防範自動化威脅的最佳做法

本文說明 Google Cloud Fraud Defense 的建議實作方式，以及防範重大自動化威脅 (OWASP 網頁應用程式自動化威脅 (OAT)) 的詐欺防制策略。企業架構師和技術利害關係人可以查看這項資訊，針對其用途做出明智的決策，決定如何導入 Fraud Defense 和制定詐欺防範策略。

本文針對每種威脅類型提供下列資訊：

• 以最佳方式導入 Fraud Defense。這項實作作業是根據 Fraud Defense 的相關功能設計，可提供最佳的詐騙防護。

• Fraud Defense 的最低實作方式。這個實作方式旨在提供最低限度的詐騙防護。

• 建議的詐欺防範策略。

選擇最符合您用途的實作和詐欺防範策略。 下列因素可能會影響您選擇的導入和詐欺防範策略：

• 貴機構的反詐欺需求和能力。
• 組織現有環境。

注意： 建議您根據貴機構的反詐欺需求，選擇最佳或最低限度導入方式。

如要進一步瞭解您使用案例的詐欺防範策略，請與我們的銷售團隊聯絡。

梳理

盜刷是一種自動化威脅，攻擊者會多次嘗試授權付款，以驗證大量竊取的付款卡片資料是否有效。

最低導入要求

1. 在使用者需要輸入信用卡資訊的所有頁面，安裝核取方塊網站金鑰。如要瞭解如何安裝核取方塊網站金鑰，請參閱「在網站中安裝核取方塊網站金鑰 (核取方塊驗證問題)」。

   注意：核取方塊網站金鑰會增加使用者困擾，並可能影響轉換率。

2. 為所有權杖建立評估。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

最佳導入方式

1. 在使用者需要輸入信用卡資訊的所有頁面，安裝計分型網站金鑰。在 action 參數中指定動作，例如 card_entry。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。

2. 在網站的付款工作流程中安裝 reCAPTCHA。如要瞭解如何保護付款工作流程，請參閱「保護付款工作流程」。

3. 為所有權杖建立評估，並將 expectedAction 設為與安裝評分型網站金鑰時指定的 action 值相符。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

4. 儲存所有評估 ID，並將變成詐欺性購買交易或交易退單的評估註解為 fraudulent。 如要瞭解如何為評估作業加上註解，請參閱「為評估作業加上註解」。

詐欺防範策略

導入 Fraud Defense 後，請使用下列其中一種詐欺防範策略，保護網站免受盜刷行為侵擾：

• 在網站上安裝 reCAPTCHA，用於付款工作流程。如要瞭解如何保護付款工作流程，請參閱「保護付款工作流程」。

• 設定卡片管理 API，確保 reCAPTCHA 權杖有效，且分數高於門檻值。

  如果分數未達到或超過指定門檻值，請勿執行授權或允許使用者使用卡片。 如果可以，請允許交易在購買時繼續進行，但稍後取消交易，以免驚動攻擊者。

• 建立評估時，請確保評估符合下列條件，交易才能順利完成：

  • 所有評估的權杖都有效，且分數大於指定門檻值。
  • expectedAction 的值與您在網頁上安裝以分數為準的網站金鑰時指定的 action 值相符。 如要瞭解如何驗證動作，請參閱「驗證動作」。

  如果交易不符合這些條件，請勿執行信用卡授權，或允許使用者使用該卡片。 如果情況允許，請先讓交易在購買時繼續進行，但稍後再取消交易，以免驚動攻擊者。

卡片破解

卡片破解是一種自動化威脅，攻擊者會嘗試不同的值，找出遭竊付款卡資料的開始日期、到期日和安全碼。

最低實作程度

1. 在所有需要使用者輸入付款詳細資料的頁面 (包括「結帳」和「新增付款方式」功能)，安裝核取方塊網站金鑰。 如要瞭解如何安裝核取方塊網站金鑰，請參閱「在網站中安裝核取方塊網站金鑰 (核取方塊驗證問題)」。

   注意：核取方塊網站金鑰會增加使用者摩擦，並可能影響轉換率。

2. 為所有權杖建立評估。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

最佳導入方式

1. 在使用者需要輸入付款詳細資料的所有頁面中，安裝計分型網站金鑰。在 action 參數中指定動作，例如 checkout 或 add_pmtmethod。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。

2. 在網站的付款工作流程中安裝 reCAPTCHA。如要瞭解如何保護付款工作流程，請參閱「保護付款工作流程」。

3. 為所有權杖建立評估，並將 expectedAction 設為與安裝分數型網站金鑰時指定的 action 值相符。如要瞭解如何建立評估作業，請參閱「建立評估作業」。

4. 儲存所有評估 ID，並將變成詐欺交易或退款的評估註記為 fraudulent。如要瞭解如何為評估作業加上註解，請參閱「為評估作業加上註解」。

詐欺防範策略

導入 Fraud Defense 後，請使用下列其中一項詐欺防範策略，保護網站免受卡片破解攻擊：

• 在網站的付款工作流程中安裝 reCAPTCHA。如要瞭解如何保護付款工作流程，請參閱「保護付款工作流程」。

• 實作回覆模型並建立評估：

  1. 建立並實施應變模式，根據風險分數調整應對方式。

     以下範例顯示回應模型範例：

     • 如果分數門檻介於低到中等 (0.0 到 0.5)，請採用情境式風險管理，例如限制嘗試次數，以及禁止購買超過指定金額的商品。
     • 如果分數高於最高門檻 (> 0.5)，請允許使用者繼續操作，不需進行任何驗證。
     注意：分數門檻可能會因使用者和攻擊者而異。 建議使用 reCAPTCHA 數據分析資訊主頁，判斷採取行動的最佳分數。

  2. 建立評估時，請確保 expectedAction 的值與您在網頁上安裝評分式網站金鑰時指定的 action 值相符。如果不相符，請勿執行卡片授權，或允許使用者使用卡片。 如果可以，請允許交易在購買時繼續進行，但稍後取消交易，以免驚動攻擊者。

憑證破解

憑證破解是一種自動化威脅，攻擊者會嘗試不同的使用者名稱和密碼值，找出有效的登入憑證。

最低實作程度

1. 在使用者需要輸入憑證的所有頁面上，安裝核取方塊網站金鑰，包括登入和忘記密碼功能。 如要瞭解如何安裝核取方塊網站金鑰，請參閱「在網站中安裝核取方塊網站金鑰 (核取方塊驗證問題)」。

   注意：核取方塊網站金鑰會增加使用者困擾，並可能影響轉換率。

2. 為所有權杖建立評估。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

最佳導入方式

1. 在使用者需要輸入憑證的所有頁面，安裝計分型網站金鑰。在 action 參數中指定動作，例如 login 或 authenticate。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。
2. 建議：針對所有驗證嘗試導入 reCAPTCHA Password Defense。如要瞭解如何使用 Password Defense，請參閱「偵測密碼外洩情形和外洩的憑證」。
3. 選用：如要封鎖高流量和低 reCAPTCHA 分數的互動，請將 reCAPTCHA 與網頁應用程式防火牆 (WAF) 整合。舉例來說，您可以整合 reCAPTCHA for WAF 和 Google Cloud Armor。
4. 導入 reCAPTCHA 帳戶防護工具，追蹤登入程序中終端使用者的行為趨勢，並接收可指出帳戶入侵的其他信號。如要瞭解如何使用 reCAPTCHA 帳戶防護工具，請參閱「偵測及防範帳戶相關的詐欺活動」。
5. 為所有權杖建立評估，並將 expectedAction 設為與安裝評分型網站金鑰時指定的 action 值相符。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。
6. 儲存所有評估 ID，並註解顯示詐欺的評估，例如帳戶盜用 (ATO) 或任何其他詐欺活動。如要瞭解如何為評估作業加上註解，請參閱「為評估作業加上註解」。

詐欺防範策略

導入 Fraud Defense 後，請採用下列詐欺防範策略，保護網站免受憑證破解攻擊：

1. 建立並實作根據分數風險調整的回覆模型。

   以下範例顯示回應模型範例：

   • 如果分數門檻為低到中等 (0.0 到 0.5)，請透過電子郵件或簡訊要求使用者完成多重驗證。
   • 如果分數高於最高門檻 (> 0.5)，允許使用者繼續操作，不必通過任何驗證。
   注意：分數門檻可能會因使用者和攻擊者而異。 建議您使用 reCAPTCHA Analytics 資訊主頁，判斷要對哪些分數採取行動。
2. 如果使用者成功通過驗證，但收到 reCAPTCHA Password Defense 傳送的 credentialsLeaked: true 回應，請結束或中斷工作階段，並傳送電子郵件給使用者，要求他們變更密碼。
3. 建立評估時，請確保 expectedAction 的值與您在網頁上安裝評分式網站金鑰時指定的 action 值相符。如果不相符，請勿允許驗證。

憑證填充行為

憑證填充是一種自動化威脅，攻擊者會嘗試大量登入，驗證竊取的使用者名稱/密碼組合是否有效。

最低導入要求

1. 在使用者需要輸入憑證的所有頁面安裝核取方塊網站金鑰，包括「登入」和「忘記密碼」功能。 如要瞭解如何安裝核取方塊網站金鑰，請參閱「在網站中安裝核取方塊網站金鑰 (核取方塊驗證問題)」。

   注意：核取方塊網站金鑰會增加使用者摩擦，並可能影響轉換率。

2. 為所有權杖建立評估。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

最佳導入方式

1. 在使用者需要輸入憑證的所有頁面，安裝計分型網站金鑰。在 action 參數中指定動作，例如 login 或 authenticate。如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。
2. 建議：針對所有驗證嘗試導入 reCAPTCHA Password Defense。如要瞭解如何使用 Password Defense，請參閱「偵測密碼外洩情形和外洩的憑證」。
3. 導入 reCAPTCHA 帳戶防護工具，追蹤登入程序中終端使用者的行為趨勢，並接收可指出帳戶入侵的其他信號。如要瞭解如何使用 reCAPTCHA 帳戶防護工具，請參閱「偵測及防範帳戶相關的詐欺活動」。

4. 選用：如要封鎖高流量和低 reCAPTCHA 分數的互動，請將 reCAPTCHA 與網頁應用程式防火牆 (WAF) 整合。舉例來說，您可以整合 reCAPTCHA for WAF 和 Google Cloud Armor。

5. 為所有權杖建立評估，並將 expectedAction 設為與安裝分數型網站金鑰時指定的 action 值相符。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

6. 儲存所有評估 ID，並將變成詐欺交易或退款的評估註記為 fraudulent。如要瞭解如何為評估作業加上註解，請參閱「為評估作業加上註解」。

詐欺防範策略

導入 Fraud Defense 後，請採用下列詐欺防範策略，保護網站免受憑證填塞攻擊：

1. 建立並實作根據分數風險調整的回覆模型。

   以下範例顯示回應模型範例：

   • 如果 reCAPTCHA 分數門檻最低 (0.0)，請告知使用者密碼有誤。
   • 如果分數介於中間值 (0.1 至 0.5)，則透過電子郵件或簡訊，要求使用者完成多重驗證。
   • 如果分數高於最高門檻 (> 0.5)，允許使用者繼續操作，不必通過任何驗證。
   注意：分數門檻可能會因使用者和攻擊者而異。 建議您使用 reCAPTCHA Analytics 資訊主頁，判斷要對哪些分數採取行動。
2. 如果使用者成功通過驗證，但收到 reCAPTCHA Password Defense 傳送的 credentialsLeaked: true 回應，請結束或中斷工作階段，並傳送電子郵件給使用者，要求他們變更密碼。
3. 建立評估時，請確保 expectedAction 的值與您在網頁上安裝評分式網站金鑰時指定的 action 值相符。如果不相符，請勿允許驗證。
4. 在評估中，如果 accountDefenderAssessment=PROFILE_MATCH，請允許使用者繼續操作，不必進行任何驗證。

提領款項

提領現金是一種自動化威脅，攻擊者會利用先前驗證過的失竊付款卡，取得貨幣或高價值物品。

最低導入要求

1. 在所有可結帳的頁面中，安裝分數制網站金鑰。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。
2. 為所有權杖建立評估。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

最佳導入方式

1. 在使用者輸入禮物卡資訊的所有頁面中，安裝計分型網站金鑰。指定動作，例如 add_gift_card。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。

2. 為所有權杖建立評估，並將 expectedAction 設為與安裝評分型網站金鑰時指定的 action 值相符。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

3. 儲存所有評估 ID，並註記詐欺交易。

詐欺防範策略

導入 Fraud Defense 後，請使用下列詐欺防範策略，保護網站免於提領現金：

• 在網站的付款工作流程中安裝 reCAPTCHA。如要瞭解如何保護付款工作流程，請參閱「保護付款工作流程」。

• 實作回覆模型並建立評估：

  1. 建立並實施應變模式，根據風險分數調整應對方式。

     以下範例顯示回應模型範例：

     • 如果分數門檻介於低到中等 (0.0 到 0.5)，請採用情境式風險管理，例如限制嘗試次數，以及禁止購買超過指定金額的商品。
     • 如果分數高於最高門檻 (> 0.5)，請允許使用者繼續操作，不需進行任何驗證。
     注意：分數門檻可能會因使用者和攻擊者而異。 建議使用 reCAPTCHA 數據分析資訊主頁，判斷採取行動的最佳分數。
  2. 建立評估時，請確保 expectedAction 的值與您在網頁上安裝評分式網站金鑰時指定的 action 值相符。如果兩者不相符，請勿允許驗證。 如果情況允許，請在購買時允許交易繼續進行，但稍後再取消交易，以免驚動攻擊者。

建立帳戶

帳戶建立是自動化威脅，攻擊者會建立多個帳戶，以供後續濫用。

最低實作程度

1. 在使用者需要輸入憑證的所有頁面上，安裝核取方塊網站金鑰，包括登入和忘記密碼功能。 如要瞭解如何安裝核取方塊網站金鑰，請參閱「在網站中安裝核取方塊網站金鑰 (核取方塊驗證問題)」。

   注意：核取方塊網站金鑰會增加使用者困擾，並可能影響轉換率。

2. 為所有權杖建立評估。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

最佳導入方式

1. 在建立帳戶的所有頁面中，安裝分數制網站金鑰。 在 action 參數中指定動作，例如 register。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。
2. 建議：針對所有驗證嘗試導入 reCAPTCHA Password Defense。如要瞭解如何使用 Password Defense，請參閱「偵測密碼外洩情形和外洩的憑證」。
3. 導入 Fraud Defense Account Defense 功能，接收更多顯示帳戶為假造的信號。如要瞭解如何使用 reCAPTCHA 帳戶防護工具，請參閱「偵測及防範帳戶相關的詐欺活動」。

4. 選用：如要封鎖高流量和低 reCAPTCHA 分數的互動，請將 reCAPTCHA 與網頁應用程式防火牆 (WAF) 整合。舉例來說，您可以整合 reCAPTCHA for WAF 和 Google Cloud Armor。

5. 為所有權杖建立評估，並將 expectedAction 設為與安裝評分型網站金鑰時指定的 action 值相符。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

6. 儲存所有評估 ID，並註記詐欺交易。

詐欺防範策略

導入 Fraud Defense 後，請使用下列詐欺防範策略，保護網站免受帳戶建立行為侵擾：

1. 建立並實作根據分數風險調整的回覆模型。

   以下範例顯示回應模型範例：

   • 如果 reCAPTCHA 分數達到最低門檻 (0.0)，請限制帳戶操作，直到進一步完成詐欺檢查。
   • 如果分數介於 0.1 到 0.5 之間，請透過電子郵件或簡訊，要求使用者完成多重驗證。
   • 如果分數高於最高門檻 (> 0.5)，請允許使用者繼續操作，不需進行任何驗證。
   注意：您的分數門檻可能因使用者和攻擊者而異。 建議您使用 reCAPTCHA Analytics 資訊主頁，判斷要對哪些分數採取行動。
2. 如果使用者成功通過驗證，但收到 Fraud Defense Password Defense 功能的 credentialsLeaked: true 回應，請結束或中斷工作階段，並提示使用者選取新密碼。
3. 建立評估時，請確保 expectedAction 的值與您在網頁上安裝評分式網站金鑰時指定的 action 值相符。如果不相符，請勿允許註冊或建立帳戶。
4. 在評估中，如果 accountDefenderAssessment=SUSPICIOUS_ACCOUNT_CREATION，請限制帳戶的存取權，直到可以執行進一步驗證為止。

詐欺性帳戶和地址變更

攻擊者可能會嘗試變更帳戶詳細資料，包括電子郵件地址、電話號碼或郵寄地址，以進行詐欺活動或帳戶入侵。

最低實作程度

1. 在使用者需要輸入憑證的所有頁面上，安裝核取方塊網站金鑰，包括登入和忘記密碼功能。 如要瞭解如何安裝核取方塊網站金鑰，請參閱「在網站中安裝核取方塊網站金鑰 (核取方塊驗證問題)」。

   注意：核取方塊網站金鑰會增加使用者摩擦，並可能影響轉換率。

2. 為所有權杖建立評估。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

最佳導入方式

1. 在建立帳戶的所有頁面中，安裝分數制網站金鑰。 在 action 參數中指定動作，例如 change_telephone 或 change_physicalmail。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。

2. 為所有權杖建立評估，並將 expectedAction 設為與安裝評分型網站金鑰時指定的 action 值相符。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

3. 導入 reCAPTCHA 帳戶防護工具，追蹤登入程序中終端使用者的行為趨勢，並接收可指出帳戶入侵的其他信號。如要瞭解如何使用 reCAPTCHA 帳戶防護工具，請參閱「偵測及防範帳戶相關的詐欺活動」。

4. 儲存所有評估 ID，並為詐欺交易加上註解。

詐欺防範策略

導入 Fraud Defense 後，請使用下列詐欺防範策略，保護網站免受詐欺帳戶和地址變更的影響：

1. 建立並實作根據分數風險調整的回覆模型。

   以下範例顯示回應模型範例：

   • 如果分數門檻為低到中等 (0.0 到 0.5)，請透過電子郵件或簡訊要求使用者完成多重驗證。
   • 如果分數高於最高門檻 (> 0.5)，允許使用者繼續操作，不必通過任何驗證。
   注意：分數門檻可能會因使用者和攻擊者而異。 建議使用 reCAPTCHA 數據分析資訊主頁，判斷採取行動的最佳分數。

2. 建立評估時，請確保 expectedAction 的值與您在網頁上安裝評分式網站金鑰時指定的 action 值相符。如果不相符，請勿允許變更帳戶。

3. 在評估中，如果 accountDefenderAssessment 沒有 PROFILE_MATCH 標籤，請透過電子郵件或簡訊要求使用者進行多重驗證。

破解權杖

代碼破解是一種自動化威脅，攻擊者會大量列舉優待券號碼、兌換碼和折扣代碼。

最低實作程度

1. 在使用者需要輸入禮物卡資訊的所有頁面，安裝核取方塊網站金鑰。 如要瞭解如何安裝核取方塊網站金鑰，請參閱「在網站中安裝核取方塊網站金鑰 (核取方塊驗證問題)」。

   注意：核取方塊網站金鑰會增加使用者摩擦，並可能影響轉換率。

2. 為所有權杖建立評估。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

最佳導入方式

1. 在使用者需要輸入禮物卡資訊的所有頁面中，安裝計分型網站金鑰。指定動作，例如 gift_card_entry。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。

2. 選用：如要封鎖大量互動和 reCAPTCHA 分數偏低的互動，請整合 reCAPTCHA 與網路應用程式防火牆 (WAF)。 舉例來說，您可以整合 reCAPTCHA for WAF 和 Google Cloud Armor。

3. 為所有權杖建立評估，並將 expectedAction 設為與安裝評分型網站金鑰時指定的 action 值相符。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

4. 儲存所有評估 ID，並註記變成詐欺禮物卡或優待券的評估。

詐欺防範策略

導入 Fraud Defense 後，請使用下列其中一種詐欺防範策略，保護網站免受權杖破解行為侵擾：

• 設定卡片管理 API，確保 reCAPTCHA 權杖有效，且分數高於門檻值。

  如果分數未達到或超過指定門檻，請勿執行禮物卡或信用卡授權，也不要允許使用者使用優待券或禮物卡。如果情況允許，請先讓交易在購買時繼續進行，但稍後再取消交易，以免驚動攻擊者。

• 建立評估時，請確保評估符合下列條件，交易才能順利完成：

  • 所有評估的權杖都有效，且分數大於指定門檻值。
  • expectedAction 的值與您在網頁上安裝評分式網站金鑰時指定的 action 值相符。如要瞭解如何驗證動作，請參閱「驗證動作」。

  如果交易不符合這些條件，請勿執行禮物卡或信用卡授權，也不要允許使用者使用優待券或禮物卡。如果可以，請允許交易在購買時繼續進行，但稍後取消交易，以免驚動攻擊者。

黃牛票

黃牛黨是一種自動化威脅，攻擊者會以不公平的方式取得數量有限的熱門商品或服務。

最低實作程度

1. 在使用者需要輸入禮物卡資訊的所有頁面中，安裝計分型網站金鑰。在 action 參數中指定動作，例如 add_to_cart。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。
2. 為所有權杖建立評估，並將 expectedAction 設為與安裝分數型網站金鑰時指定的 action 值相符。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

最佳導入方式

1. 在使用者需要輸入禮物卡資訊的所有頁面中，安裝計分型網站金鑰。在 action 參數中指定動作，例如 add_to_cart。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。

2. 選用：如要封鎖大量互動和 reCAPTCHA 分數偏低的互動，請整合 reCAPTCHA 與網路應用程式防火牆 (WAF)。 舉例來說，您可以整合 reCAPTCHA for WAF 和 Google Cloud Armor。

3. 為所有權杖建立評估，並將 expectedAction 設為與安裝評分型網站金鑰時指定的 action 值相符。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

4. 儲存所有評估 ID，並註記詐欺交易。

詐欺防範策略

導入 Fraud Defense 後，請使用下列詐欺防範策略，保護網站免受黃牛搶票行為侵擾：

1. 建立並實作根據分數風險調整的回覆模型。

   以下範例顯示回應模型範例：

   • 如果分數門檻介於低到中等 (0.0 到 0.5)，請採用情境式風險管理，例如限制嘗試次數，以及禁止購買超過指定金額的商品。
   • 如果分數高於最高門檻 (> 0.5)，請允許使用者繼續操作，不需進行任何驗證。
   注意：分數門檻可能會因使用者和攻擊者而異。 建議使用 reCAPTCHA 數據分析資訊主頁，判斷採取行動的最佳分數。

2. 建立評估時，請確保 expectedAction 的值與您在網頁上安裝評分式網站金鑰時指定的 action 值相符。如果兩者不符，請勿授權使用禮物卡。

傾斜

「扭曲」是一種自動化威脅，攻擊者會重複點擊連結、提出網頁要求或提交表單，藉此改變特定指標。

最低實作程度

1. 在所有可能導致指標失準的網頁上，安裝分數制網站金鑰。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。
2. 為所有權杖建立評估。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

最佳導入方式

1. 在可能發生指標偏誤的所有網頁上，安裝分數制網站金鑰。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。

2. 選用：如要封鎖高流量和低 reCAPTCHA 分數的互動，請將 reCAPTCHA 與網頁應用程式防火牆 (WAF) 整合。舉例來說，您可以整合 reCAPTCHA for WAF 和 Google Cloud Armor。

3. 為所有權杖建立評估，並將 expectedAction 設為與安裝評分型網站金鑰時指定的 action 值相符。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

4. 儲存所有評估 ID，並註記詐欺交易。

詐欺防範策略

導入 Fraud Defense 後，請使用下列詐欺防範策略，保護網站免於遭到扭曲：

建立並實施應變模式，根據風險分數調整應對方式。

以下是回應模型範例：

• 如果分數門檻為低到中等 (0.0 到 0.5)，請使用情境式風險管理，例如追蹤使用者點選廣告的次數，或使用者重新載入網頁的次數。並根據這些資料決定是否要計算指標。
• 如果分數高於最高門檻 (> 0.5)，請允許使用者繼續操作，不需進行任何驗證。

注意：您的分數門檻可能因使用者和攻擊者而異。 建議您使用 reCAPTCHA Analytics 資訊主頁，判斷要對哪些分數採取行動。

抓取

網頁內容擷取是一種自動化威脅，攻擊者會以自動方式收集網站資料或構件。

最低導入要求

1. 在所有含有重要資訊的頁面，以及重要的常見使用者互動頁面，安裝以分數為準的網站金鑰。如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。
2. 為所有權杖建立評估。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

最佳導入方式

1. 在所有含有重要資訊的頁面，以及重要的常見使用者互動頁面，安裝以分數為準的網站金鑰。如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。

2. 選用：如要封鎖大量互動和 reCAPTCHA 分數偏低的互動，請整合 reCAPTCHA 與網路應用程式防火牆 (WAF)。 舉例來說，您可以整合 reCAPTCHA for WAF 和 Google Cloud Armor。

3. 為所有權杖建立評估。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

4. 儲存所有評估 ID，並註記詐欺交易。

詐欺防範策略

導入 Fraud Defense 後，請使用下列詐欺緩解策略，保護網站免於遭到網頁抓取：

• 將 Fraud Defense 與網頁應用程式防火牆 (WAF) 整合，即可封鎖大量且 reCAPTCHA 分數偏低的互動。舉例來說，您可以整合 Fraud Defense for WAF 和 Google Cloud Armor
• 如果抓取涉及 API，請使用 Apigee Management API 採取其他緩解措施。

人機驗證 (Captcha) 失敗

CAPTCHA 破解是一種自動化威脅，攻擊者會使用自動化技術，嘗試分析並判斷視覺和/或聽覺 CAPTCHA 測試及相關謎題的答案。

最低導入要求

1. 在所有涉及使用者輸入、帳戶建立、付款資訊，或使用者互動可能發生詐欺的網頁上，安裝以分數為準的網站金鑰。在 action 參數中指定描述性動作。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。

2. 為所有權杖建立評估，並將 expectedAction 設為與安裝評分型網站金鑰時指定的 action 值相符。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

最佳導入方式

1. 在所有涉及使用者輸入、帳戶建立、付款資訊，或使用者互動可能發生詐欺的網頁上，安裝以分數為準的網站金鑰。在 action 參數中指定說明動作。 如要瞭解如何安裝分數制網站金鑰，請參閱「在網站中安裝分數制網站金鑰 (無驗證問題)」。

2. 選用：如要封鎖大量互動和 reCAPTCHA 分數偏低的互動，請整合 reCAPTCHA 與網路應用程式防火牆 (WAF)。 舉例來說，您可以整合 reCAPTCHA for WAF 和 Google Cloud Armor。

3. 為所有權杖建立評估，並將 expectedAction 設為與安裝評分型網站金鑰時指定的 action 值相符。 如要瞭解如何建立評估作業，請參閱「建立評估作業」。

4. 儲存所有評估 ID，並將變成詐欺性購買交易或交易退單的評估註解為 fraudulent。 如要瞭解如何為評估作業加上註解，請參閱「為評估作業加上註解」。

詐欺防範策略

導入 Fraud Defense 後，請採用下列其中一項詐欺緩解策略，保護網站免受人機驗證破解攻擊：

• 實作回覆模型並建立評估：

  1. 建立並實施應變模式，根據風險分數調整應對方式。

     以下範例顯示回應模型範例：

     • 如果分數門檻為低到中等 (0.0 到 0.5)，請透過電子郵件或簡訊要求使用者完成多重驗證。
     • 如果分數高於最高門檻 (> 0.5)，允許使用者繼續操作，不必通過任何驗證。
     注意：分數門檻可能會因使用者和攻擊者而異。 建議使用 reCAPTCHA 數據分析資訊主頁，判斷採取行動的最佳分數。
  2. 建立評估時，請確保 expectedAction 的值與您在網頁上安裝評分式網站金鑰時指定的 action 值相符。如果不相符，請勿允許驗證。

• 如果使用者使用的網路瀏覽器已停用 JavaScript，請執行下列操作：

  1. 封鎖這些使用者。
  2. 通知使用者網站需要 JavaScript 才能繼續操作。

• 請確保 grecaptcha.enterprise.ready 承諾已履行，以免使用者瀏覽器封鎖 Google 指令碼載入。這表示 reCAPTCHA JavaScript API 已完整載入，且未發生錯誤。

• 如果是僅限網頁的 API，建議將 reCAPTCHA 權杖或 Fraud Defense 評估結果傳遞至後端 API，並在 reCAPTCHA 權杖有效且符合分數門檻值時，才允許 API 動作。確保使用者不會略過網站直接使用 API。

後續步驟

• 安裝分數制網站金鑰。
• 安裝核取方塊網站金鑰。
• 建立評估作業。
• 為評估結果加上註解。
• 實作 Password Defense。
• 導入帳戶防禦機制。