Налаштування рівня захисту та ризик-правил

Захищене оформлення замовлення та правила ризику#

Збільшити ↗

Функція Ризикові замовлення захищає створення замовлення на сервері, а не лише показує вікно OTP у браузері. Вона підтримує три рівні захисту: рекомендований збалансований, суворий для кожного замовлення та вибірковий за власними правилами.

Вкладка OTP -> Ризикові замовлення показується одразу після ввімкнення сценарію OTP -> Налаштування OTP -> Оформлення замовлення. Якщо цей сценарій вимкнути, вкладка ховається, а перевірка правил не виконується.

Логіка роботи:

• Оформлення замовлення увімкнено, а Підтвердження ризикових замовлень вимкнено - оформлення вимагає підтверджений номер, але чинне підтвердження повторно використовується протягом заданого часу життя;
• обидва перемикачі увімкнено, режим Тестовий - у журналі фіксуються випадки, які в робочому режимі вимагали б OTP, але оформлення не зупиняється;
• у робочому збалансованому режимі чинне підтвердження потрібне гостю, новому клієнту та для непідтвердженого номера; перевірений постійний клієнт проходить без повторного коду, якщо не спрацювало власне правило;
• у робочому суворому режимі перевіряється кожне замовлення, але чинне підтвердження того самого номера повторно використовується до завершення його строку життя;
• у робочому режимі Лише правила чинне підтвердження потрібне тільки після збігу першого активного правила;
• новий OTP надсилається лише коли номер ще не підтверджений, строк довіри завершився, номер змінився або серверна сесія більше не підтверджує цей номер;
• для кожного окремого замовлення модуль створює новий correlation_id і окремий внутрішній дозвіл. Навіть коли використано чинне підтвердження без нового коду, дозвіл атомарно споживається фінальним створенням замовлення й не може бути повторно використаний паралельним запитом;
• миттєвий повтор фінального запиту з тим самим відбитком оформлення блокується як можливий дубль. Окреме наступне замовлення з новим станом checkout отримує власний дозвіл;
• строк внутрішнього дозволу не може перевищувати ані Час життя підтвердженого номера, ані Строк підтвердження checkout.

Безпечне ввімкнення#

1. Переконайтеся, що OTP Статус і Оформлення замовлення увімкнені.
2. Відкрийте OTP -> Ризикові замовлення.
3. Увімкніть перемикач у блоці Підтвердження ризикових замовлень.
4. Залиште Режим роботи = Тестовий - лише журнал.
5. Виберіть Рівень захисту = Збалансований.
6. Для поля Якщо OTP неможливо надіслати залиште блокування.
7. Задайте строк підтвердження оформлення замовлення.
8. Виберіть статуси замовлень, які магазин вважає успішними.
9. Створіть додаткові правила й натисніть Зберегти.
10. Перевірте гостя, нового клієнта, постійного клієнта та хоча б одне власне правило.
11. Перевірте блок Останні спрацювання.
12. Лише після перевірки журналу перемкніть режим на Робочий - вимагати OTP.

Основні налаштування#

Матриця рівнів захисту#

У тестовому режимі жоден із рівнів не зупиняє покупця. Журнал показує випадки, які вимагали б OTP після переходу в робочий режим.

Як перевіряються правила#

Кожне правило має назву, перемикач Активне правило, пріоритет, логіку умов і одну або кілька умов.

• Менше число в полі Пріоритет перевіряється раніше. Наприклад, 10 має вищий пріоритет за 20.
• Усі умови (AND) означає, що мають виконатися всі умови правила.
• Будь-яка умова (OR) означає, що достатньо хоча б однієї умови.
• Після першого збігу перевірка зупиняється. Саме назва цього правила потрапляє в журнал.
• Неактивне правило не впливає на оформлення замовлення.
• Кнопка копіювання створює копію правила, а червона кнопка видаляє його. Окрема червона кнопка в рядку умови видаляє тільки цю умову.

Показники правил#

Тип покупця читається так:

• Гість - покупець не авторизований;
• Авторизований клієнт - покупець авторизований і має хоча б одне замовлення в обраних успішних статусах;
• Клієнт без успішних замовлень - покупець авторизований, але ще не має замовлень у цих статусах.

Список для показника Спосіб оплати не зашитий у модуль. Він автоматично читає встановлені платіжні розширення та їхні статуси. Для OpenCart/ocStore 2.3 перевіряються старі ключі налаштувань, а для 3.x - нові ключі payment_*, із сумісною перевіркою в обидва боки. Якщо спосіб оплати встановлено, але він не з'явився у правилі, спочатку переконайтеся, що його статус справді Увімкнено, а потім перезбережіть сторінку модуля.

Рекомендований стартовий набір#

Пороги нижче - приклад, а не універсальна істина. Суми треба адаптувати до середнього чека й валюти магазину.

Тримайте правила від вузьких до загальних. Правило масових повторів має бути вище за правило великої суми, інакше журнал показуватиме тільки загальне правило, а причина ризику буде менш зрозумілою.

Останні спрацювання#

Журнал показує дату, назву правила, замаскований телефон, статус рішення та ID створеного замовлення, якщо воно вже існує. Відкритий номер у журналі ризику не зберігається.

Типові статуси журналу: збіг у тестовому режимі, потрібне підтвердження OTP, OTP підтверджено, чинне підтвердження використано повторно, замовлення створено, дозволено постійному клієнту, дозволено через відсутність збігу у вибірковому режимі або надсилання OTP не вдалося. У режимі приватності для адміністратора без головних прав телефон у цьому журналі маскується повністю.

Активні правила кешуються між запитами, а дані оформлення обчислюються тільки коли вони реально потрібні. Для гостя у збалансованому режимі та для будь-якого покупця в суворому модуль одразу знає, що потрібне чинне підтвердження номера, тому не читає власні правила з бази й не запускає їхні додаткові запити. Якщо підтвердження ще діє, окремий дозвіл створюється без надсилання нового OTP. Для перевіреного постійного клієнта правила все одно виконуються. Це зменшує навантаження без послаблення захисту.