La plupart des éditeurs de logiciels proposent une période d’essai gratuite aux nouveaux clients. Une période d’essai gratuite signifie que votre entreprise offre une réelle valeur ajoutée à toute personne qui s’inscrit. Mais tous ceux qui s’inscrivent ne sont pas forcément de véritables prospects. Certains fraudeurs exploitent ces périodes d’essai en utilisant successivement de fausses identités afin de réinitialiser sans cesse le délai d’essai. C’est ce qu’on appelle l’abus de période d’essai : l’utilisation frauduleuse et répétée d’une offre d’essai par une personne qui n’a aucune intention de devenir un client payant.

Nous expliquons ci-dessous les signes qui permettent de détecter rapidement les abus liés aux essais gratuits, les répercussions commerciales qui vont au-delà des fausses inscriptions, ainsi que le dispositif de prévention à plusieurs niveaux qui permet d’y mettre un terme.

Points clés

• L’abus des essais gratuits est un problème de fraude distinct du taux de désabonnement. Il consiste à changer délibérément d’identité à plusieurs reprises afin de tirer profit du service sans payer.

• Les conséquences commerciales d’une utilisation abusive des essais gratuits comprennent notamment la fausse représentation des données d’analyse des produits, une augmentation des coûts informatiques et un risque accru de fraude aux paiements en aval.

• Une prévention efficace nécessite des mesures de protection à plusieurs niveaux, couvrant l’inscription, l’analyse des appareils et la surveillance après activation.

Qu’est-ce que l’abus des essais gratuits?

On parle d’abus des essais gratuits lorsqu’un utilisateur réinitialise sans cesse la période d’essai en créant de nouveaux comptes. Il utilise alors des identités fictives ou synthétiques, telles que de nouvelles adresses de courriel, de nouveaux numéros de téléphone et d’autres informations d’identification, afin de se faire passer pour un nouvel utilisateur et de réinitialiser le compte à rebours de l’essai.

Quelles sont les pratiques courantes d’abus des périodes d’essai gratuites?

Les abus suivent généralement des schémas reconnaissables. Les méthodes exactes varient, mais elles relèvent généralement des catégories suivantes.

• Comptes multiples : la méthode la plus simple consiste à créer plusieurs comptes en utilisant différentes adresses e-mail. Si un système d’essai se contente de vérifier si une adresse de courriel a déjà été utilisée, cette méthode fonctionne bien.

• Adresses e-mail jetables et synthétiques : les services de boîtes de réception temporaires génèrent des adresses valides à la demande. Les acteurs les plus sophistiqués enregistrent leurs propres domaines afin de générer un nombre illimité d’adresses capables de passer les contrôles de validation de base.

• Rotation d’identité : pour éviter d’être repérés, les utilisateurs modifient régulièrement leurs informations d’identité, telles que leurs noms, leurs numéros de téléphone (parfois via des services de VoIP) et leurs adresses de facturation. Certains combinent des fragments de données réelles pour créer des identités synthétiques qui semblent légitimes aux contrôles automatisés.

• Bots d’inscription automatisés : des scripts peuvent automatiquement suivre les procédures d’inscription, résoudre des CAPTCHA simples et activer des essais gratuits. Lorsque chaque inscription passe par des réseaux de proxys résidentiels, elle semble provenir d’un appareil et d’un emplacement différents.

• Contournement de la vérification : la vérification par courriel peut être contournée à l’aide de boîtes de réception temporaires, tandis que la vérification par message texte est souvent contournée grâce à des services de numéros virtuels.

• Utilisation directe de l’interface de programmation d’applications (API) après l’inscription : dans les produits basés sur une API, le compte d’essai peut n’être nécessaire que pour générer une clé API. Une fois émise, cette clé peut être utilisée directement avec vos points de terminaison jusqu’à ce qu’elle soit révoquée ou soumise à une limitation de débit.

Quels sont les signes précurseurs d’un abus des essais gratuits?

Il n’existe pas de signe unique permettant de prouver qu’il y a abus. La détection repose généralement sur l’accumulation d’indicateurs de risque. Plus il y a de signes, plus il est probable que le compte fasse l’objet d’un abus.

Voici les points à surveiller :

• Fréquence des inscriptions provenant d’une infrastructure partagée : plusieurs inscriptions provenant d’une même adresse IP, d’une même plage d’adresses IP ou d’un même fournisseur d’accès Internet sur une courte période constituent des indicateurs clairs d’une infrastructure partagée. Les nœuds de sortie des centres de données et des réseaux privés virtuels (VPN) en sont des sources particulièrement courantes.

• Domaines de messagerie suspects : les fournisseurs de messagerie jetables sont faciles à repérer grâce aux listes noires de domaines. L’ancienneté du domaine peut également être révélatrice. Les adresses créées sur des domaines enregistrés quelques jours seulement auparavant indiquent souvent qu’il s’agit d’identités synthétiques.

• Réutilisation des empreintes numériques des appareils : deux comptes prétendant appartenir à des utilisateurs sans lien entre eux partagent rarement des empreintes de navigateur identiques. Des combinaisons récurrentes de signatures Canvas, de polices installées, de plugins ou de caractéristiques de l’appareil peuvent relier des comptes qui, sans cela, seraient distincts.

• Comportement anormal en début de session : les utilisateurs légitimes explorent généralement le produit. Les fraudeurs, quant à eux, se dirigent souvent directement vers la fonctionnalité ou le point de terminaison API la plus lucrative, quelques secondes seulement après avoir activé une période d’essai.

• Modèles d’essai liés à des comptes expirés : lorsqu’une nouvelle période d’essai commence peu après l’expiration d’une autre et que les comptes partagent des signaux liés à l’infrastructure, à l’appareil ou à l’identité, cela constitue un indicateur fort d’un comportement de renouvellement.

• Signaux liés au paiement : si vous recueillez des informations de paiement lors de l’inscription, certains signaux, tels que l’utilisation d’une carte prépayée, une divergence entre le pays de la carte et l’adresse IP, ou la réutilisation rapide d’une même carte pour plusieurs inscriptions, peuvent indiquer un risque.

En quoi l’abus des essais gratuits affecte-t-il votre entreprise, au-delà des fausses inscriptions?

Les conséquences néfastes d’une utilisation abusive des versions d’essai se multiplient à bien des égards. Voici l’impact réel sur votre activité de la présence de faux utilisateurs dans votre cohorte d’essai.

Coûts liés à l’infrastructure et aux API

Si une version d’essai comprend des fonctionnalités gourmandes en ressources, notamment en matière de calcul, de stockage ou d’inférence IA, les fraudeurs en feront un usage intensif. Des entreprises spécialisées dans l’IA ont signalé des pics de coûts d’infrastructure directement imputables à des abus de versions d’essai, ne découvrant parfois le problème que lorsque leurs dépenses cloud ont bondi de manière inattendue.

Analyse des produits contaminés

L’abus des versions d’essai fausse les indicateurs de performance du produit. Les taux d’activation, l’adoption des fonctionnalités et le délai de rentabilisation apparaissent tous moins bons lorsqu’une grande partie de vos utilisateurs n’ont jamais été de véritables évaluateurs. Les équipes risquent alors de prendre des décisions concernant le produit sur la base de données trompeuses.

Charge admissible

Les abus perturbent souvent les systèmes d’assistance, ce qui se traduit par des inscriptions qui échouent, des alertes de fraude et des problèmes de facturation nécessitant une enquête.

Une exposition accrue à la fraude aux paiements

L’utilisation abusive des comptes d’essai précède souvent la fraude aux paiements. Les personnes malveillantes qui testent les systèmes à l’aide de comptes d’essai peuvent par la suite tenter d’effectuer des transactions en utilisant des identifiants de paiement volés, car elles ont ainsi appris comment fonctionne votre processus d’inscription.

Quels sont les éléments qui composent un dispositif efficace de prévention des abus lors des essais gratuits?

Une approche efficace pour prévenir les abus liés aux essais gratuits consiste à mettre en place une défense à plusieurs niveaux. Chaque mesure de contrôle doit augmenter le coût lié au contournement de votre système, jusqu’à ce que l’abus de celui-ci ne vaille plus la peine.

Voici les éléments qui composent un cadre de prévention efficace.

Évaluation des risques lors de l’inscription

Avant d’activer une période d’essai, évaluez une combinaison de signaux, notamment la réputation des e-mails, les risques liés à l’adresse IP, les caractéristiques de l’appareil et les schémas comportementaux. Les API modernes de détection des fraudes peuvent fournir ces scores en quelques millisecondes, sans gêner les utilisateurs légitimes.

Intelligence des appareils

La prise d’empreinte des appareils permet de relier les comptes créés à partir du même navigateur ou du même appareil, même lorsque les adresses de courriel, les adresses IP et les identités changent.

Friction progressive

Plutôt que d’imposer des obstacles à tous les utilisateurs, ne mettez en place une vérification supplémentaire que lorsque les signaux de risque dépassent un certain seuil. Par exemple, vous pourriez exiger une vérification à l’aide d’un numéro de téléphone mobile valide, ce qui permettrait de bloquer de nombreuses inscriptions automatisées.

Limitation du débit :

Limitez les dommages qu’un compte d’essai peut causer. Les limites de débit de l’API et les plafonds d’utilisation garantissent que même un compte ayant fait l’objet d’un abus ne puisse pas générer de valeur illimitée.

Suivi comportemental pendant l’essai

L’analyse post-inscription permet de détecter les comportements suspects et de suspendre les comptes avant qu’ils n’exploitent pleinement la période d’essai.

Analyse des signaux de risque de paiement avec Stripe Radar

Si des informations de paiement sont recueillies lors de l’inscription à la version d’essai, les modèles d’apprentissage automatique de Stripe Radar évaluent cette transaction en la comparant aux signaux provenant de l’ensemble du réseau Stripe. Une carte associée à une activité frauduleuse ailleurs présentera un risque accru dans votre processus d’inscription, même si c’est la première fois que vous la rencontrez.

Quel est le lien entre l’utilisation abusive des essais gratuits et les autres risques de fraude liés à l’inscription et à l’abonnement?

L’abus des essais gratuits se produit rarement de manière isolée. On retrouve souvent les mêmes infrastructures et les mêmes tactiques dans d’autres types de fraude.

Voici comment s’explique l’abus d’essais gratuits :

• Fraude liée à la création de nouveaux comptes : les adresses e-mail jetables, les numéros virtuels et les réseaux de proxys résidentiels utilisés pour abuser des périodes d’essai sont également couramment utilisés dans le cadre plus général de la création de faux comptes et de la préparation de la prise de contrôle de comptes.

• Abus des offres promotionnelles : toute incitation liée à une inscription, telle que des crédits, des primes de parrainage ou des réductions, est exposée aux mêmes tactiques de création de comptes multiples que celles utilisées dans le cadre de l’abus des périodes d’essai. Les entreprises qui parviennent à lutter contre l’abus des périodes d’essai renforcent souvent, dans le même temps, la sécurité de leurs processus de validation des offres promotionnelles.

• Utilisation abusive de l’API : une fois les identifiants de l’API obtenus via un compte d’essai, ceux-ci peuvent continuer à être utilisés bien après la fin de la période d’essai s’il n’existe aucun processus de surveillance ou de révocation.

Comment Stripe Radar peut vous aider

Stripe Radar utilise des modèles d’IA pour détecter et prévenir la fraude, entraînés à partir des données du réseau mondial de Stripe. Il met continuellement à jour ces modèles en fonction des dernières tendances en matière de fraude, protégeant ainsi votre entreprise à mesure que la fraude évolue.

Stripe propose également Radar for Fraud Teams, qui permet aux utilisateurs d’ajouter des règles personnalisées pour traiter des scénarios de fraude propre à leurs entreprises et d’accéder à des informations avancées sur la fraude.

Radar peut aider votre entreprise à :

• Prévenir les pertes dues à la fraude : Stripe traite plus de 1 000 milliards de dollars en paiements chaque année. Cette échelle permet à Radar de détecter et de prévenir la fraude avec précision, vous faisant économiser de l’argent.

• Augmenter les revenus : les modèles d’IA de Radar sont formés sur des données réelles de litiges, d’informations clients, de données de navigation, et plus encore. Cela permet à Radar de déterminer les transactions à risque et de réduire les faux positifs, augmentant ainsi vos revenus.

• Gagner du temps : Radar est intégré à Stripe et ne nécessite aucune ligne de code pour être configuré. Vous pouvez également surveiller vos performances en matière de fraude, définir des règles, et plus encore sur une seule plateforme, augmentant ainsi l’efficacité de vos équipes.

Découvrez-en davantage sur Stripe Radar, ou commencez à l’utiliser dès aujourd’hui.