Une règle antifraude est une vérification effectuée sur l’un des critères de la transaction. Le critère contrôlé peut être par exemple le pays émetteur de la carte, la plage de montants, le numéro de la carte, l’adresse IP, l’identifiant du client, etc. Les règles sont classées par catégorie : géolocalisation, vélocité, liste, panier et divers.

Les règles doivent être activées et paramétrées dans un profil antifraude afin d’être exécutées. Pour la définition d’un tel profil, veuillez-vous référer à la définition d'un profil antifraude.

De base, certaines règles n’ont pas nécessairement un caractère positif ou négatif (par exemple les règles de géolocalisation ; vous pouvez vouloir favoriser certains pays ou en défavoriser d’autres) tandis que d’autres ont forcément un caractère positif (listes blanches) ou négatif (listes noires).

Par défaut les règles proposées sont configurables dans un mode de configuration simple, c’est-à-dire qu’une règle est définie comme étant positive ou négative.

Néanmoins, certaines règles bénéficient d’un mode de configuration avancée. En mode de configuration avancée, une même règle peut être à la fois positive et négative. Elle aura donc une influence positive, négative ou neutre sur le résultat du contrôle de la transaction en fonction du paramétrage de la règle et du contexte de transaction.

Le choix d’activer le mode de configuration avancée se fait lors du paramétrage de la règle dans le profil. Il est possible de n’activer ce mode que pour certaines règles et de laisser le mode de configuration simple pour les autres.

Le paramétrage avancé d’une règle permet de spécifier les critères qui auront une influence positive ou négative sur le résultat.

Exemple avec la règle plage de montant configurée en décisif :

Exemple avec la règle authentification 3-D Secure configurée en décisif :

Sogenactif offre deux modes de contrôle de lutte contre la fraude :

• mode pré-autorisation : permet d’arrêter les transactions frauduleuses avant la demande d’autorisation ;
• mode pré-authentification : permet de débrayer 3-D Secure pour les transactions considérées comme non risquées.

Un profil antifraude est un ensemble de règles que vous choisissez et paramétrez parmi les règles proposées par Sogenactif. Les règles sont exécutées avant l’authentification 3-D Secure et avant la demande d’autorisation selon votre paramétrage (pour comprendre les modes pré-authentification et pré-autorisation, veuillez-vous référer aux modes d'exécution et leurs impacts sur l'acceptation).

Il existe 3 types de profils antifraude :

• le profil « offre » du distributeur ;
• les modèles de profil ;
• les profils marchands.

Un profil « offre » distributeur est défini par le distributeur et administré par SG. Il définit le périmètre des règles disponibles et des configurations éventuellement imposées. Si une boutique n’a pas de profil adapté au moyen de paiement utilisé alors c’est le profil offre distributeur qui s’applique.

Les modèles de profil sont définis et administrés par Sogenactif, ils sont utilisés comme modèle pour créer les profils marchands.

Les profils marchands sont définis par vous pour votre boutique et administrés par vous et/ou le distributeur (selon le choix du distributeur). Ils peuvent être créés à partir d’un profil modèle. Le terme « profil de boutique », parfois également utilisé dans ce document, est équivalent au profil marchand.

Dans la suite de ce document, lorsque la notion de « profil » est évoquée, il s'agit de profils marchands.

Le paramétrage des profils antifraude se fait l'onglet fraude du Portail Sogenactif.

Dans la plupart des cas, vous définissez un profil antifraude unique qui est appliqué à l’ensemble de vos transactions, quel que soit le moyen de paiement utilisé. Cependant, vous pouvez également définir des profils antifraudes supplémentaires ayant un paramétrage adapté à un ou plusieurs moyens de paiement particuliers.

Lorsqu’une transaction doit être évaluée, le système de contrôle du risque commence par chercher, au sein du paramétrage de la boutique un profil antifraude spécifique au moyen de paiement utilisé.

Si un tel profil n’est pas trouvé, le système cherche le profil par défaut de la boutique. Ce profil est un profil permettant d’analyser les transactions qui n’ont pas été traitées par des profils spécifiques aux moyens de paiement.

Pour créer un profil par défaut, il suffit de créer un profil sans lui attribuer de moyen de paiement.

Il ne peut y avoir qu’un seul profil actif pour un moyen de paiement donné. De même, il ne peut y avoir qu’un seul profil par défaut actif.

Par exemple, il est possible d'avoir :

• un profil dédié CB, VISA et MASTERCARD ;
• un profil dédié AMEX ;
• et un profil par défaut qui contrôlera les transactions payées avec un autre moyen de paiement.

Soit trois profils actifs simultanément.

Vous pouvez créer autant de profils inactifs que nécessaire. Ceci permet par exemple de garder des profils en réserve pour des périodes particulières de l’année (soldes, fêtes…).

Illustration du poids du paramétrage :

En mode Scoring, chaque règle active du profil utilisé évalue un aspect de la transaction et peut produire un score.

Les scores des règles sont ensuite additionnées pour former un score global (veuillez vous référer au calcul du score global pour connaître les détails du calcul). Ce dernier est alors comparé aux seuils orange et vert paramétrés dans le profil afin de prendre une décision quant à la poursuite de la transaction.

Le score global s'inscrit entre deux bornes :

• la borne min. qui est la valeur obtenue si toutes les règles négatives et aucune règle négative se déclenchent ( c.-à-d. la somme des scores des règles négatives) ;
• la borne max. qui est la valeur obtenue si toutes les règles positives et aucune règle négative se déclenchent (c.-à-d. la somme des scores des règles positives).

Lors de la définition du profil, vous devez donc définir les seuils orange et vert entre les deux bornes min. et max., qui délimiteront trois plages de résultats possibles pour le score. Ces plages sont chacune associées à une couleur : vert, orange et rouge (veuillez vous référer aux modes d'exécution et leurs impacts sur l'acceptation pour plus de détails sur les couleurs et leur effet sur les transactions) :

• le seuil orange définit la valeur à partir de laquelle la zone orange commence;
• le seuil vert définit la valeur à partir de laquelle la zone verte commence.

Exemple 1 :

La borne min. est placée à -12 et la borne max. est placée à 0. La plage s'entend donc de -12 à 0.

Le seuil orange est placé à -8. La zone rouge commence donc -12 et d’arrête à -7.

Le seuil vert est placé à -4. La zone orange commence donc à -8 et s’arrête à -5.

La zone verte commence à -4 et s’arrête à 0.

Exemple 2 :

La borne min. est placée à -12 et la borne max. est placée à 0. La plage s'entend donc de -12 à 0.

Le seuil orange et le seuil vert sont tous les placés à -6. Il n'y a donc pas de zone orange.

La zone rouge s'arrête à -7 et la zone verte commence à -6.

Exemple 3 :

Exemple : un profil antifraude est configuré avec trois règles :

• règle 1, négatif, score associé -3 ;
• règle 2, négatif, score associé -2 ;
• règle 3, positif, score associé +3.

Par conséquent, vous devez positionner les seuils orange et vert entre les valeurs -5 (la borne min.) et +3 (la borne max.).

Dans le cas présent :

• le seuil orange est -2 ;
• le seuil vert est +1 ;
• la plage rouge se situe entre le score -5 et -3 ;
• la plage orange se situe entre le score -2 et 0 ;
• la plage verte se situe entre le score +1 et +3.

Vous avez la possibilité de débrayer dynamiquement, dans la requête de la transaction, certaines règles du profil. Pour avoir la liste des directives de débrayage reportez-vous à l’Annexe désactivation dynamique de certaines règles du profil.

Vous avez la possibilité de surcharger dynamiquement, dans la requête de la transaction, certaines règles du profil.

Les modalités de surcharge dynamique sont décrites dans la description et mise en oeuvre des règles.

Le score global, qui est le cumul des scores de toutes les règles, détermine le résultat des contrôles antifraude.

Pour un profil donné comportant n contrôles individuels :

• soit Rk le résultat du contrôle individuel indexé par k dans le profil :
  • 0 si non vérifié,
  • 1 si vérifié,
• soit Pk le coefficient de pondération associé au contrôle individuel indexé par k :
  • 0 pour neutre,
  • 1 pour faible,
  • 2 pour moyen,
  • 3 pour élevé,
  • 4 pour décisif,
• soit Tk le caractère du contrôle individuel indexé par k :
  • +1 si positif,
  • -1 si négatif.

Le score global (S) de la transaction contrôlée avec ce profil s'obtiendra grâce à la formule suivante :

Le résultat final des contrôles antifraude de l'offre Scoring est représenté par une couleur. Il existe 5 couleurs.

Trois couleurs représentent le résultat obtenu à partir du score global :

• vert : le score global est supérieur ou égal au seuil vert du profil. Le résultat vert signifie que la transaction n'est pas risquée ;
• orange : le score global est supérieur ou égal au seuil orange du profil et inférieur au seuil vert. Le résultat orange signifie que la transaction est moyennement risquée ;
• rouge : le score global est inférieur au seuil orange du profil. Le résultat rouge signifie que la transaction est risquée.

Deux couleurs représentent un résultat obtenu par déclenchement d'une règle décisive :

• blanc : la condition d'une règle positive paramétrée en mode décisif est remplie, la règle a donné un résultat favorable. Le résultat blanc signifie que la transaction n'est pas risquée ;
• noir : la condition d'une règle négative paramétrée en mode décisif est remplie, la règle a donné un résultat défavorable. Le résultat noir signifie que la transaction est risquée.

Le résultat de l'exécution du profil de pré-autorisation est restitué dans les champs ci-dessous :

• scoreColor, le résultat des règles représenté par une couleur ;
• scoreValue, la valeur du score global ;
• scoreProfile, le profil antifraude exécuté ;
• preAuthorisationProfileValue, l'identifiant unique de la version du profil exécuté. Cette information est utile pour pouvoir retrouver le profil dans l'état où il se trouvait au moment de l'exécution des contrôles ;
• scoreThreshold, les seuils paramétrés sur le profil ;
• scoreInfo, les informations détaillées des règles exécutées ;
• preAuthorisationRuleResultList, une liste du résultat détaillé de chaque règle exécutée avant la demande d'autorisation.

Chaque objet contenu dans le champ preAuthorisationRuleResultList correspond au résultat d'une règle et contient les valeurs suivantes :

• ruleCode, le code de la règle. Pour connaître les codes de règles, veuillez-vous référer à la liste des règles ;
• ruleType, le type de la règle. Pour connaître le type de chaque règle, veuillez vous référer à la liste des règles ;
• ruleWeight, le poids de la règle défini dans le profil :
  • 0 : neutre,
  • 1 : importance faible,
  • 2 : importance moyenne,
  • 3 : importance forte,
  • 4 : décisive,
• ruleSetting, indique le type de configuration de la règle :
  • D : dynamique dans la transaction,
  • S : statique dans la configuration commerçant,
  • I : statique imposée dans la configuration de l'offre distributeur,
  • N : pas de configuration (lorsque la règle ne nécessite aucune configuration),
• ruleResultIndicator, le résultat d'exécution de la règle :
  • N : résultat négatif,
  • P : résultat positif,
  • O : résultat neutre,
  • U : règle non exécutée car transaction incomplète (ex. donnée non renseignée),
  • X : la règle n'est pas applicable à ce type de transaction,
  • B : règle non exécutée car débrayée par le commerçant,
  • E : règle non exécutée suite à erreur technique,
  • D : règle non exécutée suite à erreur de la surcharge dynamique,
• ruleDetailedInfo, informations complémentaires générées par cette règle.

Pour connaître les informations détaillées de chaque règle, veuillez vous référer à la description et mise en oeuvre des règles.

Ces champs vous sont restitués sur les interfaces suivantes :

• les réponses automatique et manuelle de Sogenactif Paypage ;
• la réponse des connecteurs Sogenactif (services Checkout, CashManagement (duplication) et Diagnostic) ;
• le Portail Sogenactif ;
• le journal des transactions à l'exception des champs scoreInfo et preAuthorisationRuleResultList.

Le résultat de l'exécution du profil de pré-authentification est restitué dans les champs ci-dessous :

• preAuthenticationColor, le résultat des règles représenté dans couleur ;
• preAuthenticationValue, la valeur du score global ;
• preAuthenticationThreshold, les seuils paramétrés sur le profil ;
• preAuthenticationInfo, les informations détaillées des règles exécutées ;
• preAuthenticationProfile, le nom du profil antifraude exécuté avant l'authentification ;
• preAuthorisationProfileValue, l'identifiant unique de la version du profil exécuté. Cette information est utile pour pouvoir retrouver le profil dans l'état où il se trouvait au moment de l'exécution des contrôles.
• preAuthenticationRuleResultList, une liste du résultat détaillé de chaque règle exécutée avant l'authentification.

Chaque objet contenu dans le champ preAuthenticationRuleResultList correspond au résultat d’une règle et contient les mêmes valeurs que le champ preAuthorisationRuleResultList en pré-autorisation. Pour en connaître le contenu, veuillez vous référer au mode pré-autorisation.

Ces champs vous sont restitués sur les interfaces suivantes :

• les réponses automatique et manuelle de Sogenactif Paypage ;
• la réponse des connecteurs Sogenactif Office Serveur (services Checkout, CashManagement (duplication) et Diagnostic) ;
• le Portail Sogenactif ;
• le journal des transactions à l'exception des champs preAuthenticationInfo et preAuthenticationRuleResultList.

L'offre globale Sogenactif propose divers moyens de paiements internationaux, comme les cartes Visa/Mastercard, le portefeuille numérique Paypal, le virement iDeal, le prélèvement SDD, etc.

Les règles ne s'appliquent pas nécessairement à tous les moyens de paiement.

Pour les moyens de paiement single message**, la définition des profils informatifs est techniquement possible, mais le résultat du contrôle n’aura aucun impact sur l’acceptation de la transaction.

Pour savoir si une règle antifraude est applicable à un moyen de paiement, veuillez-vous référer aux correspondances entre moyens de paiement et règles antifraudes.

____________________

** Moyen de paiement en single message : autorisation et remise en une étape, comme les virements tel que Ideal, Paybutton ou Paypal en mode immédiate. Moyen de paiement en dual message : autorisation et remise en deux étapes.

Les profils antifraudes s’appliquent aux transactions, ainsi qu’aux opérations de caisse provoquant la création d’une nouvelle transaction (duplication).

Ainsi les opérations de caisse standards qui manipulent les transactions existantes (validation, annulation, remboursement…) ne font pas l’objet des contrôles antifraudes.

Pour le paiement en N fois, seul le 1er paiement est soumis aux contrôles antifraudes.

Pour certaines règles, il est nécessaire de transmettre des données dans la requête. L’absence des données entraîne la non-exécution de la requête.

Par exemple, pour la règle de l’encours par identifiant client, il est nécessaire de transmettre l’identifiant du client dans la requête. Sinon la règle ne sera pas déclenchée.

Les règles ne s'appliquent pas nécessairement aux 2 modes (pré-authentification et pré-autorisation).

Par exemple la règle Authentification 3-D Secure n’est pas disponible en pré-authentification. En effet, cette règle se base sur le résultat de l’authentification 3-D Secure, or le profil antifraude de pré-authentification est appliqué en amont. Cette règle n’est pas applicable avant l’authentification.