Si vous constatez l'apparition rapide de milliers de dons « En attente », vous êtes probablement victime d'une attaque de « test de carte ». Il s'agit d'un bot qui utilise votre formulaire de don pour tester des numéros de carte de crédit volés afin de vérifier leur validité.

Ce guide explique comment nettoyer les dons indésirables et fournit des conseils généraux pour les utilisateurs de Lite et Pro. Pour plus d'informations sur la manière dont Charitable continue de travailler sur les mesures anti-spam, n'hésitez pas à visiter notre blog.

⚠️ Important : Sauvegardes et Responsabilité Avant d'exécuter des plugins de suppression en masse ou des scripts de base de données personnalisés, vous devez créer une sauvegarde complète de votre site. Si une opération de nettoyage supprime des données involontairement ou si les suggestions ci-dessus ne résolvent pas le problème, votre filet de sécurité consiste à restaurer votre site à une version sauvegardée avant les modifications. Veuillez noter que l'exécution de requêtes de base de données et de scripts tiers se fait à vos propres risques ; WP Charitable n'est pas responsable de la perte de données résultant de ces opérations. Si vous n'êtes pas sûr de la manière d'utiliser ces outils, nous vous recommandons vivement de consulter un développeur web ou de contacter notre équipe de support pour obtenir des conseils *avant* de procéder.

Table des matières

Suppression des dons en attente

Si vous avez une grande quantité de dons indésirables, il n'est pas recommandé d'essayer de les supprimer manuellement dans le tableau de bord WordPress. Cela risque de planter votre navigateur ou de dépasser le temps imparti de votre serveur.

Méthode 1 : Paramètres avancés de Charitable (Recommandé)

Si vous utilisez Charitable Pro (ou le plugin Lite avec le module complémentaire Spam Blocker), il existe un paramètre « Supprimer les dons en masse » dans Charitable -> Paramètres -> Avancé/Divers qui peut supprimer TOUS les dons échoués et en attente de votre installation WordPress. Notez que cela pourrait supprimer des dons légitimes, il est donc préférable de faire un audit avant d'utiliser cette fonctionnalité.

Attention : Cela supprime définitivement tous les dons de toutes les campagnes.

Méthode 2 : Utiliser un plugin de suppression en masse (Recommandé)

La manière la plus simple de supprimer ces enregistrements sans toucher au code est d'utiliser un plugin gratuit conçu à cet effet. Nous recommandons également cette option car certains plugins offrent plus de contrôle sur les éléments à supprimer en masse.

1. Allez dans Plugins > Ajouter et recherchez « Bulk Delete » (un de ces plugins est WP Bulk Delete, mais utilisez celui qui correspond le mieux à vos besoins).
2. Installez et activez le plugin.
3. Allez dans WP en masse > Supprimer des articles en masse.
4. Sélectionner le type d'article : Choisissez Dons.
5. Sélectionner le statut de l'article : Choisissez En attente (ou charitable-pending).
6. Choisir l'action : Sélectionnez « Mettre à la corbeille » ou « Supprimer définitivement ».
7. Exécutez la suppression. Note : Vous devrez peut-être l'exécuter par lots si votre serveur est lent.

Méthode 3 : Utiliser un script personnalisé (Avancé)

Si le plugin a du mal avec le volume ou si vous préférez une solution basée sur le code, vous pouvez utiliser notre script de nettoyage.

1. Installez le plugin gratuit WPCode.
2. Utilisez l'extrait de code suivant pour supprimer en toute sécurité les dons en attente directement de la base de données :
   • Voir l'extrait de nettoyage sur la bibliothèque WPCode

Important : Une fois le nettoyage terminé, n'oubliez pas de désactiver l'extrait afin qu'il ne continue pas à s'exécuter.

Mesures à prendre pour une prévention supplémentaire

Nous recommandons de mettre en œuvre les mesures dans cet ordre :

DNS et serveur (la meilleure défense)

Le meilleur endroit pour arrêter un bot est avant même qu'il n'atteigne votre site WordPress.

• Cloudflare : Nous vous recommandons vivement de placer votre site derrière Cloudflare (leur plan gratuit est excellent). Il inclut le « Mode de lutte contre les bots » et la limitation du débit qui peuvent bloquer ces attaques au niveau DNS.
• Votre fournisseur d'hébergement : Contactez immédiatement votre hébergeur. Ils peuvent souvent voir les modèles d'attaque (par exemple, le trafic provenant d'un pays spécifique) et bloquer ces adresses IP au niveau du serveur.

Sécurité générale de WordPress

• Plugins de sécurité : Des plugins comme Wordfence ou Solid Security disposent d'outils de surveillance du trafic qui peuvent détecter un comportement de bot agressif et bloquer automatiquement leurs IP.

Paramètres spécifiques à Charitable

Si vous avez une licence payante et utilisez Charitable (pas le plugin Pro), assurez-vous d'avoir l'extension Bloqueur de spam installée.

• Limitation du débit : Aide à prévenir les soumissions rapides.
• CAPTCHA : Ajoute Google reCAPTCHA ou hCaptcha à vos formulaires.
• Journalisation des IP : Suit les adresses IP des donateurs, vous permettant de bloquer des contrevenants spécifiques.

Si vous utilisez la version gratuite (Charitable Lite), vous pouvez utiliser ces paramètres et extraits de code pour ajouter des barrières :

• Augmenter le montant minimum du don : Les bots testent souvent avec de très petits montants (par exemple, 1,00 $) pour que les transactions passent inaperçues.
  • Accédez à l'éditeur de votre campagne.
  • Localisez l'onglet Options de don.
  • Augmentez le montant du Don minimum suggéré (par exemple, augmentez-le de 1 $ à 5 $ ou 10 $).
  • Remarque : Bien qu'utile, les bots sophistiqués peuvent s'y adapter, ne vous fiez donc pas uniquement à cette mesure de défense.
• Bloquer par modèle d'e-mail : Si les bots utilisent un modèle d'e-mail spécifique (par exemple, des lettres aléatoires ou des domaines spécifiques), vous pouvez utiliser cet extrait pour les bloquer :
  • Voir l'extrait de blocage d'e-mail
• Changer l'URL : Changer temporairement l'URL de votre page de don peut parfois arrêter un bot qui cible un lien spécifique.

Notez que les utilisateurs de Charitable Pro disposent d'un onglet « sécurité » qui comprend plusieurs des fonctionnalités mentionnées ci-dessus. Par exemple, voici un guide sur la validation avancée des e-mails.

Protection de la passerelle de paiement (Stripe et PayPal)

Votre processeur de paiement dispose souvent d'outils avancés qui peuvent bloquer la fraude avant même qu'elle ne notifie votre site Web. Notez que les informations ci-dessous sont exactes au moment de la rédaction – pour les informations les plus à jour, veuillez consulter les sites de vos fournisseurs de passerelle.

Utilisateurs Stripe : Stripe Radar Stripe dispose d'un outil de détection de fraude intégré appelé Radar.

• Radar Standard (Gratuit) : Inclus avec tous les comptes Stripe. Il utilise l'apprentissage automatique pour bloquer les paiements suspects. Vous pouvez également ajouter manuellement des adresses e-mail ou des cartes spécifiques à une « Liste de blocage » dans votre Tableau de bord Stripe sous Fraude et Risque > Listes.
• Radar pour les équipes de fraude (Mise à niveau payante) : Cette version vous permet d'écrire des Règles personnalisées.
  • Astuce : Si vous remarquez que les robots utilisent tous le même domaine d'e-mail (par exemple, [email protected] ou [email protected]), vous pouvez créer une règle pour bloquer ce domaine entier.
  • Assistant IA : La version payante inclut un assistant IA qui vous permet de taper des requêtes en langage naturel comme « Bloquer tous les paiements où le domaine de messagerie est example.com » et il générera la règle pour vous.
  • En savoir plus sur Stripe Radar ici.

Utilisateurs PayPal : Protection contre la fraude PayPal offre des protections similaires pour les comptes professionnels.

• Protection contre la fraude : Allez dans Outils professionnels > Gérer les risques > Protection contre la fraude. PayPal propose actuellement un plan de protection contre la fraude gratuit avec des mises à niveau possibles.
• Vous pouvez configurer des filtres pour signaler ou refuser les transactions en fonction de montants élevés, d'inadéquations d'adresses (AVS) ou d'échecs de code de sécurité de carte (CVV). Si vous identifiez des adresses e-mail ou IP spécifiques qui vous ciblent de manière répétée, vous pouvez les ajouter à vos listes négatives dans les paramètres de protection contre la fraude de PayPal.
• En savoir plus sur la gestion de la fraude PayPal ici.

Nous vous recommandons de surveiller attentivement votre site pendant les premières 24 à 48 heures après la mise en œuvre des modifications. Si le spam reprend, remettez immédiatement le statut de votre campagne à « Brouillon » et augmentez vos paramètres de sécurité (par exemple, activez le « Mode sous attaque » dans Cloudflare).

Vérifiez vos tableaux de bord Stripe/PayPal Bien que les dons « En attente » dans Charitable indiquent généralement que le paiement a été abandonné ou a échoué, vous devez toujours vérifier directement votre tableau de bord Stripe ou PayPal. Vérifiez qu'aucune transaction réussie n'a été effectuée pendant l'attaque. Si vous trouvez des transactions non autorisées réussies, remboursez-les immédiatement via le processeur de paiement pour éviter d'éventuels frais de litige ou rétrofacturations ultérieurs.

Une note sur le « test de carte » N'oubliez pas que le « test de carte » est un problème courant qui affecte l'ensemble de l'industrie du commerce électronique et des dons, pas seulement votre site spécifique. Les robots recherchent tout formulaire ouvert pour tester des données volées. En utilisant une combinaison de blocage au niveau du serveur (comme Cloudflare) et des restrictions sur site décrites ci-dessus, vous rendez votre site une cible peu attrayante, encourageant les robots à passer à autre chose.

Demandes diverses

Si vous utilisez une version de Charitable, y compris Charitable Lite, et que vous avez besoin de contacter notre équipe de support pour tout ce qui n'est pas couvert ci-dessus, n'hésitez pas à utiliser notre formulaire de support. Si la demande concerne Stripe, n'hésitez pas à fournir le nom de l'entreprise et les informations associées au compte que vous avez utilisé pour connecter votre site Web à Stripe via Charitable. Cela garantira que les informations échangées resteront privées et sécurisées.