वेग सीमा और दुरुपयोग विरोधी

1) वेग क्या है और इसकी आवश्यकता क्यों है

• बोनस/प्रोमो के धोखाधड़ी और शोषण को कम करना,
• भुगतान बुनियादी ढांचे को रेट्रे के "तूफान" से बचाएं,
• जहां संभव हो "कठिन विफलता" के बजाय चुनौती देने के लिए संदिग्ध प्रयासों (3DS/SCA) को परिवर्तित करके एक स्वस्

वेग पूरक स्कोरिंग, एवीएस/सीवीवी, 3DS2/SCA, और स्मार्ट रूटिंग को नियंत्रित करता है।

2) किन इकाइयों को सीमित करने के लिए (स्कोप)

• भुगतान संस्थाएँ: 'कार्ड _ टोकन' (तिजोरी/नेटवर्क), 'बिन', 'जारीकर्ता', 'psp _ route'।
• कस्टम: 'खाता _ id', 'kyc _ level', 'ईमेल/फोन'।
• तकनीकी: 'युक्ति _ आईडी' (फिंगरप्रिंट/एसडीके), 'आईपी', 'एसएन', 'सत्र _ आईडी'.
• व्यापार संदर्भ: 'बोनस _ आईडी', 'अभियान _ आईडी', 'देश', 'एमसीसी 7995' उपप्रकार (जमा/आउटपुट)।
• वित्तीय: 'राशि _ बाल्टी' (सूक्ष्म/मध्यम/बड़ा), 'मुद्रा', 'भुगतान _ विधि'।

3) विंडोज और काउंटर

फिक्स्ड विंडो (T = 15m/1h/24h) - सरल, लेकिन सीमाओं के प्रति संवेदनशील।

स्लाइडिंग विंडो - अधिक सटीक रूप से, एक "स्लाइडिंग" अंतराल पर गिना जाता है।

लीकी बाल्टी/टोकन बाल्टी - फटने से चिकनी, स्थिर बैंडविड्थ सेट करें।

संयुक्त: फट (छोटा फट) + निरंतर (लंबी धारा)।

• 'device _ id': 15 मिनट में 3 प्राधिकरण के प्रयास, 24 घंटे में 10।
• 'कार्ड _ टोकन': ≤ 3 डीएस के बिना लगातार 2 गिरावट; तीसरा अनिवार्य 3DS है।
• 'आईपी': ≤ 5 अद्वितीय 'कार्ड _ टोकन' प्रति घंटे (उर्फ कैप्चा/ब्लॉक)।
• 'account _ id': ≤ 2 एक पंक्ति में रद्द जमा; आगे - कुलडाउन 1 घंटे।

4) प्रतिबंध एल्गोरिदम (छोटा)

• 'क्षमता' और 'रिफिल _ रेट' को आरंभ करें.
• प्रत्येक प्रयास से पहले, "बाहर निकालें" 1 टोकन; यदि वहाँ कोई टोकन - चुनौती/गिरावट कर रहे हैं।

• कतार एक निरंतर दर पर लीक होती है; आने वाली घटनाओं के अतिप्रवाह - थ्रोटल।

• 1 दोहराएं: 2-5 मिनट → 2nd: 10-20 मिनट → 3rd: 1-2 h → स्टॉप, या एक वैकल्पिक विधि में स्थानांतरित करें।

5) निर्णय नीतियां

• अनुमति दें: कम जोखिम, थ्रेसहोल्ड के भीतर।
• चुनौती: "नरम" सीमा से अधिक (प्रश्न)।
• थ्रॉटल: पारदर्शी यूएक्स के साथ अस्थायी रूप से प्रतिबंधित (कूलडाउन)।
• गिरावट: सकल उल्लंघन (कार्ड की बड़े पैमाने पर खोज, बॉट पूल, बोनस दुरुपयोग)।
• Reroute: PSP/विधि का परिवर्तन (उदा। A2A) जारीकर्ता पर '91/96' स्पाइक के साथ।

उदाहरणों का मिनी-मैट्रिक्स

'device _ id' attempts 15 मिनट में ≥ 3 और 'cvv = N' ≥2 → Dicket + captcha।

'कार्ड _ टोकन' 2 नरम-गिरावट → 3DS-challenge (आवश्यक)।

30 मिनट में 'ip' ≥ 5 अद्वितीय 'account _ id' → थ्रॉटल 30 मिनट + KYC चेक।

10 मिनट (हिंडोला) में 'account _ id' deposit-विदड्रॉअल-डिपॉजिट → चैलेंज या राशि सीमा।

6) जमा, पीछे हटने और निकासी के लिए वेग

• "माइक्रो-स्टफिंग" (कई छोटे लेनदेन) की रक्षा करें: मात्रा पर सीमा और प्रति टी।
• अनुक्रम '05 '/' 14 '/' 54' के साथ - विवरण की "खोज" को रोकें, 3DS में अनुवाद करें।

• CIT और MIT कतारों को पोस्ट करें। MIT के लिए, सॉफ्ट T + 1/T + 24h विंडो का उपयोग करें।
• नरम-गिरावट 'SCA आवश्यक' - तुरंत 3DS, प्रयासों को न जलाएं।

• राशि/आवृत्ति के लिए व्यक्तिगत सीमा: उदा। ≤ 2 आउटपुट/24h और ≤ N प्रति राशि/सप्ताह।
• केवाईसी "सीढ़ी": जांच जितनी अधिक होगी, सीमा उतनी ही अधिक होगी।
• "चक्कर लगाना" का पता लगाना: त्वरित जमा और त्वरित निकासी - मैनुअल समीक्षा/पकड़।

7) एंटी-एब्यूज प्रोमो और बोनस

प्रति-अभियान कैप: 'बोनस _ आईडी' ≤ X सक्रियण 'डिवाइस _ आईडी '/' आईपी '/' पेमेंट _ फिंगरप्रिंट' पर।

"प्लग" (खातों के बीच धन हस्तांतरण): सामान्य कार्ड/आईपी/उपकरणों का ग्राफ विश्लेषण।

कूल-ऑफ विंडो: एक बोनस जमा के बाद - टीओएस में तत्काल आउटपुट, पारदर्शी नियमों का निषेध।

स्तर के अनुसार प्रतिबंध: अस्थायी ताले से "हमेशा के लिए", कारणों के एक लॉग के साथ।

8) वास्तुकला: जहां वेग-नियम रहते हैं

रियल-टाइम गेटवे (ऑर्केस्ट्रेटर में): समाधान ≤ 50-100 एमएस।

काउंटर स्टोरेज: इन-मेमोरी (Redis/KeyDB) + दीर्घकालिक "सारांश" (DWH)।

Fichestor: सिंगल विंडो/एग्रीगेट्स (15m/1h/24h/7d)।

नियम इंजन + एमएल स्कोरिंग: मॉडल के शीर्ष पर "सुरक्षा-नेट" नियम।

कॉन्फिग झंडे: "चालू करें" "क्षेत्र X में सख्त", "PSP-A"।

पहचान: दोहराव/समय पर दोहराव के खिलाफ सुरक्षा।

9) नियमों का छद्म कोड (स्केच)

pseudo on payment_attempt(ctx):
s = features(ctx) // device/ip/account/bin/score/avs/cvv/history if counter(device, 15m) >= 3 and cvv_fail(device, 15m) >= 2:
return DECLINE(reason="velocity_device_cvv")
if soft_declines(card_token, 1h) >= 2:
return CHALLENGE_3DS()
if uniq_accounts(ip, 30m) >= 5:
return THROTTLE(ttl=30m)
if score > T2 and velocity(account, 1h) > Vmax:
return DECLINE(reason="high_risk_burst")
return ALLOW

10) यूएक्स पैटर्न (रूपांतरण नहीं तोड़ ना)

संदेश साफ करें: "थोड़ेसमय में बहुत सारे प्रयास। 15 मिनट में प्रयास करें या बैंक से पुष्टि करें।

टाइमर के साथ बाद का बटन दोहराएँ।

विकल्प की पेशकश: A2A/local थ्रॉटलिंग करते समय पर्स।

Auto-3DS SCA-सॉफ्ट के साथ फिर से प्रवेश किए बिना।

कैप्चा केवल बिंदुवार (आईपी/एएसएन/बॉट सिग्नल द्वारा), सभी के लिए नहीं।

11) अनुपालन और गोपनीयता

GDPR/PII: न्यूनतम पहचानकर्ता (डिवाइस हैश, कार्ड टोकन, अंतिम 4), पारदर्शी नीतियों को संग्रहीत करें।

पीसीआई डीएसएस: लॉग में कोई पैन/सीवीवी नहीं; संवेदनशील डेटा के बिना वेग घटनाओं।

PSD2/SCA: कुल असफलताओं के बजाय, जहां उपयुक्त हो, चुनौती के लिए ज्यादतियों को परि

12) मेट्रिक्स, अलर्ट, एसएलओ

• अनुमोदन दर (सामान्य और जब नियम ट्रिगर किए जाते हैं)।
• वेग नियमों की झूठी सकारात्मक दर (बाद की वैधता द्वारा → के ईमानदार ब्लॉकों का हिस्सा)।
• रिट्रीट के "तूफान" की संख्या और औसत वसूली समय।
• गिरावट का प्रतिशत - सफलता के साथ चुनौती स्थानांतरण।
• उन खंडों में चार्जबैक दर जहां सीमा ने काम किया है (हम ↓ की उम्मीद करते हैं)।

• स्पाइक '05/14/54' + प्रयासों में वृद्धि> बिन/एएसएन क्लस्टर में 15 मिनट में एक्स।
• PSP-B में '91/96' → ऑटो-राइजिंग T1 थ्रेशोल्ड + रूटिंग।
• FP-दर नियम> लक्ष्य (उदाहरण के लिए, 1. 5 × साप्ताहिक मंझला)।

• वेग समाधान ≤ 100 मीटर p95।
• सफल भुगतानों का प्रतिशत विफल - लक्ष्य के बजाय 3DS में स्थानांतरित हो गया।

13) एंटी-पैटर्न

सभी बाजारों और ग्राहक प्रकारों के लिए सार्वभौमिक "कुल"

'AVS = U/S/G' in देशों द्वारा ब्लॉक करें जहां AVS सामान्य रूप से काम नहीं करता है।

अलग न करें CIT/MIT - सदस्यता तोड़ ता/दोहराता है।

बिना झटके और पहचान के रिट्रेन - लेता है और तूफान।

मना करने के कारणों को छुपाएँ - समर्थन और विषाक्तता बढ़ रही है।

14) कार्यान्वयन चेकलिस्ट

• एंटिटी मैप (स्कोप) और विंडो (15m/1h/24h/7d)।
• एल्गोरिथ्म चयन: फटने के लिए स्लाइडिंग + टोकन बाल्टी।
• रिटर्न नॉर्मलाइजेशन: बैकऑफ + जिटर, सीआईटी/एमआईटी के लिए अलग।
• 3DS/SCA के साथ एकीकरण: नरम ओवरक्लॉक के लिए ऑटो-चुनौती।
• निष्कर्ष और बोनस के लिए अलग सीमा; ग्राफ-चेकिंग रिश्ते।
• अवलोकन: केपीआई/अलर्ट/नियम ऑडिट डैशबोर्ड।
• UX संदेश टेम्पलेट और वैकल्पिक तरीके।
• पीसीआई/जीडीपीआर नीतियां: टोकन, मास्किंग, पीआईआई न्यूनतम।
• ए/बी थ्रेसहोल्ड बाजार/बिन/एएसएन और ग्राहक प्रोफाइल द्वारा परीक्षण करता है।
• हादसा प्लेबुक: जारीकर्ता/पीएसपी गिरावट, बॉट स्पाइक।

15) सारांश

प्रभावी वेग सीमाएं विभिन्न संस्थाओं के लिए बहु-स्तरीय खिड़कियां और काउंटर हैं, एंटी-एलियासिंग एल्गोरिदम (टोकन/लीकी बाल्टी), स्मार्ट रिट्रे और 3DS/SCA और स्कोरिंग के साथ तंग संचार। इस तरह का सर्किट धोखाधड़ी और दुरुपयोग को कम करता है, रूपांतरण को रोकता नहीं है, और जारीकर्ताओं और यातायात की अस्थिरता के साथ स्थिर मुद्रीकरण रखने में मदद करता है।