Comment les bots de paiement vident votre stock avant que les vrais clients ne le voient

Les éditions limitées attirent l’automatisation comme un aimant. Un bot de revente peut remplir un panier et atteindre le paiement en bien moins d’une seconde, beaucoup plus vite qu’un humain, et le faire des centaines de fois en parallèle depuis des adresses IP qui changent sans cesse.

Pourquoi la limitation du nombre de requêtes ne suffit pas

La limitation classique compte les requêtes par IP. Les bots l’ont dépassée depuis longtemps :

• Ils passent par des réseaux de proxys résidentiels pour qu’aucune IP ne paraisse abusive
• Ils espacent leurs requêtes au hasard pour éviter les pics évidents
• Ils envoient des en-têtes et des user agents d’apparence réaliste

Rien de tout cela ne change ce qui se passe dans le navigateur. Un paiement scripté bouge la souris (ou pas), remplit les formulaires trop vite ou pas du tout, et interagit avec la page d’une façon statistiquement différente d’un humain qui veut acheter un sweat.

Ce qui marche vraiment

Les signaux de comportement, comme les mouvements de souris, le rythme des clics et la vitesse de saisie des formulaires, associés à des contrôles de l’environnement comme la détection des navigateurs headless, les traces de frameworks d’automatisation et les marqueurs WebDriver, repèrent ce que les règles d’IP ratent. Quand ces signaux sont évalués en temps réel, le paiement peut être bloqué ou vérifié avant que la commande ne soit validée, et non après l’arrivée d’une rétrofacturation.

C’est le modèle de Skyfense : évaluer chaque visite de façon invisible, et n’agir que sur celles qui paraissent automatisées.