# Práticas recomendadas para evitar fraudes

Saiba como usar práticas recomendadas para se proteger contra contestações e fraudes em pagamentos.

A criação de uma estratégia eficaz de prevenção de contestações e fraudes mais adequada à empresa pode ajudar a prevenir a ocorrência de fraudes. Use algumas dessas práticas recomendadas em sua estratégia para evitar excesso de estornos e reduzir incômodos e perdas para os clientes.

## Ferramentas para todos

Estas são ferramentas que qualquer usuário da Stripe pode implementar para reduzir os casos de fraude e contestação.

### Interaja com os clientes com clareza e transparência

Manter um contato claro e frequente com seus clientes pode ajudar a evitar muitos dos [motivos](https://docs.stripe.com/disputes/categories.md) de contestações. Ao responder a problemas e processar rapidamente reembolsos ou pedidos de substituição, é menos provável que seus clientes dediquem tempo para contestar um pagamento. Facilite a localização das informações de contato do atendimento ao cliente, mantenha os clientes informados durante todo o processo do pedido e forneça atualizações sobre as entregas.

> Os termos de serviço devem conter uma descrição clara das políticas de reembolso e cancelamento. Você pode exigir que os usuários concordem com os termos de serviço para aumentar a probabilidade de que os emissores de cartão respeitem suas políticas quando ocorrer uma contestação.

- [ ] Exija a concordância com os termos de serviço
      De modo geral, coloque os termos de serviço e as políticas em um local fácil de encontrar no site e exija a concordância dos clientes. Em vez de se limitar a exibir os links durante o checkout, mostre uma versão completa dos textos na página de checkout ou como um pop-up. Exija a concordância do cliente antes do envio do pedido.

- [ ] Mostre a política completa
      Os emissores de cartão podem ser bem específicos sobre a forma de apresentação das políticas. Quando a página de checkout mostra somente um link com uma caixa de seleção que o cliente deve marcar, o emissor pode rejeitá-la como comprovação insuficiente de que o cliente estava ciente das políticas. É necessário comprovar que você apresentou ao cliente uma cópia completa das políticas antes da compra.

- [ ] Rastreie o envio
      Quando enviar mercadorias físicas para os clientes, use sempre que possível transportadoras e serviços que oferecem rastreamento online e confirmação de entrega. Informe esses dados aos clientes assim que estiverem disponíveis (se você precisar enviar informações de rastreamento como comprovação em uma contestação, observe que os emissores de cartão não aceitam links, o que significa que você deve enviar capturas de tela).

- [ ] Use descrições no extrato claras
      Defina um nome reconhecível para a sua [descrição no extrato](https://docs.stripe.com/get-started/account/set-up.md#public-business-information) nas suas [configurações de conta](https://dashboard.stripe.com/settings/account/?support_details=true). Recomendamos usar o domínio do seu site ou nome da empresa para garantir que os clientes possam identificar facilmente a compra quando visualizarem o extrato.

      As descrições no extrato devem ter de 5 a 22 caracteres, conter pelo menos 5 letras e não podem usar os caracteres especiais `<`, `>`, `'` ou `"`.

- [ ] Separe as contas de empresas
      Evite usar a mesma conta Stripe para empresas separadas. Cada conta Stripe deve representar uma única empresa, o que permite ter descrições no extrato e dados de contato separados. Se precisar processar pagamentos de diversas empresas, crie [outras contas](https://docs.stripe.com/get-started/account/multiple-accounts.md) para cada uma delas.

### Considere o reembolso proativo de pagamentos suspeitos

Reembolse imediatamente qualquer pagamento que você [tenha certeza de que é fraudulento](https://docs.stripe.com/disputes/prevention/identifying-fraud.md) (exceto quando tiver proteção de alguma forma de *transferência de responsabilidade* (With some 3D Secure transactions, the liability for fraudulent chargebacks (stolen or counterfeit cards) shifts from you to the card issuer), como o [3D Secure](https://docs.stripe.com/payments/3d-secure/authentication-flow.md#disputed-payments)). Se você sabe que receberá uma contestação por fraude, reembolse integralmente o pagamento fraudulento para evitar [tarifas de contestação](https://docs.stripe.com/disputes/how-disputes-work.md#dispute-fees), aumento da sua [taxa de contestações](https://docs.stripe.com/disputes/measuring.md#dispute-rate-usage) e a possível perda de produtos.

> Os clientes não podem contestar pagamentos integralmente reembolsados, mas podem contestar os que tiveram reembolso parcial. As regras das bandeiras de cartão permitem até mesmo contestar o valor integral de um pagamento parcialmente reembolsado.

No entanto, pode acontecer de você suspeitar de fraude em um pagamento e não ter certeza. Algumas vezes, faz sentido ter uma estratégia de reembolsos agressiva para todas as cobranças desse tipo. Em outras situações, talvez essa não seja a melhor opção.

Você pode adotar uma estratégia de reembolsos agressiva quando ocorrer uma destas situações:

- **Pedido ainda não atendido**. Um reembolso pode evitar a perda do produto. Em outras palavras, se ainda não comprometeu seu produto ou serviço de forma irreversível mediante uma suspeita de fraude, você pode adotar uma estratégia mais agressiva na emissão de reembolsos. Por outro lado, se não for mais possível recuperar o produto ou serviço (por exemplo, o produto já foi enviado ou o serviço já foi prestado), pode fazer mais sentido *não* reembolsar e aguardar para ver se há fraude no pagamento.
- **Excesso de contestações**. Você teve recentemente uma atividade de contestações [excessiva](https://docs.stripe.com/disputes/measuring.md#excessive-dispute-activity) segundo as definições das *bandeiras de cartão* (A network that processes the transactions of a particular card brand. It might be an intermediary in front of an issuing bank as with Visa or Mastercard, or a standalone entity as with American Express) e há risco de inadimplência da sua conta Stripe ou de inclusão em um programa de monitoramento de estornos.
- **Programa de monitoramento de estornos**. Você já está em um [programa de monitoramento de estornos](https://docs.stripe.com/disputes/monitoring-programs.md) e precisa sair do programa.
- **Empresas novas ou de pequeno porte**. Sua empresa tem um volume de pagamentos pequeno (por exemplo, menos de 100 pagamentos por mês). Nesse caso, uma ou duas contestações por fraude podem ter um efeito desproporcional na sua [taxa de contestações](https://docs.stripe.com/disputes/measuring.md#dispute-rate-usage), mesmo que sua atividade de contestações seja baixa.

Se não ocorrer nenhuma das condições acima, você pode adotar uma estratégia mais conservadora para reembolsos proativos de pagamentos com suspeita de fraude.

> #### Reembolse pagamentos fraudulentos
> 
> Para reembolsar um pagamento, selecione-o no [Dashboard](https://dashboard.stripe.com) e clique em **Reembolsar por fraude**. O pagamento é reembolsado e denunciado à Stripe para podermos aprimorar a detecção de fraudes.

### Postergar a remessa de pedidos

Se você envia mercadorias físicas, considere postergar o envio por 24 a 48 horas. Esse período permite que o titular do cartão detecte e denuncie a fraude na sua conta. Nesse cenário, você recebe a contestação por fraude, mas pelo menos não perde o produto. No entanto, nem todos os titulares de cartão verificam extratos diariamente e talvez o emissor do cartão não os notifique sobre a transação.

Considere que *customers* (Customer objects represent customers of your business. They let you reuse payment methods and give you the ability to track multiple payments) que solicitam entrega no dia seguinte ou expressa apresentam um risco maior, pois o custo mais elevado desses serviços não é relevante para os fraudadores. Uma tática que você pode usar para identificar esses tipos de pagamentos é oferecer entrega no mesmo dia ou no dia seguinte por um custo desproporcionalmente alto, muitas vezes superior ao de qualquer outra opção de entrega oferecida.

É menos provável que um cliente legítimo pague um custo tão alto, mas um fraudador vai querer que os produtos sejam enviados o mais rápido possível, independentemente do custo adicional. Assim, você pode analisar manualmente os clientes que optarem pela opção de entrega com um preço excepcionalmente alto e examinar o pedido para determinar se ele parece legítimo. Usar um [processo separado de autorização e captura](https://docs.stripe.com/disputes/prevention/best-practices.md#use-auth-and-capture-when-creating-payments) em conjunto com as [análises do Radar](https://docs.stripe.com/disputes/prevention/best-practices.md#manually-review-payments) é uma boa maneira de fazer isso.

### Entregar em um endereço verificado

A opção mais segura é entregar em um [endereço de cobrança verificado](https://docs.stripe.com/disputes/prevention/verification.md#avs-check), que passou por confirmações de código postal e endereço. Se o pagamento for contestado, a entrega em um endereço não verificado não permite comprovar que o pedido foi enviado ao titular do cartão legítimo.

Isso não impede que você envie produtos para um endereço diferente, embora seja recomendável fazer todo o possível para reduzir os riscos envolvidos. Por exemplo, você pode optar por enviar pedidos para um endereço diferente somente no caso de clientes recorrentes que você já sabe serem legítimos ou que forneçam um endereço de faturamento totalmente verificável. Além disso, qualquer um dos itens a seguir pode indicar que o pagamento é suspeito:

- O pedido é muito maior que o habitual ou só contém seus produtos mais caros
- O cliente alterou o endereço de entrega após fazer o pedido
- O cliente solicitou entrega urgente
- Os produtos comprados têm alto valor de revenda
- O destino de entrega é diferente do endereço de cobrança ou do país de origem do cartão (por exemplo, o endereço de cobrança fica na Espanha, e o endereço de entrega, na França)

A análise dos dados do pedido e do endereço de entrega pode ajudar a identificar pedidos com risco inaceitável.

### Avaliar sua taxa de contestações

A [taxa de contestações da sua conta](https://docs.stripe.com/disputes/measuring.md#dispute-rate-usage) é uma métrica importante que usamos para analisar a eficácia dos seus métodos de prevenção de contestações e fraudes. Você pode verificar regularmente essas métricas no Stripe Dashboard para avaliar o impacto das suas estratégias de prevenção de contestações.

## Ferramentas para usuários do Radar

O [Radar](https://stripe.com/radar) é um conjunto de recursos e ferramentas para combate à fraude, integrado ao Stripe e que não exige trabalho adicional de integração.

### Revisar manualmente os pagamentos

Se [seu plano](https://docs.stripe.com/radar/how-radar-works.md#compare-plans) oferecer esse recurso, é possível colocar determinados pagamentos em [análise](https://docs.stripe.com/radar/transaction-reviews.md). Esses pagamentos ainda são processados e o cartão de crédito é cobrado, a menos que você utilize um processo separado de autorização e captura. Esses pagamentos são direcionados para a [fila de revisão](https://dashboard.stripe.com/radar) para que você possa avaliá-los com mais atenção. Caso suspeite que o pagamento seja fraudulento, é possível realizar o reembolso.

Analise o quanto antes os pagamentos que a Stripe colocou na sua [fila de revisão](https://dashboard.stripe.com/radar). Marcamos automaticamente para análise os pagamentos com [risco elevado](https://docs.stripe.com/radar/transaction-risk-prevention.md#elevated-risk) de fraude. Você também pode criar regras adicionais para personalizar os tipos de pagamentos que deseja incluir na sua fila de análise.

Algumas considerações sobre análise de pagamentos:

- O endereço de cobrança é igual ao endereço de entrega?
- O endereço de cobrança foi verificado pelo AVS? O país desse endereço é o país de origem do cartão?
- O e-mail do cliente corresponde ao nome do titular do cartão?
- O cliente solicitou que o pedido seja processado com urgência?
- O mesmo endereço IP gerou vários pedidos com cartões de crédito diferentes?
- Esse cliente já fez pedidos que foram recusados?

Se você não tiver certeza sobre um pagamento durante a análise, sempre entre em contato com o cliente por telefone ou e-mail. Se os endereços de faturamento e entrega de um pagamento não corresponderem, pesquise o endereço de entrega usando o [Google Maps e o Street View](https://www.google.com/maps/streetview) para obter mais informações. Uma tática comum usada por fraudadores é solicitar que os pedidos sejam enviados para um serviço de encaminhamento de cargas ou correspondências ou para uma instalação de armazenamento que encaminhe os produtos para a localização real deles.

### Use regras do Radar para automatizar o bloqueio de pagamentos ou seu envio para análise

O Radar está integrado diretamente ao fluxo de pagamentos e combina um mecanismo de regras personalizáveis com algoritmos de IA. Ele pode detectar padrões em pagamentos de todas as empresas que processam pagamentos com a Stripe, avaliando o risco de cada um.

O uso de [regras](https://docs.stripe.com/radar/rules.md) permite avaliar automaticamente os pagamentos de acordo com seus critérios de detecção específicos e tomar as medidas adequadas em cada caso. Também é possível criar regras que usam vários critérios para permitir ou bloquear pagamentos que cumprem várias condições. Cada empresa tem riscos diferentes.

### Limitar país e tipo de cartão

Se você estiver enfrentando aumento de fraudes provenientes de determinados países, pode configurar regras para bloquear pagamentos de qualquer país do qual não queira aceitar pagamentos, usando os atributos de regra `:ip_country:` e `:card_country:`. Por exemplo, você pode criar a seguinte regra para bloquear todos os pagamentos e cartões originários do Canadá: `Block if :ip_country: = ca and :card_country: = 'ca'`. Da mesma forma, se sua empresa só atende ao país em que opera, você pode criar uma regra que bloqueie quaisquer pagamentos de todos os outros países. Por exemplo, uma regra para bloquear pagamentos que não se originem da Austrália é: `Block if :ip_country: != au and :card_country: != 'au'`.

É possível limitar o tipo de cartões aceitos por bandeira (Mastercard e outras) ou por tipo de fundos (pré-pago e outros). Isso pode ser muito útil quando ocorre um número excessivo de fraudes com tipos específicos de cartão. Por exemplo, a regra `Block if :card_brand: = visa and :card_funding: = 'debit'` bloqueia os pagamentos de todos os cartões de débito emitidos pela Visa.

## Ferramentas para desenvolvedores

Essas ferramentas exigem trabalho de desenvolvimento para implementação. Se sua integração de pagamentos é fornecida por um [parceiro da Stripe](https://stripe.com/partners), talvez você não consiga implementá-la diretamente por conta própria.

### Processe suas transações na Stripe

As regras do [Visa Compelling Evidence 3.0](https://docs.stripe.com/disputes/best-practices.md#visa-ce-30) usam o histórico de transações para contestar [fraudes amigáveis](https://docs.stripe.com/disputes/prevention/fraud-types.md#friendly-fraud) ao exibir transações não fraudulentas anteriores com o mesmo titular do cartão em um período específico. Quando você recebe da Visa uma contestação por fraude, a Stripe pode identificar transações qualificadas em seu histórico em nossa plataforma e preencher a resposta à contestação com a maioria dos comprovantes necessários. Você pode usar esses comprovantes para aumentar consideravelmente a probabilidade de reverter a contestação a seu favor.

A Stripe não consegue determinar a qualificação ou enviar comprovantes de transações processadas externamente. Portanto, recomendamos:

- Usar a Stripe sempre que possível
- Incluir o endereço IP, e-mail, endereço de entrega e descrições dos produtos nas suas transações realizadas na Stripe

### Colete o maior número possível de dados de pagamento

Algumas contestações são perdidas porque só o mínimo de dados foi coletado durante o checkout. Isso dificulta ou até mesmo impede que a Stripe ou o emissor de cartão verifiquem se o cliente é legítimo. Por exemplo, embora o código postal nem sempre seja necessário para processar um pagamento com cartão, a inclusão desse dado permite que o pagamento seja verificado pelo emissor do cartão. Uma falha nessa verificação pode indicar uma fraude. Nesse caso, pode ser melhor recusar o pagamento.

Use o [Checkout](https://docs.stripe.com/payments/checkout.md) ou a [detecção antecipada de fraudes](https://docs.stripe.com/disputes/prevention/advanced-fraud-detection.md) para que a integração possa fornecer dados de pagamento relevantes, como:

- Nome do *cliente* (Customer objects represent customers of your business. They let you reuse payment methods and give you the ability to track multiple payments)
- E-mail do cliente
- Número do CVC
- Código postal e endereço completo de cobrança
- Endereço de entrega (se diferente do endereço de cobrança)
- Dados de rastreamento

### Implemente um método de autenticação de titular do cartão, como 3D Secure

*3D Secure* (3D Secure (3DS) provides an additional layer of authentication for credit card transactions that protects businesses from liability for fraudulent card payments) é uma forma de adicionar uma etapa de verificação entre o cliente e o *emissor do cartão* (The entity that issued a payment card to a cardholder. This could be a bank, such as with the Visa or Mastercard network, or it could be the card network itself, such as with American Express) no seu fluxo de checkout. Pagamentos autenticados com 3D Secure podem estar protegidos da maioria das contestações fraudulentas por meio de uma regra conhecida como [transferência de responsabilidade](https://docs.stripe.com/payments/3d-secure/authentication-flow.md#disputed-payments). No entanto, você ainda receberá [alerta antecipado de fraude](https://docs.stripe.com/disputes/how-disputes-work.md#early-fraud-warnings) que podem ser contabilizados nos [programas de monitoramento da bandeira do cartão](https://docs.stripe.com/disputes/monitoring-programs.md).

Saiba mais em [Autenticação de cartões e 3D Secure](https://docs.stripe.com/payments/3d-secure.md).

### Faça a verificação de identidade do cliente automaticamente

A verificação da identidade do cliente pode ajudar em alguns casos. Considere o uso do [Stripe Identity](https://docs.stripe.com/identity.md) para verificar um documento de identificação oficial e associá-lo a uma selfie do titular do documento. Você também tem a opção de solicitar que os clientes conectem suas contas do [Facebook](https://developers.facebook.com/docs/facebook-login/overview/) ou [LinkedIn](https://developer.linkedin.com/docs/oauth2) como comprovação de identidade adicional. Essa é uma etapa extra que pode desestimular um fraudador. Obviamente, alguns clientes podem recusar esse processo adicional, o que pode afetar sua taxa de conversão.

### Usar autorização e captura na criação de pagamentos

As tentativas de cobrança de cartões de crédito são processadas em duas etapas. Primeiro, a cobrança é *autorizada* mediante uma solicitação de autorização do valor cobrado enviada ao *emissor do cartão* (The entity that issued a payment card to a cardholder. This could be a bank, such as with the Visa or Mastercard network, or it could be the card network itself, such as with American Express). Depois da aprovação da cobrança, o processo padrão é *capturá-la* imediatamente e debitar o valor do cartão.

O fluxo de pagamento com [captura posterior](https://docs.stripe.com/payments/place-a-hold-on-a-payment-method.md) (também conhecido como autorização e captura) executa essas duas etapas em momentos diferentes. A autorização pode ser feita antes para reservar o valor no cartão e é exibida no extrato do cliente como transação pendente, mas não remove fundos da conta. A cobrança pode ser capturada até sete dias após a autorização. A captura da cobrança finaliza o pagamento, e os fundos são deduzidos do cartão do cliente. Quando a cobrança não é capturada dentro desse prazo, a autorização é liberada automaticamente.

Assim como o envio postergado, esse método pode proporcionar tempo suficiente para identificar uma possível fraude, permitindo que você analise cuidadosamente a transação e, se necessário, faça o reembolso. Os titulares dos cartões não podem contestar autorizações não capturadas, apenas pagamentos totalmente capturados. Se [seu plano](https://docs.stripe.com/radar/how-radar-works.md#compare-plans) for compatível com esse recurso, você poderá capturar esses pagamentos manualmente durante o [processo de análise](https://docs.stripe.com/disputes/prevention/best-practices.md#manually-review-payments).

### Definir uma descrição no extrato personalizada para cada pagamento

A descrição no extrato é o texto que aparece nos extratos do cartão/bancários dos clientes com informações sobre a empresa associada a um pagamento. Uma forma de usar a descrição no extrato é inserir um código curto e aleatório que o cliente precisa verificar. Quando você suspeitar que uma transação pode ser fraudulenta, pode entrar em contato com o cliente e pedir que forneça o código exibido em seu extrato online; caso não forneça, você deve reembolsar o pagamento.

Você pode editar sua [descrição no extrato padrão](https://dashboard.stripe.com/settings/public) no Dashboard ou definir uma [descrição no extrato dinâmica](https://docs.stripe.com/get-started/account/statement-descriptors.md#dynamic) sempre que cria um pagamento usando a API.

Embora esse método não ajude contra um fraudador que tenha acesso à conta online do titular junto ao emissor do cartão ou à conta de crédito, isso é raro. Usar a descrição no extrato dessa forma pode proporcionar maior segurança de que o cliente provavelmente é legítimo. Assim como ocorre com alguns outros métodos de prevenção, o atrito adicional para o cliente causado por esse método pode fazer com que alguns pagamentos legítimos sejam reembolsados.

### Revisar alertas de aumento de taxa de fraude

Quando você recebe [alertas de integridade da Stripe](https://docs.stripe.com/health-alerts.md), primeiro pode analisar as contestações recebidas em busca de padrões comuns. Se algum dos seus pagamentos a receber tiver padrões semelhantes, considere o reembolso para evitar possíveis contestações.

A Stripe alerta para os seguintes tipos de ataque:

| Tipo de ataque | Descrição |
| --- | --- |
| `spike` | A Stripe detecta um aumento diário na sua taxa de fraudes. |
| `sustained_attack` | A Stripe detecta um aumento contínuo ou de vários dias na sua taxa de fraudes. |

> A confiança em alertas de transações fraudulentas é por sua conta e risco. A Stripe não é responsável por perdas, danos ou custos relacionados à precisão ou imprecisão dos alertas e quaisquer ações que você possa realizar ou deixar de realizar com base nos alertas.

## See also

- [Como identificar fraude](https://docs.stripe.com/disputes/prevention/identifying-fraud.md)
- [Categorias de contestação](https://docs.stripe.com/disputes/categories.md)
- [Como medir contestações](https://docs.stripe.com/disputes/measuring.md)