Protection contre les abus

L’assemblage des protections

Chaque protection décrite ici s’applique à tous les forfaits, y compris le gratuit : la protection contre les abus fait partie du produit, ce n’est pas un supplément. Elles sont superposées pour qu’aucune vérification n’ait à tout attraper, et conçues pour que les vrais utilisateurs s’en aperçoivent rarement : les défis sont rares, accessibles et ne révèlent jamais si un compte existe. Un faux positif laisse toujours un moyen d’entrer, un défi plus difficile ou une clé d’accès, jamais une impasse.

Distinguer les personnes des robots

Chaque Continuer et chaque inscription passe une vérification invisible par preuve de travail : le navigateur résout un petit casse-tête que le serveur vérifie. C’est la vérification de HonkIO, hébergée par HonkIO. Aucun CAPTCHA tiers n’est utilisé et aucune donnée de visiteur n’est transmise à un tiers.

Chaque tentative reçoit une cote de risque : fréquence des requêtes par adresse IP, bloc réseau et fournisseur réseau; adresses de centres de données, de Tor et de mandataires; signes d’automatisation; échecs récents; et nombre d’applications visées par l’identifiant ou l’adresse IP. Un risque élevé entraîne un casse-tête plus difficile et un défi interactif, avec option audio, en anglais et en français. Un risque très élevé est refusé avec la même formulation que tout le reste.

Inscriptions fictives ou jetables

• Les fournisseurs de courriel jetable sont bloqués par défaut, d’après une liste libre tenue à jour (block_throwaway_emails).
• Au choix, traitez les alias de courriel comme une seule adresse : a.b+x@gmail.com devient ab@gmail.com (aliases_are_same, désactivé par défaut parce que certaines personnes se servent d’alias).
• Les numéros qui ne sont pas des mobiles sont refusés. Avec Pro et Affaires, vous pouvez aussi bloquer les numéros VoIP (block_voip).
• Listes de blocage par application : adresses courriel, domaines de courriel, numéros ou préfixes de téléphone, adresses ou plages IP, fournisseurs réseau et pays (d’après l’IP).
• Les utilisateurs signalés comme robots probables ne comptent pas dans votre forfait, et vous pouvez les supprimer en lot : une vague de robots ne peut ni épuiser votre forfait ni gonfler les frais par utilisateur.

Limites de volume

Des limites fixes de la plateforme s’ajoutent à la vérification anti-robots : par destinataire sur tout HonkIO, pour que personne ne voie sa boîte ou son téléphone inondé par plusieurs applications; par application, d’après le trafic habituel de l’application; et par adresse IP, bloc réseau et fournisseur réseau. Une application gratuite d’un nouveau compte HonkIO commence avec de faibles plafonds quotidiens qui augmentent avec l’âge du compte. Le tableau de bord indique quand une limite est atteinte.

Fraude par texto

Les textos vous coûtent de l’argent : la connexion par texto a donc des protections supplémentaires. Elle n’envoie qu’à des numéros de mobile canadiens, seulement après la vérification anti-robots, et en passant par toutes les protections de /v1/verify.

Chaque application a une limite quotidienne de dépenses en textos, sms_daily_limit_cents, de 5,00 $ par défaut. Quand elle est atteinte, la connexion par texto est suspendue, tandis que le courriel et les clés d’accès continuent de fonctionner. Vous êtes alerté à 50 %, 80 % et 100 %, et sms.spend_limit_reached est émis.

Les signes de pompage (beaucoup de textos vers les numéros d’un même central, des codes envoyés mais rarement saisis, des rafales venant de quelques plages IP) suspendent les textos de l’application ou de la plage de numéros et alertent vous et le personnel de HonkIO.

Mode attaque

Quand le rythme d’inscriptions ou de codes d’une application dépasse nettement son niveau habituel, HonkIO la passe en mode attaque : chaque visiteur reçoit le défi interactif, les limites se resserrent et la connexion par texto est suspendue. Vous êtes avisé par courriel, par une bannière dans le tableau de bord et par app.attack_mode.started. Le mode attaque prend fin de lui-même quand le trafic redevient normal (app.attack_mode.ended). Activez-le ou désactivez-le vous-même en tout temps avec attack_mode : on, off ou auto.

Prise de contrôle de comptes

• Les blocages de codes, et des codes et liens qui ne terminent la connexion que dans le navigateur qui les a demandés (Méthodes de connexion).
• Alertes de nouvel appareil : une connexion depuis un navigateur que l’utilisateur n’a jamais utilisé lui envoie un message « nouvelle connexion » avec un lien « Ce n’était pas moi », qui met fin à toutes ses sessions et l’oblige à revérifier chaque méthode de connexion. Activé par défaut (new_device_alerts). Un témoin d’appareil interne, limité à votre nom d’hôte de connexion, reconnaît les navigateurs qui reviennent; il n’y a aucune prise d’empreinte intrusive.
• Une connexion risquée depuis un nouvel appareil demande une seconde vérification si l’utilisateur en a une : une clé d’accès, ou le canal qui n’a pas servi à la connexion (le courriel, sur le forfait gratuit). Les utilisateurs qui n’ont qu’une méthode passent, et la connexion est signalée dans leur historique.
• Après une connexion par code, la page propose d’enregistrer une clé d’accès, la meilleure défense. Vous ne pouvez pas désactiver cette invitation.

L’onglet Sécurité et l’API

L’onglet Sécurité de chaque application affiche, en direct et récemment, le nombre de connexions, d’échecs, de défis présentés, d’inscriptions bloquées, de textos par plage de numéros et de périodes de mode attaque, avec le motif de chaque blocage, ainsi que l’historique de connexion de chaque utilisateur.

Chaque réglage de cette page se trouve aussi dans l’API (/v1/auth-apps/:id/security, référence de l’API), et les événements ont leurs webhooks : user.locked, signin.suspicious, signup.blocked (des totaux, au plus une fois par minute), app.attack_mode.started, app.attack_mode.ended et sms.spend_limit_reached (événements webhook).

Confidentialité des données d’abus

Les adresses IP, les données réseau, les témoins d’appareil et les cotes de risque sont conservés au Canada avec le reste des données de votre application, gardés 90 jours, puis supprimés ou réduits à des totaux. Ils ne sont jamais vendus, partagés ni envoyés à des services de cotation tiers. Les listes de réseaux et la liste de courriels jetables sont des données publiques que HonkIO récupère; rien sur vos visiteurs ne sort.