Velocity-limits և anti-abuz

1) Ի՞ նչ է velocity-ը, և ինչո՞ ւ է այն անհրաժեշտ։

Velocity-limits-ը ժամանակի պատուհանների համար հաճախականության և վիրահատությունների սահմանափակումն է։ Նպատակը

նվազեցնել և բարձրացնել բոնուսները/պրոմո,

պաշտպանել բյուջետային ենթակառուցվածքը «փոթորիկներից» գետերից,

առողջ փոխարկումը պահպանելու փոխարեն, տեղափոխելով կասկածելի փորձեր Chelenge (3DS/SCA) փոխարեն «կոշտ մերժման» փոխարեն, որտեղ դա հնարավոր է։

Velocity-ները ավելացնում են քորինգը, AVS/CVV, 3DS2/SCA և smart-routing։

2) Ո՞ րն է սահմանազատման էությունը (scopes)

Նախագծեք սահմանները մի քանի մակարդակներում միաժամանակ

Հիբրիդային էակները ՝ «card _ token» (vox/network), «bin», «issuer», «pult _ rome»։

Օգտագործողները ՝ «account _ id», «kyc _ level», «email/phone»։

Տեխնիկական ՝ «device _ id» (fingerprint/MSK), «ip», «asn», «session _ id»։

Բիզնես կոնտեքստը '«bonus _ id», «campault _ id», «country», «mcc 7995» ենթատիպ (դեպոզիտ/եզրակացություն)։

Ֆինանսական ՝ «amount _ bucket» (միկրո/միջին/մեծ), «currency», «payment _ method»։

3) Պատուհաններ և հաշվիչներ

Fixed-ը (T = 15m/1h/105 h) պարզապես, բայց զգայուն է սահմանների նկատմամբ։

Sliding-ը ավելի ճիշտ է, կարծում է «սայթաքող» ընդմիջումը։

Leaky bucket/Token bucket-ը բացակայում է, տալիս է կայուն թողունակություն։

Համակցված ՝ burst (կարճ աճը) + sustained (երկար հոսք)։

Հավաքածուի օրինակները

«device _ id»: 15 րոպեում հեղինակային իրավունքի 3 փորձեր, 2410 24 ժամվա ընթացքում։

'card _ token': 242 decom անընդմեջ առանց 3DS; երրորդը պարտադիր 3DS է։

"ip ': 355 եզակի" card _ token "1 ժամվա ընթացքում (հակառակ դեպքում' գլխարկ/բլոկ)։

'account _ id': 242 վերացված դեպոզիտներ անընդմեջ; հետո 'կուլդաուն 1 ժամ։

4) Սահմանափակումների ալգորիթմներ (կարճ)

Token Bucket (թույլ է տալիս bursts)

Նախաձեռնեք «capacity» և «refill _ rate»։

Յուրաքանչյուր փորձից առաջ «ստիպեք» 1 հոսանք։ եթե հոսանքներ չկան, challenge/decom։

Leaky Bucket (հարթեցում)

Հերթը նվազում է անընդհատ արագությամբ։ գալիք իրադարձությունները լի են throttle-ով։

Exponential backoff + jitter (ռետրերի համար)

1-ին ուսուցիչը '2-5 րոպե 242-րդ: 10-20 րոպե 243-րդ' 1-2 ժամ, կամ թարգմանությունը այլընտրանքային մեթոդ։

5) Լուծումների քաղաքականությունը (decisioning)

Դասակարգեք velocity ստուգումների արդյունքները

Allow 'ցածր ռիսկ, շեմերի սահմաններում։

Challenge: Նրանք գերազանցեցին 3DS/SCA/capch/KBA (հարցեր)։

Throttle: ժամանակավորապես սահմանափակել (կուլդաուն) թափանցիկ UX-ով։

Decault: կոպիտ խախտումներ (քարտերի զանգվածային ընդհատում, բոտ-պուլներ, բոնուս-աբյուզ)։

Rero.ru: PMS/մեթոդի փոփոխությունը (օրինակ ՝ A2A) երբ ավելանում է «91/96»։

Օրինակների մինի-մատրիցը

«device _ id» փորձերը 15 մղոնով և «cvv = N '242» Decium + գլխարկ։

"card _ token '2 sport-decom անընդմեջ 3DS-challenge (պարտադիր)։

"ip '5 եզակի" account _ id "30 րոպեի ընթացքում Trottle 30 րոպե + KYC ստուգում։

«account _ id» դեպոզիտ դեպոզիտ 10 մղոն (կարուսել) - Challenge կամ ընդհանուր սահմանը։

6) Ավանդների, գետերի և եզրակացությունների համար

Դեպոզիտները

Պաշտպանեք «միկրո-լցոնումները» (շատ փոքր գործարքներ) 'սահմանափակում T.

"Windows "/" 14 "/" 54" շարքի դեպքում կանգնեցրեք ռեքվիզիտների "ընդհատումը, թարգմանեք 3DS։

Retrai

Կիսեք CIT և MIT հերթերը։ MIT-ի համար օգտագործեք փափուկ պատուհաններ T + 1/T + 35h։

Soft-decium 'SCA required '- անմիջապես 3DS-ն է, մի ջանք թափեք։

Եզրակացություններ

Որոշ լիմիտներ չափի/հաճախականության վրա 'օրինակ, 242 եզրակացություն/www.h և 3.N գումարով/շաբաթվա ընթացքում։

«Աստիճանները» KYC: Որքան բարձր է ստուգումը, այնքան ավելի բարձր է, քան սահմանները։

Մանկական «circling» 'արագ դեպոզիտ և ակնթարթային եզրակացություն' manium review/hold։

7) Anti-abuz պրոմո և բոնուսներ

Per-campa.ru caps: «bonus _ id 'id» X ակտիվացումները «device _ id »/« ip »/« payment _ fingerprint» վրա։

«Վիլկի» (փողի ծանրությունը հաշիվների միջև) 'ընդհանուր քարտեզների/IP/սարքերի գրաֆիկ վերլուծություն։

Cool-off windows: բոնուսային դեպոզիտից հետո ակնթարթային եզրակացության արգելքն է, թափանցիկ կանոնները ContS-ում։

Սանկցիաները մակարդակներում 'ռուսական արգելափակումներից մինչև «ընդմիշտ», պատճառների ամսագրին։

8) Ճարտարապետություն 'որտեղ ապրել velocity կանոններով

Real-time դարպասը (նվագախմբում) '50-100 մզ լուծումը։

Հաշվարկների պահեստ 'in-memory (Redis/KultDB) + երկարաժամկետ «կամարներ» (MSH)։

Ֆիչեստորը 'միասնական պատուհաններ/ագրեգատներ (15m/1h/55h/7d)։

Rule entine + ML սկորինգը 'safety-net կանոնները մոդելի վերևում։

Քրեյգ դրոշները ՝ «միացնել 3DS», «X», «PMS-A»։

Idempotention 'պաշտպանություն դուբլիկատներից խոհարարների/թայմաուտների ժամանակ։

9) Կանոնավոր (ուրվագիծ)

pseudo on payment_attempt(ctx):
s = features(ctx) // device/ip/account/bin/score/avs/cvv/history if counter(device, 15m) >= 3 and cvv_fail(device, 15m) >= 2:
return DECLINE(reason="velocity_device_cvv")
if soft_declines(card_token, 1h) >= 2:
return CHALLENGE_3DS()
if uniq_accounts(ip, 30m) >= 5:
return THROTTLE(ttl=30m)
if score > T2 and velocity(account, 1h) > Vmax:
return DECLINE(reason="high_risk_burst")
return ALLOW

10) UX-pattern (առանց ծրարի կոտրելու)

Պարզ հաղորդագրություններ. <<Շատ փորձեր կարճ ժամանակում։ Փորձեք 15 րոպե անց կամ հաստատեք բանկում"։

«Կրկնել ավելի ուշ» կոճակը թայմերի հետ։

Այլընտրանքի առաջարկը 'A2A/տեղական դրամապանակներ տրոտլինգի ժամանակ։

Avto-3DS-ը առանց SCA-soft-ի կրկնապատկման։

Կապչան միայն կետային է (IP/ASN/bot-ազդանշաններ), ոչ բոլորին։

11) Կոմպլասենսը և մասնավորությունը

GDPR/PII 'պահեք նվազագույն ցուցանիշներ (սարքերի հեշեր, քարտերի հոսքեր, last4), թափանցիկ քաղաքականություններ։

PCI DSS 'ոչ PAN/CVV լոգարաններում; velocity իրադարձությունները առանց զգայուն տվյալների։

PSD2/SCA: Թարգմանեք challenge-ի ավելցուկը այնտեղ, որտեղ դա տեղին է, ընդհանուր մերժումների փոխարեն։

12) Metriki, alerts, SLO, SLO

• Approval Rate (ընդհանուր և երբ կանոններ են աշխատում)։
• False Positive Rate-ը ղեկավարում էր velocity (ազնիվ բլոկների մասնաբաժինը հետագա լեգիտիմությամբ)։
• «Փոթորիկների» թիվը և վերականգնման միջին ժամանակը։
• Թարգմանությունների մասնաբաժինը decom challenge-ից հաջողակ արդյունքով։
• Chargeback rate-ը այն հատվածներում, որտեղ աշխատում էին limits (սպասում ենք)։

Ալերտա

Սպայկ '07/14/54' + փորձերի աճը> X 15 րոպեի ընթացքում BIN/ASN կլաստերում։

«91/96» բարձրացումը բացատրում է T1 + routing PSA-B.

FP-rate կանոնները> 108 (օրինակ, 1։ Հինգ հազար շաբաթական միջնորդներ)։

• Velocity-ի լուծումը 100 ms p95 է։
• Հաջողակ վճարումների մասնաբաժինը, որոնք փոխանցվել են 3DS-ում, փոխարենը հրաժարվելով ռուսական վճարումները։

13) Anti-patterna

Համընդհանուր «ընդհանուր» սահմանը բոլոր շուկաների և հաճախորդների տեսակների համար։

Արգելափակել «AVS = U/S/G» երկրներում, որտեղ AVS-ը նորմալ չի աշխատում։

Մի բաժանեք CIT/MIT - կոտրում է 108/կրկնությունները։

Առանց jitter և dimpotenty - դուբլներ և փոթորիկներ։

Ձախողման պատճառները թաքցնելը գնալով աճում է։

14) Ներդրման չեկի ցուցակ

• Էակների քարտեզը (scopes) և պատուհանները (15m/1h/24h/7d)։
• Ալգորիթմների ընտրություն 'sliding + token bucket bursts համար։
• Ռետրերի նորմալացումը 'backoff + jitter, առանձին CIT/MIT-ի համար։
• Ինտեգրումը 3DS/SCA 'Avto-challenge փափուկ ավելցուկով։
• Առանձին լիմիտներ եզրակացությունների և բոնուսների համար. կապերի հաշվարկային ստուգում։
• Դիտարկումը 'KPI/alerta/կանոնների աուդիտ։
• UX հաղորդագրությունների ձևանմուշները և այլընտրանքային մեթոդները։
• PCI/GDPR քաղաքականությունները 'հոսանքներ, դիմակավորում, PII նվազեցում։
• A/B-թեստերը շուկաների/BIN/ASN և հաճախորդների պրոֆիլներ։
• Pleybuki 2019 'կլանիչի/PSA-ի քայքայումը, բոտերի աճը։

15) Ռեզյումե

Արդյունավետ velocity-limites-ը բազմաշերտ պատուհաններ և հաշվիչներ են տարբեր էակների, գլազման ալգորիթմներ (token/leaky bucket), խելացի գետեր և սերտ կապեր 3DS/SCA և սկորինգի հետ։ Այս օրինակը նվազեցնում է ֆրոդը և աբյուզը, չի խեղդում ծրարը, և օգնում է կայուն մետաղադրամներ պահել դիմորդների և մետաղադրամների անկայունության ժամանակ։