La plupart des produits de logiciels proposent une période d’essai gratuite aux nouveaux clients. Proposer un essai gratuit signifie que votre entreprise offre une réelle valeur ajoutée à toute personne qui s’inscrit. Mais tous ceux qui s’inscrivent ne sont pas forcément de véritables prospects. Certains fraudeurs exploitent ces périodes d’essai en utilisant successivement de fausses identités afin de réinitialiser sans cesse le délai d’essai. C’est ce qu’on appelle l’abus des périodes d’essai : l’utilisation frauduleuse et répétée d’une offre d’essai par une personne qui n’a aucune intention de devenir un client payant.

Nous expliquons ci-dessous les signes qui permettent de détecter rapidement les abus liés aux essais gratuits, les répercussions commerciales qui vont au-delà des fausses inscriptions, ainsi que le cadre de prévention à plusieurs niveaux qui permet d’y mettre un terme.

Points clés

• L’abus des essais gratuits est un problème de fraude distinct du taux de désabonnement. Il consiste à changer délibérément d’identité pour continuer à bénéficier du service sans payer.

• L’impact de l’abus d’essai gratuit sur l’entreprise comprend la corruption des données d’analyse produit, l’augmentation des coûts d’infrastructure informatique et un risque élevé de fraude aux paiements en aval.

• Une prévention efficace nécessite des mesures de protection à plusieurs niveaux, couvrant l’inscription, l’analyse des appareils et la surveillance après activation.

Qu’est-ce que l’abus d’essai gratuit ?

L’abus d’essai gratuit se produit lorsqu’un utilisateur réinitialise continuellement la période d’essai en créant de nouveaux comptes. Il utilise alors des identités fictives ou synthétiques, telles que de nouvelles adresses e-mail, de nouveaux numéros de téléphone et d’autres informations d’identification, afin de se faire passer pour un nouvel utilisateur et remettre ainsi le compteur de l’essai à zéro.

Quelles sont les tactiques courantes d’abus des périodes d’essai gratuites ?

L’abus suit généralement des schémas reconnaissables. Bien que les méthodes exactes varient, elles se classent généralement dans les catégories suivantes.

• Utilisation de plusieurs comptes : La méthode la plus simple consiste à créer plusieurs comptes en utilisant différentes adresses e-mail. Si un système d’essai se limite à vérifier si une adresse e-mail a déjà été utilisée, cette tactique s’avère particulièrement efficace.

• Adresses e-mail jetables et synthétiques : Les services de messagerie temporaire génèrent des adresses fonctionnelles à la demande. Les acteurs les plus sophistiqués enregistrent leurs propres domaines afin de générer un nombre illimité d’adresses capables de passer les contrôles de validation de base.

• Rotation d’identités : Pour éviter d’être détectés, les utilisateurs font varier leurs informations d’identité, telles que leurs noms, leurs numéros de téléphone (parfois via des services de VoIP) et leurs adresses de facturation. Certains combinent des fragments de données réelles pour créer des identités synthétiques qui semblent légitimes aux contrôles automatisés.

• Bots d’inscription automatisés : Des scripts peuvent automatiquement remplir les formulaires d’inscription, résoudre des CAPTCHA simples et activer des essais gratuits. Lorsque chaque inscription passe par des réseaux de proxys résidentiels, elle semble provenir d’un appareil et d’un emplacement différents.

• Contournement de la vérification : La vérification par e-mail peut être contournée à l’aide de boîtes de réception temporaires, tandis que la vérification par SMS est souvent contournée grâce à des services de numéros virtuels.

• Utilisation directe de l’interface de programmation d’applications (API) après l’inscription : Dans les produits basés sur une API, le compte d’essai ne sert parfois qu’à générer une clé d’API. Une fois émise, cette clé peut être utilisée directement sur des points de terminaison jusqu’à ce qu’elle soit révoquée ou soumise à une limitation de débit.

Quels sont les premiers signes indiquant un abus d’essai gratuit ?

Il n’existe pas de signe unique permettant de prouver qu’il y a abus. La détection repose généralement sur l’accumulation d’indicateurs de risque. Plus les signaux sont nombreux, plus la probabilité que le compte fasse l’objet d’un abus.

Voici ce à quoi il faut faire attention :

• Fréquence des inscriptions provenant d’une infrastructure partagée : Plusieurs inscriptions provenant d’une même adresse IP, d’une même plage d’adresses IP ou d’un même fournisseur d’accès internet sur une courte période constituent des indicateurs forts d’une infrastructure partagée. Les nœuds de sortie des centres de données et des réseaux privés virtuels (VPN) en sont des sources particulièrement courantes.

• Domaines de messagerie suspects : Les fournisseurs d’adresses e-mail jetables sont faciles à détecter grâce aux listes de blocage de domaines. L’ancienneté du domaine peut également être révélatrice. Les adresses créées sur des domaines enregistrés seulement quelques jours auparavant indiquent souvent qu’il s’agit d’identités synthétiques.

• Réutilisation des empreintes numériques des appareils : Deux comptes prétendant appartenir à des utilisateurs distincts partagent rarement des empreintes de navigateur identiques. Des combinaisons récurrentes de signatures Canvas, de polices installées, de plugins ou de caractéristiques des appareils peuvent relier des comptes qui, autrement, seraient distincts.

• Comportement anormal en début de session : Les utilisateurs légitimes explorent généralement le produit. Les fraudeurs, quant à eux, se dirigent souvent directement vers la fonctionnalité ou le point de terminaison API la plus lucrative, quelques secondes seulement après avoir activé une période d’essai.

• Modèles d’essai liés à des comptes expirés : Lorsqu’une nouvelle période d’essai commence peu après l’expiration d’une autre et que les comptes partagent la même infrastructure, le même appareil ou des signaux d’identité identiques, cela constitue un indicateur fort d’un comportement de renouvellement.

• Signaux liés au paiement : Si vous collectez des informations de paiement lors de l’inscription, certains signaux, tels que l’utilisation de cartes prépayées, des incohérences entre le pays d’émission de la carte et la localisation de l’adresse IP, ou la réutilisation rapide de la même carte pour plusieurs inscriptions peuvent indiquer un risque.

En quoi l’abus d’essai gratuit affecte-t-il votre entreprise, au-delà des fausses inscriptions ?

Les dommages causés par l’abus d’essai gratuit s’accumulent de multiples façons. Voici l’impact réel sur votre entreprise de la présence de faux utilisateurs dans votre cohorte d’essais.

Coûts liés à l’infrastructure technique et l’API

Si une version d’essai comprend des fonctionnalités gourmandes en ressources, notamment en matière de calcul, de stockage ou d’inférence IA, les fraudeurs les utiliseront de manière intensive. Des entreprises spécialisées dans l’IA ont signalé des pics de coûts d’infrastructure directement imputables à des abus de versions d’essai, ne découvrant parfois le problème que lorsque leurs dépenses liées au cloud ont bondi de manière inattendue.

Pollution des données d’analyse produit

L’abus des versions d’essai fausse les indicateurs de performance du produit. Les taux d’activation, l’adoption des fonctionnalités et le délai de rentabilisation apparaissent tous moins bons lorsqu’une grande partie de vos utilisateurs n’ont jamais été de véritables évaluateurs. Les équipes pourraient ainsi prendre des décisions stratégiques sur la base de données trompeuses.

Surcharge du service de support

Les abus perturbent souvent les systèmes d’assistance, ce qui se traduit par des inscriptions qui échouent, des alertes de fraude et des problèmes de facturation nécessitent une investigation approfondie.

Risque élevé de fraude aux paiements

L’abus d’essai gratuit précède souvent la fraude aux paiements. Les personnes malveillantes qui testent les systèmes à l’aide de comptes d’essai peuvent par la suite tenter d’effectuer des transactions en utilisant des identifiants de paiement volés, car elles ont appris comment fonctionne votre processus d’inscription.

En quoi consiste un cadre de prévention efficace contre l’abus d’essai gratuit ?

Une approche efficace pour prévenir l’abus d’essai gratuit repose sur une défense à plusieurs niveaux. Chaque mesure de contrôle doit augmenter le coût lié au contournement de votre système, jusqu’à ce que l’abus de celui-ci ne vaille plus la peine.

Voici les éléments qui composent un cadre de prévention efficace.

Évaluation des risques lors de l’inscription

Avant d’activer une période d’essai, évaluez un ensemble de signaux, notamment la réputation des e-mails, le risque lié à l’adresse IP, les caractéristiques de l’appareil et les schémas comportementaux. Les API modernes de détection de la fraude peuvent fournir ces scores en quelques millisecondes, sans gêner les utilisateurs légitimes.

Surveillance des appareils

L’empreinte numérique de l’appareil permet de lier des comptes créés à partir d’un même navigateur ou d’un même appareil, même lorsque les adresses e-mail, les adresses IP et les identités changent.

Frottement progressif

Plutôt que d’imposer des obstacles à chaque utilisateur, ne mettez en place une vérification supplémentaire que lorsque les signaux de risque dépassent un certain seuil. Par exemple, vous pourriez exiger une vérification à l’aide d’un numéro de téléphone mobile lié à un opérateur réel, ce qui permet de bloquer de nombreuses inscriptions automatisées.

Limitation de débit

Limiter les dommages pouvant être causés par un seul compte d’essai. Les limites de débit de l’API et les plafonds d’utilisation garantissent que même un compte ayant fait l’objet d’un abus ne puisse pas générer de valeur illimitée.

Suivi comportemental pendant l’essai

Les analyses post-inscription permettent de détecter les comportements suspects et de suspendre les comptes avant qu’ils ne profitent pleinement de la période d’essai.

Analyse des signaux de risque de paiement avec Stripe Radar

Si des informations de paiement sont collectées lors de l’inscription à la version d’essai, les modèles d’apprentissage automatique de Stripe Radar évaluent cette transaction en la comparant aux signaux provenant de l’ensemble du réseau Stripe. Une carte associée à une activité frauduleuse ailleurs présentera un risque élevé dans votre processus d’inscription, même si c’est la première fois que vous la voyez.

Quel est le lien entre l’abus d’essai gratuit et les autres risques de fraude liés à l’inscription et à l’abonnement ?

L’abus des essais gratuits se produit rarement de manière isolée. On retrouve souvent les mêmes infrastructures et les mêmes tactiques dans d’autres types de fraude.

Voici comment s’explique l’abus d’essai gratuit :

• Fraude liée à la création de nouveaux comptes : Les adresses e-mail jetables, les numéros virtuels et les réseaux de proxys résidentiels utilisés pour abuser des périodes d’essai sont également courants dans la création massive de faux comptes et la préparation au piratage de comptes.

• Abus de promotions : Toute offre promotionnelle liée à une inscription, telle que des crédits, des bonus de parrainage ou des remises, est vulnérable aux mêmes tactiques de création de comptes multiples que celles utilisées dans le cadre des abus d’essais gratuits. Les entreprises qui parviennent à lutter contre les abus d’essais gratuits renforcent souvent, par la même occasion, la sécurité de leurs processus de rachat de promotions.

• Utilisation abusive de l’API : Une fois les identifiants de l’API obtenus via un compte d’essai, ceux-ci peuvent continuer à être utilisés bien après la fin de la période d’essai s’il n’existe aucun processus de surveillance ou de révocation.

Comment Stripe Radar peut vous aider

Stripe Radar utilise des modèles d’IA pour détecter et prévenir la fraude, entraînés sur des données du réseau mondial de Stripe. Il met à jour continuellement ces modèles en fonction des dernières tendances de fraude, protégeant votre entreprise à mesure que la fraude évolue.

Stripe propose également Radar for Fraud Teams, qui permet aux utilisateurs d’ajouter des règles personnalisées traitant des scénarios de fraude spécifiques à leurs entreprises et d’accéder à des analyses avancées sur la fraude.

Radar peut aider votre entreprise à :

• Prévenir les pertes dues à la fraude : Stripe traite plus de 1 000 milliards de dollars de paiements par an. À ce niveau d’échelle, Radar peut détecter et prévenir la fraude avec précision, ce qui vous permet de réaliser des économies.

• Booster les revenus : les modèles d’IA de Radar sont entraînés sur des données réelles de litiges, des informations clients, des données de navigation, et plus encore. Cela permet à Radar d’identifier les transactions risquées et de réduire les faux positifs, augmentant vos revenus.

• Gagner du temps : Radar est intégré à Stripe et ne nécessite aucune ligne de code pour être configuré. Vous pouvez également surveiller vos performances anti-fraude, écrire des règles, et plus encore dans une plateforme unique, augmentant l’efficacité.

En savoir plus sur Stripe Radar, ou démarrer dès aujourd’hui.