Bots, spam et testeurs de CB — 261 interventions pour protéger les boutiques en ligne

Votre boutique en ligne reçoit des commandes suspectes avec des adresses fantaisistes ? Des centaines de comptes spam s'inscrivent chaque jour ? Votre page de paiement est bombardée par des testeurs de cartes bancaires ? Vous n'êtes pas seul. Depuis 2018, MonSiteBug a traité 261 interventions liées aux bots, au spam et à la fraude par testeurs de CB sur des boutiques PrestaShop, WooCommerce et Magento.

Cet article est une étude exclusive basée sur nos données réelles de production. Pas de théorie : des chiffres tirés de nos 8 809 tickets de support et des cas concrets traités par notre équipe. Et la tendance est alarmante : le phénomène explose depuis 2024.

La tendance est explosive : 2019-2026

Les demandes d'intervention liées aux bots et au spam ont connu une croissance spectaculaire ces dernières années, avec une véritable explosion à partir de 2024 :

Alerte 2024-2026 : Le nombre d'interventions bots/spam a littéralement doublé entre 2023 et 2024 (37 → 60, soit +67%). En 2025, la tendance reste au sommet avec 57 interventions. Et en 2026, avec 15 interventions au seul premier trimestre, nous sommes sur un rythme annuel équivalent voire supérieur. Les bots sont devenus la menace n°1 des boutiques en ligne.

Les 6 types d'attaques par bots

Sur nos 261 interventions, nous avons identifié 6 grandes catégories d'attaques automatisées :

1. Spam de commandes

Des bots passent des dizaines voire des centaines de fausses commandes avec des adresses fictives (souvent des adresses russes, chinoises ou générées aléatoirement). L'objectif : saturer le back-office, tester des processus de paiement, ou simplement nuire. Votre stock peut être faussé, vos statistiques polluées, et votre temps gaspillé à trier les vraies commandes des fausses.

2. Testeurs de cartes bancaires

C'est la menace la plus dangereuse financièrement. Des fraudeurs utilisent des bots pour tester des milliers de numéros de cartes volées sur votre page de paiement. Chaque tentative génère des frais de transaction chez votre prestataire de paiement (Stripe, PayPal). Résultat : votre compte peut être suspendu par votre banque ou votre PSP pour taux de fraude trop élevé.

3. Spam d'inscription

Des bots créent des centaines de faux comptes clients par jour. Ils saturent votre base de données, faussent vos métriques marketing et peuvent être utilisés pour envoyer du spam depuis votre site. Certains hébergeurs blacklistent votre domaine quand les emails de confirmation d'inscription sont considérés comme du spam par Hotmail, Gmail ou Yahoo.

4. Spam de formulaire de contact

Votre formulaire de contact reçoit des dizaines de messages par jour contenant des liens vers des sites douteux, des offres de SEO, ou du contenu illicite. En plus d'être agaçant, cela peut conduire votre serveur mail à être blacklisté.

5. Bots SEO et scraping

Des robots parcourent votre site pour copier vos fiches produits, vos prix et vos descriptions. D'autres génèrent un trafic artificiel qui fausse vos données Google Analytics et vos décisions marketing basées sur ces données.

6. Pollution des analytics

Des bots fantômes apparaissent dans Google Analytics avec des sources de trafic fictives ("referral spam"). Votre taux de rebond grimpe artificiellement, vos données de conversion sont faussées, et vous prenez des décisions marketing basées sur des chiffres erronés.

Cas réels tirés de nos tickets

Cas #1 — Spam sur commande (Ticket #184, 2019)

Titre original : "Spam sur commande"

Un des tout premiers cas de notre historique. Un marchand PrestaShop recevait des dizaines de fausses commandes quotidiennes avec des adresses email jetables. Le back-office était devenu inutilisable — impossible de distinguer les vraies commandes des fausses. Notre intervention : mise en place de règles de validation anti-bot sur le tunnel de commande et filtrage par géolocalisation IP.

Cas #2 — Blacklist email à cause des bots (Ticket #1582, 2021)

Titre original : "black list HOTMAIL, GMAIL, YAHOO à cause boots spam sature inscription clients"

Ce cas illustre parfaitement l'effet en cascade des bots. Des centaines de faux comptes étaient créés chaque jour, déclenchant autant d'emails de confirmation. Hotmail, Gmail et Yahoo ont fini par blacklister le domaine entier du marchand. Résultat : même les vrais clients ne recevaient plus les emails de confirmation de commande. Notre intervention : désinscription des listes noires, mise en place d'un CAPTCHA sur le formulaire d'inscription, et configuration DKIM/SPF/DMARC.

Cas #3 — Fraude sur boutique (Ticket #3217, 2022)

Titre original : "Fraude sur mon site LA BOUTIQUE DES ESSAYEUSES"

Un cas typique de testeurs de cartes bancaires. Le marchand constatait des dizaines de tentatives de paiement échouées chaque jour, avec des montants variables. Les fraudeurs testaient la validité de cartes volées en tentant de petits achats. Le prestataire de paiement menaçait de résilier le contrat à cause du taux de fraude anormalement élevé.

Cas #4 — Erreur CAPTCHA (Ticket #4180, 2022)

Titre original : "ERREUR CAPTCHA - OUTFITBOOK"

Un CAPTCHA mal configuré bloquait les vrais clients au lieu des bots. Le marchand avait tenté d'installer un module anti-spam lui-même, mais le CAPTCHA provoquait des erreurs sur le tunnel de commande. Résultat : perte de chiffre d'affaires directe. Nous avons remplacé par un reCAPTCHA v3 invisible qui protège sans gêner l'expérience utilisateur.

Cas #5 — Testeurs CB récidivistes (Ticket #8742, 2026)

Titre original : "testeur CB - 3ème éditions !"

Le titre parle de lui-même : c'est la troisième fois que ce marchand subit une attaque de testeurs de cartes bancaires. Les fraudeurs reviennent avec de nouvelles IP, de nouveaux patterns, et contournent les protections mises en place. Ce cas illustre la sophistication croissante des bots en 2026 et la nécessité d'une protection multicouche.

Cas #6 — Pollution analytics par bots (Ticket #8743, 2026)

Titre original : "Correction tracking GA4 / GTM (Pollution par des bots)"

Le marchand constatait des données Google Analytics complètement incohérentes : des milliers de sessions de 0 seconde, des taux de rebond de 95%, des sources de trafic fantômes. Ses décisions marketing étaient basées sur des chiffres faux. Nous avons mis en place un filtrage côté serveur et des règles d'exclusion dans GA4.

Cas #7 — Inscription de spammeurs (Ticket #1226, 2020)

Titre original : "Inscription de spameurs sur notre site"

Des centaines de comptes créés avec des adresses email russes et des noms générés aléatoirement. La base de données clients était polluée, les newsletters partaient à des adresses inexistantes, et le taux de bounce email explosait.

Cas #8 — Mise en place CAPTCHA (Ticket #8652, 2026)

Titre original : "Mettre en place un Captcha"

De plus en plus de marchands viennent directement nous demander d'installer un CAPTCHA de manière préventive, conscients de la menace. C'est un signe positif : la prise de conscience progresse.

Les solutions que nous déployons

Chaque boutique est différente, mais voici les solutions éprouvées que nous mettons en place depuis 8 ans :

reCAPTCHA v3 (invisible)

Contrairement au reCAPTCHA v2 ("Je ne suis pas un robot"), la v3 est totalement invisible pour l'utilisateur. Elle attribue un score de risque à chaque visiteur (0 = bot, 1 = humain) et bloque silencieusement les bots sans impacter l'expérience d'achat. C'est notre solution de première ligne.

Cloudflare (WAF + Bot Management)

Cloudflare agit comme un bouclier devant votre site. Son Web Application Firewall bloque les requêtes malveillantes avant qu'elles n'atteignent votre serveur. Le module Bot Management identifie et bloque les bots sophistiqués grâce au machine learning. Bonus : il améliore aussi la performance de votre site.

Champs honeypot

Un champ invisible ajouté aux formulaires. Les humains ne le voient pas et ne le remplissent pas. Les bots, eux, remplissent automatiquement tous les champs. Si le honeypot est rempli, la soumission est rejetée silencieusement. Simple, efficace, sans impact UX.

Rate limiting

Limitation du nombre de soumissions par IP et par période. Un humain n'envoie pas 50 formulaires de contact en 1 minute. Si une IP dépasse le seuil, elle est temporairement bloquée. Essentiel contre les testeurs de CB qui bombardent la page de paiement.

Scripts anti-bot personnalisés

Pour les cas les plus tenaces, nous développons des scripts sur mesure qui analysent le comportement du visiteur : vitesse de frappe, mouvements de souris, temps passé sur la page. Un bot remplit un formulaire en 200ms — un humain prend au minimum quelques secondes.

Blocage géographique

Quand les attaques proviennent massivement de certains pays (souvent Russie, Chine, certains pays d'Asie du Sud-Est), le blocage par géolocalisation IP peut réduire drastiquement le volume d'attaques. À utiliser avec précaution si vous avez des clients internationaux.

Notre approche : protection multicouche

Aucune solution unique ne suffit. Les bots modernes contournent les CAPTCHA, changent d'IP, et imitent le comportement humain. C'est pourquoi nous appliquons une stratégie de défense en profondeur :

Point clé : Les marchands qui n'ont qu'un CAPTCHA sont vulnérables. Ceux qui combinent 3 à 4 couches de protection voient leur volume de spam chuter de 95% ou plus.

Checklist anti-bot pour votre boutique

Vérifiez ces points dès maintenant — chaque case non cochée est une porte ouverte aux bots :

• reCAPTCHA v3 sur tous les formulaires — Inscription, contact, commentaires, et surtout le tunnel de commande.
• Champs honeypot — Sur chaque formulaire, un champ invisible qui piège les bots basiques.
• Rate limiting sur la page de paiement — Maximum 5 tentatives par IP par heure. Au-delà, blocage temporaire.
• 3D Secure activé — Vérification bancaire supplémentaire qui bloque 99% des testeurs de CB.
• Cloudflare ou WAF équivalent — Première ligne de défense contre les bots connus.
• Validation email — Vérification du format + confirmation par email avant activation du compte.
• SPF/DKIM/DMARC configurés — Pour éviter que vos emails légitimes finissent en spam.
• Monitoring des inscriptions — Alerte si plus de X inscriptions par heure (seuil anormal).
• Filtrage Google Analytics — Exclusion des bots connus + filtre referral spam.
• Mise à jour régulière — CMS, modules et plugins à jour pour éviter les failles exploitées par les bots.

Nos chiffres bots & spam en un coup d'oeil

Pourquoi nous confier la protection de votre boutique ?

Depuis 2018, nous avons protégé des centaines de boutiques en ligne contre les bots, le spam et la fraude. Notre expertise est forgée sur le terrain — 261 interventions réelles, pas de la théorie.

Ce qui nous différencie :

• 261 interventions bots/spam — une expertise terrain inégalée
• Protection multicouche — pas de solution unique, une stratégie complète adaptée à votre boutique
• Intervention rapide — prise en charge dans les heures qui suivent votre demande, essentiel quand les testeurs de CB vous coûtent de l'argent chaque minute
• Zéro impact UX — nos solutions protègent sans gêner vos vrais clients
• Expertise multi-CMS — PrestaShop, WooCommerce, Magento, WordPress...
• Suivi post-intervention — nous vérifions que les protections tiennent dans la durée