou cupons fraudulentos.

Estratégia de mitigação de fraude

Depois de implementar o reCAPTCHA, use uma das seguintes estratégias de mitigação de fraudes para proteger seu site contra o cracking de tokens:

  • Configure as APIs de gerenciamento de cartão para garantir que os tokens do reCAPTCHA sejam válidos e que as pontuações sejam maiores que o valor de limite.

    Se as pontuações não atenderem ou excederem o limite especificado, não execute uma autorização de cartão de crédito ou vale-presente nem permita que o usuário final use o cupom ou vale-presente. Sempre que possível, permita que a transação prossiga no momento da compra, mas cancele-a mais tarde para não alertar o invasor.

  • Ao criar avaliações, verifique se elas atendem aos seguintes critérios para uma transação bem-sucedida:

    • Todos os tokens avaliados são válidos e têm uma pontuação maior que um valor de limite especificado.
    • O valor de expectedAction corresponde ao valor de action que você especificou ao instalar as chaves de site com base na pontuação nas suas páginas da Web. Para saber como verificar ações, consulte verificar ações.

    Se uma transação não atender a esses critérios, não execute uma autorização de cartão-presente ou de crédito nem permita que o usuário final use o cupom ou o cartão-presente. Sempre que possível, permita que a transação prossiga no momento da compra, mas cancele-a mais tarde para não alertar o invasor.

Scalping

O scalping é uma ameaça automatizada em que os invasores conseguem bens ou serviços de disponibilidade limitada e preferidos por métodos injustos.

Implementação mínima

  1. Instale chaves de site baseadas em pontuação em todas as páginas em que os usuários finais precisam inserir as informações do vale-presente. Especifique uma ação no parâmetro action, como add_to_cart. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.
  2. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.

Implementação ideal

  1. Instale chaves de site baseadas em pontuação em todas as páginas em que os usuários finais precisam inserir as informações do vale-presente. Especifique uma ação no parâmetro action, como add_to_cart. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.

  2. Opcional: para permitir o bloqueio de interações de alto volume e baixa pontuação do reCAPTCHA, integre o reCAPTCHA a um firewall de aplicativos da Web (WAF, na sigla em inglês). Por exemplo, você pode usar a integração do reCAPTCHA para WAF e Google Cloud Armor.

  3. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.

  4. Salve todos os IDs de avaliação e anote as transações que foram fraudulentas.

Estratégia de mitigação de fraude

Depois de implementar o reCAPTCHA, use a seguinte estratégia de redução de fraudes para proteger seu site contra scalping:

  1. Crie e implemente um modelo de resposta ajustado para o indicador de risco.

    O exemplo a seguir mostra um modelo de resposta de exemplo:

    • Para um limite de pontuação baixo a intermediário (0,0 a 0,5), use o gerenciamento de risco baseado no contexto, como limitar o número de tentativas e bloquear compras acima de um valor especificado.
    • Para o limite de pontuação mais alto (> 0,5), permita que o usuário final prossiga sem qualquer desafio.

  2. Ao criar avaliações, verifique se o valor de expectedAction corresponde ao valor de action que você especificou ao instalar as chaves de site baseadas em pontuação nas suas páginas da Web. Se eles não forem iguais, não execute a autorização do vale-presente.

Skewing

A distorção é uma ameaça automatizada em que os invasores usam cliques repetidos em links, solicitações de página ou envios de formulários para alterar alguma métrica.

Implementação mínima

  1. Instale chaves de site com base na pontuação em todas as páginas em que a distorção de métricas é possível. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.
  2. Crie avaliações para todos os tokens. Para saber como criar avaliações, consulte Criar uma avaliação.

Implementação ideal

  1. Instale chaves de site com base na pontuação em todas as páginas em que a distorção de métricas é possível. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.

  2. Opcional: para permitir o bloqueio de interações de alto volume e baixa pontuação do reCAPTCHA, integre o reCAPTCHA a um firewall de aplicativos da Web (WAF, na sigla em inglês). Por exemplo, você pode usar a integração do reCAPTCHA para WAF e Google Cloud Armor.

  3. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.

  4. Salve todos os IDs de avaliação e anote as transações que foram fraudulentas.

Estratégia de mitigação de fraude

Depois de implementar o reCAPTCHA, use a seguinte estratégia de redução de fraudes para proteger seu site contra distorções:

Crie e implemente um modelo de resposta ajustado para o risco com base na pontuação.

O exemplo a seguir mostra um modelo de resposta de exemplo:

  • Para um limite de pontuação baixo a intermediário (0,0 a 0,5), use a gestão de risco baseada no contexto, como acompanhar o número de vezes que um usuário clicou em um anúncio ou o número de vezes que um usuário recarregou a página. Use esses dados para determinar se a métrica será contabilizada.
  • Para o limite de pontuação mais alto (> 0,5), permita que o usuário final prossiga sem qualquer desafio.

Raspagem de dados

O scraping é uma ameaça automatizada em que os invasores coletam dados ou artefatos de sites de forma automatizada.

Implementação mínima

  1. Instale chaves de site com base na pontuação em todas as páginas em que há informações importantes e nas principais páginas de interação do usuário. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.
  2. Crie avaliações para todos os tokens. Para saber como criar avaliações, consulte Criar uma avaliação.

Implementação ideal

  1. Instale chaves de site com base na pontuação em todas as páginas em que há informações importantes e nas principais páginas de interação do usuário. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.

  2. Opcional: para permitir o bloqueio de interações de alto volume e baixa pontuação do reCAPTCHA, integre o reCAPTCHA a um firewall de aplicativos da Web (WAF, na sigla em inglês). Por exemplo, você pode usar a integração do reCAPTCHA para WAF e Google Cloud Armor.

  3. Crie avaliações para todos os tokens. Para saber como criar avaliações, consulte Criar uma avaliação.

  4. Salve todos os IDs de avaliação e anote as transações que foram fraudulentas.

Estratégia de mitigação de fraude

Depois de implementar o reCAPTCHA, use as seguintes estratégias de redução de fraudes para proteger seu site contra scraping:

Derrota de CAPTCHA

A derrota do CAPTCHA é uma ameaça automatizada em que os invasores usam a automação para tentar analisar e determinar a resposta para testes de CAPTCHA visuais e/ou sonoros e quebra-cabeças relacionados.

Implementação mínima

  1. Instale chaves de site com base na pontuação em todas as páginas que envolvem entrada do usuário final, criação de conta, informações de pagamento ou interações do usuário final com potencial de fraude. Especifique uma ação descritiva no parâmetro action. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.

  2. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.

Implementação ideal

  1. Instale chaves de site com base na pontuação em todas as páginas que envolvem entrada do usuário final, criação de conta, informações de pagamento ou interações do usuário final com potencial de fraude. Especifique uma ação descritiva no parâmetro action. Para saber como instalar chaves de site baseadas em pontuação, consulte Instalar chaves de site baseadas em pontuação (sem desafio) em sites.

  2. Opcional: para permitir o bloqueio de interações de alto volume e baixa pontuação do reCAPTCHA, integre o reCAPTCHA a um firewall de aplicativos da Web (WAF, na sigla em inglês). Por exemplo, você pode usar a integração do reCAPTCHA para WAF e Google Cloud Armor.

  3. Crie avaliações para todos os tokens e defina expectedAction para corresponder ao valor de action especificado ao instalar as chaves de site baseadas em pontuação. Para saber como criar avaliações, consulte Criar uma avaliação.

  4. Salve todos os IDs de avaliação e anote as avaliações que se tornam compras fraudulentas ou chargebacks como fraudulent. Para saber como fazer anotações em avaliações, consulte Como anotar uma avaliação.

Estratégia de mitigação de fraude

Depois de implementar o reCAPTCHA, use uma das seguintes estratégias de redução de fraude para proteger seu site contra a derrota do CAPTCHA:

  • Implemente um modelo de resposta e crie avaliações:

    1. Crie e implemente um modelo de resposta ajustado para o risco com base na pontuação.

      O exemplo a seguir mostra um modelo de resposta de exemplo:

      • Para um limite de pontuação baixo a intermediário (0,0 a 0,5), desafie o usuário final com a autenticação multifator por e-mail ou SMS.
      • Para o limite de pontuação mais alto (> 0,5), permita que o usuário final prossiga sem qualquer desafio.
    2. Ao criar avaliações, verifique se o valor de expectedAction corresponde ao valor de action que você especificou ao instalar as chaves de site baseadas em pontuação nas suas páginas da Web. Se eles não corresponderem, não permita a autenticação.

  • Se os usuários finais usarem navegadores da Web com o JavaScript desativado, faça o seguinte:

    1. Bloqueie esses usuários finais.
    2. Notifique os usuários finais de que seu site exige JavaScript para continuar.

  • Garanta que a promessa grecaptcha.enterprise.ready seja cumprida para evitar que os navegadores dos usuários finais bloqueiem o carregamento do script do Google. Isso indica que o reCAPTCHA foi totalmente carregado e não encontrou um erro.

  • Para APIs somente da Web, recomendamos transmitir o token do reCAPTCHA ou o resultado da teste reCAPTCHA para a API de back-end e permitir a ação da API somente se o token do reCAPTCHA for válido e atender a um valor de limite de pontuação. Isso garante que o usuário final não use a API sem passar pelo site.

A seguir