TL;DR
Les impayés carte d’une boutique avaient dépassé 5 % et se dirigeaient vers 8 %, chaque perte n’apparaissant que plusieurs semaines plus tard, trop tard pour être récupérée. Une détection de fraude a été construite en interne, par phases, avec un renforcement hebdomadaire, et les pertes sont tombées à moins d’une douzaine par an. L’ensemble s’est ensuite fait discret, ce qui est la promesse des systèmes évolutifs.
Situation à mon arrivée
Contrat-Expert, la boutique de la pile interne de Net-iris, vend des modèles de contrats numériques personnalisables : téléchargement de document à l’unité et abonnements annuels. À mesure que les transactions augmentaient, les impayés carte ont grimpé, sous l’effet de la surprotection des banques envers les consommateurs sur les transactions internet avant l’existence de 3D Secure. Le taux a dépassé 5 % et se dirigeait vers 8 %, un niveau où la banque pouvait sanctionner l’entreprise ou refuser les paiements par carte en ligne. Les impayés arrivaient toujours avec une latence de plusieurs semaines, ce qui rendait généralement toute récupération impossible : facile pour les abonnements annuels, pas viable pour un téléchargement à l’unité déjà livré. À l’époque, j’étais entrepreneur et je développais la boutique en interne.
Le diagnostic
Le symptôme visible était un taux croissant d’impayés carte. La cause réelle était plus profonde : le risque de rétrofacturation reposait entièrement sur la boutique. Sous la protection des consommateurs appliquée par les banques dans les années précédant 3D Secure, un acheteur pouvait contester le débit, et au moment du paiement rien ne permettait de distinguer une transaction risquée d’une transaction honnête ; l’impayé n’apparaissait que plusieurs semaines plus tard, longtemps après qu’un téléchargement numérique avait été donné. Le problème n’était pas le volume de fraude seul, mais l’absence de filtre sur la décision d’acceptation, doublée d’une détection trop tardive pour agir.
Le plan d’actions
Deux options étaient envisageables, et toutes deux ont été écartées. Absorber les pertes comme un coût du commerce ne tenait que tant que la banque le tolérait, et le taux grimpait. Rester manuel n’était pas une réponse non plus : une revue par des personnes ne peut pas filtrer chaque transaction. Le choix s’est porté sur un système de prévention de la fraude stratifié, la boutique étant déjà sur mesure et développée en interne, déployé par phases et renforcé chaque semaine, sans équipe dédiée à qui confier la construction. Un composant a été acheté plutôt que construit, un service web tiers de géolocalisation IP souscrit via API, tandis que la logique de scoring du risque d’identité restait sous ma responsabilité.
Cette stratification relève de la même méthode de conception, en R&D et par phases, que celle employée plus tard pour l’algorithme de priorisation éditoriale, dans un autre domaine. Les deux travaux partagent la méthode et rien d’autre.
Mise en œuvre
- La couche compte. La création a été durcie contre les scripts et les robots, et les données mal renseignées réduites, laissant moins de faux profils à filtrer.
- L’algorithme. Construit et déployé par phases, il a été renforcé chaque semaine pour combler les trous et corriger les faux positifs.
- Le score de risque. Trois signaux ont été fusionnés en un seul : la géolocalisation IP issue du service web souscrit, les contrôles de risque sur le format de l’e-mail et du nom, et la cohérence de l’adresse postale.
- L’automatisation. Tout ce qui pouvait l’être a été automatisé, pour que le système agisse sans qu’une personne soit derrière chaque transaction.
- Le back-office. Une interface a été construite pour regrouper les alertes de suspicion de fraude, et le suivi des transactions et des clients amélioré pour porter le score et permettre au support de débloquer un acheteur légitime en quelques vérifications de routine.
- La boucle de correction. Chaque faux positif était analysé pour en tirer le schéma sous-jacent, qui revenait ensuite dans l’algorithme comme une amélioration.
Des difficultés réelles
Les faux positifs ont eu un coût réel. Des clients légitimes se sont retrouvés bloqués et ont dû être débloqués manuellement, par le service client, ou en payant par chèque ou en appelant, et certains faux positifs ne pouvaient pas être corrigés en un passage propre. La latence maintenait la détection précoce réactive, et de nombreux impayés n’ont jamais été récupérés. Le déploiement par phases signifiait que l’algorithme tournait avec des trous entre deux renforcements, avant chaque correctif hebdomadaire, et les variables de risque ont dû être apprises en testant quels signaux de géolocalisation et de format d’identité séparent réellement une fraude d’un acheteur honnête.
Résultat
Au fil des mois, le taux d’impayés carte est progressivement devenu un épiphénomène, et la charge de maintenance de l’algorithme s’est allégée une fois une version stable et performante trouvée. Les impayés restants sont tombés à moins d’une douzaine par an, contre plusieurs centaines au plus fort de la crise. Le coût de la fraude et de sa gestion a été fortement réduit, rendant la boutique et ses transactions en ligne plus fiables et plus durables. Ce bouclier anti-fraude fait partie des systèmes présentés sur la page Qui suis-je ?, aux côtés de le moteur de croissance bâti par l’algorithme de priorisation éditoriale.
Votre activité perd de l’argent sur des décisions d’acceptation prises à la main ? Parlons-en.