محدودیت سرعت و ضد سوء استفاده

1) سرعت چیست و چرا مورد نیاز است

• کاهش تقلب و بهره برداری از پاداش/promos،
• حفاظت از زیرساخت های پرداخت از «طوفان» از retrays،
• تبدیل سالم را با تبدیل تلاش های مشکوک برای به چالش کشیدن (3DS/SCA) به جای «شکست سخت» در صورت امکان حفظ کنید.

کنترل سرعت مکمل به ثمر رساند، AVS/CVV، 3DS2/SCA، و مسیریابی هوشمند.

2) کدام نهادها برای محدود کردن (حوزه)

• نهادهای پرداخت: «card _ token» (vault/network)، «bin»، «صادر کننده»، «psp _ route».
• سفارشی: 'account _ id'، 'kyc _ level'، 'email/phone'.
• فنی: 'device _ id' (اثر انگشت/SDK)، 'ip'، 'asn'، 'session _ id'.
• زمینه کسب و کار: 'bonus _ id'، 'campaign _ id'، 'country'، 'mcc 7995' زیر نوع (سپرده/خروجی).
• مالی: 'مقدار _ سطل' (میکرو/متوسط/بزرگ)، 'ارز'، 'پرداخت _ روش'.

3) ویندوز و شمارنده

پنجره ثابت (T = 15m/1h/24h) - ساده، اما حساس به مرزها.
پنجره کشویی - دقیق تر، در یک فاصله «کشویی» شمارش می شود.
سطل نشت/سطل رمز - صاف کردن انفجار، تنظیم پهنای باند پایدار.
ترکیب شده: پشت سر هم (پشت سر هم کوتاه) + پایدار (جریان طولانی).

• 'device _ id': ≤ 3 تلاش مجوز در 15 دقیقه، ≤ 10 در 24 ساعت.
• 'card _ token': ≤ 2 کاهش متوالی بدون 3DS ؛ 3DS اجباری است.
• 'ip': ≤ 5 منحصر به فرد 'card _ token' در هر ساعت (با نام مستعار captcha/بلوک).
• 'account _ id': ≤ 2 سپرده های لغو شده در یک ردیف ؛ بیشتر - kuldown 1 ساعت.

4) الگوریتم محدودیت (کوتاه)

• مقداردهی اولیه «ظرفیت» و «دوباره پر کردن _ نرخ».
• قبل از هر تلاش, «را» 1 نشانه; اگر نشانه ای وجود نداشته باشد - چالش/کاهش.

• صف با نرخ ثابت نشت می کند ؛ حوادث ورودی سرریز - دریچه گاز.

• تکرار اول: 2-5 دقیقه → 2: 10-20 دقیقه → 3: 1-2 ساعت → توقف یا انتقال به روش جایگزین.

5) سیاست های تصمیم گیری

• اجازه دهید: خطر کم، در آستانه.
• چالش: بیش از آستانه «نرم» → 3DS/SCA/captcha/KBA (سوالات).
• دریچه گاز: به طور موقت محدود (cooldown) با UX شفاف.
• کاهش: نقض فاحش (جستجوی دسته جمعی کارت ها، استخرهای ربات، سوء استفاده از پاداش).
• تغییر مسیر: تغییر PSP/روش (به عنوان مثال،. A2A) با «91/96» سنبله در صادر کننده.

مینی ماتریس نمونه ها

'evice _ id' attempts to ≥ 3 in 15 minutes و 'CV = N' ≥2 → کاهش + captcha.
'card _ token' 2 soft-decline → 3DS-challenge (ضروری).
'ip' ≥ 5 unique 'account _ id' در 30 دقیقه → دریچه گاز 30 دقیقه + بررسی KYC.
'account _ id' deposit-withdrawal-deposit in 10 minutes (چرخ فلک) → چالش یا مقدار محدود.

6) سرعت برای سپرده ها، عقب نشینی ها و برداشت ها

• محافظت از «میکرو چاشنی» (بسیاری از معاملات کوچک): محدودیت در مقدار و گردش مالی کل در هر T.
• با دنباله '05 '/' 14 '/' 54' - توقف «جستجو» از جزئیات، ترجمه به 3DS.

• ارسال CIT و MIT صف. برای MIT، از پنجره های نرم T + 1/T + 24h استفاده کنید.
• نرم افزار کاهش SCA مورد نیاز → بلافاصله 3DS، تلاش نکنید.

• محدودیت های فردی برای مقدار/فرکانس: به عنوان مثال ≤ 2 خروجی/24 ساعت و ≤ N در هر مقدار/هفته.
• KYC «نردبان»: هرچه چک بالاتر باشد، محدودیت ها بالاتر است.
• تشخیص «چرخش»: واریز سریع و برداشت فوری - بررسی/نگهداری دستی.

7) تبلیغات ضد سوء استفاده و پاداش

کلاهبرداری در هر کمپین: «bonus _ id» ≤ X activations on «device _ id »/« ip »/« payment _ fingerprint».
«شاخه» (انتقال پول بین حساب): تجزیه و تحلیل نمودار از کارت های مشترک/IP/دستگاه.
پنجره های خنک کننده: پس از سپرده جایزه - ممنوعیت خروجی فوری، قوانین شفاف در ToS.
تحریم های سطح: از قفل موقت به «برای همیشه»، با یک ورود به سیستم از دلایل.

8) معماری: جایی که برای زندگی قوانین سرعت

دروازه زمان واقعی (در ارکستر): راه حل ≤ 50-100 میلی ثانیه.
ذخیره سازی شمارنده: در حافظه (Redis/KeyDB) + خلاصه های طولانی مدت (DWH).
Fichestor: پنجره های تک/aggregates (15m/1h/24h/7d).
موتور قانون + ML به ثمر رساند: قوانین «ایمنی خالص» در بالای مدل.
پرچم پیکربندی: «روشن» 3DS, «سخت تر در منطقه X»، «مکث PSP-A».
Idempotence: حفاظت در برابر تکراری در تکرار/زمان.

9) کد شبه قوانین (طرح)

pseudo on payment_attempt(ctx):
s = features(ctx) // device/ip/account/bin/score/avs/cvv/history if counter(device, 15m) >= 3 and cvv_fail(device, 15m) >= 2:
return DECLINE(reason="velocity_device_cvv")
if soft_declines(card_token, 1h) >= 2:
return CHALLENGE_3DS()
if uniq_accounts(ip, 30m) >= 5:
return THROTTLE(ttl=30m)
if score > T2 and velocity(account, 1h) > Vmax:
return DECLINE(reason="high_risk_burst")
return ALLOW

10) الگوهای UX (شکستن تبدیل)

پیام های واضح: "تلاش های بیش از حد در یک زمان کوتاه. لطفا در 15 دقیقه امتحان کنید یا با بانک تایید کنید.
دکمه بعد را با تایمر تکرار کنید.
ارائه گزینه های جایگزین: A2A/local کیف پول در هنگام خفه کردن.
Auto-3DS بدون وارد کردن جزئیات با SCA-soft.
Captcha فقط به صورت نقطه ای (توسط سیگنال های IP/ASN/bot)، نه به همه.

11) انطباق و حفظ حریم خصوصی

GDPR/PII: حداقل شناسه های فروشگاه (هش دستگاه، نشانه های کارت، last4)، سیاست های شفاف.
PCI DSS: بدون PAN/CVV در سیاهههای مربوط ؛ رویدادهای سرعت بدون داده های حساس.
PSD2/SCA: تبدیل بیش از حد به چالش در صورت لزوم، به جای شکست کامل.

12) معیارها، هشدارها، SLO

• نرخ تصویب (عمومی و زمانی که قوانین باعث).
• نرخ مثبت کاذب قوانین سرعت (سهم بلوک صادق → توسط مشروعیت پس از آن).
• تعداد «طوفان» عقب نشینی و متوسط زمان بهبودی.
• درصد کاهش → چالش انتقال با موفقیت.
• نرخ بازپرداخت در بخش هایی که محدودیت ها کار کرده اند (ما انتظار داریم ↓).

• اسپایک «05/14/54» + افزایش تلاش> X در 15 دقیقه در خوشه BIN/ASN.
• پشت سر هم '91/96 → آستانه T1 خودکار بالا بردن + مسیریابی در PSP-B
• قوانین نرخ FP> هدف (به عنوان مثال، 1. 5 × متوسط هفتگی)

• راه حل سرعت ≤ 100ms p95.
• درصد پرداختهای موفق انتقال به 3DS به جای شکست ≥ هدف.

13) ضد الگوهای

محدودیت «کل» جهانی برای همه بازارها و انواع مشتری.
مسدود کردن توسط 'AVS = U/S/G' in کشورهایی که AVS به طور معمول کار نمی کند.
آیا CIT/MIT جدا نیست - می شکند اشتراک/تکرار می کند.
Retrain بدون jitter و idempotence - طول می کشد و طوفان.
دلایل امتناع را پنهان کنید - حمایت و مسمومیت در حال رشد است.

14) چک لیست پیاده سازی

• نقشه نهاد (حوزه) و پنجره ها (15m/1h/24h/7d).
• انتخاب الگوریتم: کشویی + سطل نشانه برای انفجار.
• عادی سازی بازگشت: عقب نشینی + jitter، جداگانه برای CIT/MIT.
• ادغام با 3DS/SCA: چالش خودکار برای ساعتهای نرم.
• محدودیت های جداگانه برای نتیجه گیری و پاداش ؛ روابط بررسی نمودار.
• قابلیت مشاهده: داشبورد حسابرسی KPI/هشدار/قانون.
• الگوهای پیام UX و روش های جایگزین.
• سیاست های PCI/GDPR: نشانه ها، ماسک کردن، به حداقل رساندن PII.
• A/B آستانه آزمون های بازار/BIN/ASN و پروفایل های مشتری.
• playbooks حادثه: تخریب Issuer/PSP، سنبله ربات.

15) خلاصه

محدودیت سرعت موثر هستند پنجره های چند سطح و شمارنده برای اشخاص مختلف، الگوریتم های ضد aliasing (رمز/سطل نشتی)، retrays هوشمند و ارتباط تنگاتنگ با 3DS/SCA و به ثمر رساند. چنین مداری کلاهبرداری و سوءاستفاده را کاهش می دهد، تبدیل را خفه نمی کند و به حفظ درآمد پایدار با نوسانات صادرکنندگان و ترافیک کمک می کند.