Une règle antifraude est une vérification effectuée sur l’un des critères de la transaction. Le critère contrôlé peut être par exemple le pays émetteur de la carte, la plage de montants, le numéro de la carte, l’adresse IP, l’identifiant du client, etc. Les règles sont classées par catégorie : géolocalisation, vélocité, liste, panier et divers.

Les règles sont de type GO (détectant une condition favorable à la poursuite de la transaction) ou NOGO (détectant une condition défavorable à la transaction).

Les règles doivent être activées et paramétrées dans un profil antifraude afin d’être exécutées. Pour la définition d’un tel profil, veuillez-vous référer à la définition d'un profil antifraude.

Les règles peuvent être paramétrées en mode décisif ou informatif.

De base, certaines règles n’ont pas nécessairement un caractère positif ou négatif (par exemple les règles de géolocalisation ; vous pouvez vouloir favoriser certains pays ou en défavoriser d’autres) tandis que d’autres ont forcément un caractère positif (listes blanches) ou négatif (listes noires).

Par défaut les règles proposées sont configurables dans un mode de configuration simple, c’est-à-dire qu’une règle est définie comme étant positive (GO) ou négative (NOGO).

Néanmoins, certaines règles bénéficient d’un mode de configuration avancée. En mode de configuration avancée, une même règle peut être à la fois positive (GO) et négative (NOGO). Elle aura donc une influence positive, négative ou neutre sur le résultat du contrôle de la transaction en fonction du paramétrage de la règle et du contexte de transaction.

Le choix d’activer le mode de configuration avancée se fait lors du paramétrage de la règle dans le profil. Il est possible de n’activer ce mode que pour certaines règles et de laisser le mode de configuration simple pour les autres.

Le paramétrage avancé d’une règle permet de spécifier les critères qui auront une influence positive ou négative sur le résultat.

Exemple avec la règle plage de montant configurée en décisif :

Exemple avec la règle authentification 3-D Secure configurée en décisif :

En mode pré-autorisation (le mode par défaut de contrôle de lutte contre la fraude de Mercanet), les règles sont exécutées avant la demande d’autorisation et après l’authentification 3-D Secure (si la boutique est enrôlée 3-D Secure). Si le résultat du contrôle est négatif, la transaction sera refusée avant la demande d’autorisation.

Pour les moyens de paiement avec redirection vers une page spécifique pour ce moyen de paiement (exemple : Paypal), le contrôle pré-autorisation est déclenché avant la redirection.

En fonction de votre besoin, vous définissez votre ou vos profils pré-autorisation en combinant :

• les règles GO et/ou NOGO ;
• les modes décisif et/ou informatif.

Un profil est informatif quand toutes les règles sont en mode informatif.

Un profil est décisif quand toutes les règles sont en mode décisif.

Un profil est mixte quand il comporte des règles en mode informatif et en mode décisif.

Un profil antifraude est un ensemble de règles que vous choisissez et paramétrez parmi les règles proposées par Mercanet. Les règles sont exécutées avant l’authentification 3-D Secure et avant la demande d’autorisation selon votre paramétrage (pour comprendre les modes pré-authentification et pré-autorisation, veuillez-vous référer aux modes d'exécution et leurs impacts sur l'acceptation).

Il existe 3 types de profils antifraude :

• le profil « offre » du distributeur ;
• les modèles de profil ;
• les profils marchands.

Un profil « offre » distributeur est défini par le distributeur et administré par BNP Paribas. Il définit le périmètre des règles disponibles et des configurations éventuellement imposées. Si une boutique n’a pas de profil adapté au moyen de paiement utilisé alors c’est le profil offre distributeur qui s’applique.

Les modèles de profil sont définis et administrés par Mercanet, ils sont utilisés comme modèle pour créer les profils marchands.

Les profils marchands sont définis par vous pour votre boutique et administrés par vous et/ou le distributeur (selon le choix du distributeur). Ils peuvent être créés à partir d’un profil modèle. Le terme « profil de boutique », parfois également utilisé dans ce document, est équivalent au profil marchand.

Dans la suite de ce document, lorsque la notion de « profil » est évoquée, il s'agit de profils marchands.

Le paramétrage des profils antifraude se fait l'onglet fraude du Merchant Extranet.

Dans la plupart des cas, vous définissez un profil antifraude unique qui est appliqué à l’ensemble de vos transactions, quel que soit le moyen de paiement utilisé. Cependant, vous pouvez également définir des profils antifraudes supplémentaires ayant un paramétrage adapté à un ou plusieurs moyens de paiement particuliers.

Lorsqu’une transaction doit être évaluée, le système de contrôle du risque commence par chercher, au sein du paramétrage de la boutique un profil antifraude spécifique au moyen de paiement utilisé.

Si un tel profil n’est pas trouvé, le système cherche le profil par défaut de la boutique. Ce profil est un profil permettant d’analyser les transactions qui n’ont pas été traitées par des profils spécifiques aux moyens de paiement.

Pour créer un profil par défaut, il suffit de créer un profil sans lui attribuer de moyen de paiement.

Il ne peut y avoir qu’un seul profil actif pour un moyen de paiement donné. De même, il ne peut y avoir qu’un seul profil par défaut actif.

Par exemple, il est possible d'avoir :

• un profil dédié CB, VISA et MASTERCARD ;
• un profil dédié AMEX ;
• et un profil par défaut qui contrôlera les transactions payées avec un autre moyen de paiement.

Soit trois profils actifs simultanément.

Vous pouvez créer autant de profils inactifs que nécessaire. Ceci permet par exemple de garder des profils en réserve pour des périodes particulières de l’année (soldes, fêtes…).

Les règles sont déclenchées séquentiellement suivant l'ordre du paramétrage du profil.

La première règle paramétrée en mode décisif qui donne un résultat positif pour les règles GO, ou négatif pour les règles NOGO, arrête le déclenchement de la suite des règles décisives.

Les règles en mode informatif sont déclenchées systématiquement.

Pour la restitution du résultat des règles en informatif ou en décisif veuillez-vous référer à la restitution du résultat des règles. Le schéma ci-dessous décrit le déclenchement de règles.

Vous avez la possibilité de débrayer dynamiquement, dans la requête de la transaction, certaines règles du profil. Pour avoir la liste des directives de débrayage consultez la donnée cardProductProfil dans le dictionnaire des données.

Vous avez la possibilité de surcharger dynamiquement, dans la requête de la transaction, certaines règles du profil.

Les modalités de surcharge dynamique sont décrites dans la description et mise en oeuvre des règles.

Le résultat de l’exécution du profil de pré-autorisation est restitué dans les champs complementaryCode, complementaryInfo, preAuthorisationProfile, preAuthorisationProfileValue et preAuthorisationRuleResultList :

• complementaryCode contient le code spécifique de la règle décisive ou informative qui a retourné un résultat négatif (pour les règles du type NOGO) ou positif (pour les règles du type GO). Si aucune règle décisive ou informative n’a retourné de résultat positif ou négatif, le champ vaut 00 ;
• complementaryInfo* contient 3 types d’informations :
  1. le résultat de chaque règle (décisive ou informative) exécutée dans le profil marchand au format <RULE_RESULT XX=Y XX=Y … XX=Y /> :

     Lettre(s)	Description	Valeur
     XX	Code de la règle.	Pour connaître les codes de règles, veuillez vous référer à la liste des règles.
     Y	Résultat d'exécution	N : résultat négatif
     		P : résultat positif
     		O : résultat neutre
     		U : règle pas exécutée car transaction incomplète (par exemple donnée non renseignée)
     		X : règle non applicable à ce type de transaction
     		B : règle non exécutée car vous l'avez débrayée
     		E : règle non exécutée suite à erreur technique
     		D : règle non exécutée suite à erreur de la surcharge dynamique

  2. les informations complémentaires générées par les règles exécutées.

     Pour connaître les informations détaillées, veuillez-vous référer à la description et mise en oeuvre des règles. Notez que seules certaines règles alimentent le champ complementaryInfo,

  3. les informations sur la carte de paiement utilisée le cas échéant.
     Pour connaître les informations détaillées, veuillez-vous référer aux informations carte,
• preAuthorisationProfile contient le nom du profil antifraude exécuté avant la demande d’autorisation ;
• preAuthorisationProfileValue contient l’identifiant unique de la version du profil exécuté. Cette information est utile pour pouvoir retrouver le profil dans l’état où il se trouvait au moment de l’exécution des règles ;
• preAuthorisationRuleResultList contient une liste du résultat détaillé de chaque règle exécutée avant la demande d’autorisation.

Ces champs vous sont restitués sur les interfaces suivantes :

• la réponse automatique et la réponse manuelle de Paypage ;
• la réponse des connecteurs Office (M2M) (services Checkout, CashManagement (duplication) et Diagnostic) ;
• Merchant Extranet ;
• le journal des transactions à l’exception du champ preAuthorisationRuleResultList.

Profil informatif

Profil décisif ou mixte

* Le champ complementaryInfo est déprécié. Il n’évoluera plus et cessera à terme d’être alimenté. Les informations qu’il contient sont disponibles dans une version améliorée, dans le champ preAuthorisationRuleResultList.

** Voir la liste des règles

L'offre globale Mercanet propose divers moyens de paiements internationaux, comme les cartes Visa/Mastercard, le portefeuille numérique Paypal, le virement iDeal, le prélèvement SDD, etc.

Les règles ne s'appliquent pas nécessairement à tous les moyens de paiement.

Pour les moyens de paiement single message**, la définition des profils informatifs est techniquement possible, mais le résultat du contrôle n’aura aucun impact sur l’acceptation de la transaction.

Pour savoir si une règle antifraude est applicable à un moyen de paiement, veuillez-vous référer aux correspondances entre moyens de paiement et règles antifraude (annexe correspondance entre moyens de paiement et règles de fraude).

** Moyen de paiement en single message : autorisation et remise en une étape, comme les virements tel que Ideal, Paybutton ou Paypal en mode immédiate. Moyen de paiement en dual message : autorisation et remise en deux étapes.

Les profils antifraudes s’appliquent aux transactions, ainsi qu’aux opérations de caisse provoquant la création d’une nouvelle transaction (duplication).

Ainsi les opérations de caisse standards qui manipulent les transactions existantes (validation, annulation, remboursement…) ne font pas l’objet des contrôles antifraudes.

Pour le paiement en N fois, seul le 1er paiement est soumis aux contrôles antifraudes.

Pour certaines règles, il est nécessaire de transmettre des données dans la requête. L’absence des données entraîne la non-exécution de la requête.

Par exemple, pour la règle de l’encours par identifiant client, il est nécessaire de transmettre l’identifiant du client dans la requête. Sinon la règle ne sera pas déclenchée.

Les règles ne s'appliquent pas nécessairement aux 2 modes (pré-authentification et pré-autorisation).

Par exemple la règle Authentification 3-D Secure n’est pas disponible en pré-authentification. En effet, cette règle se base sur le résultat de l’authentification 3-D Secure, or le profil antifraude de pré-authentification est appliqué en amont. Cette règle n’est pas applicable avant l’authentification.