RichCommerce
Menu

Ressources

Votre boutique est clonée ou attaquée par des bots : que faire, dans quel ordre et à quel coût ?

Clone de boutique, aspiration de catalogue, test de cartes volées, litige bancaire : quatre incidents distincts, avec pour chacun les preuves à conserver, la première action prudente, l’interlocuteur à saisir et ce qu’il en coûte à une boutique française.

Nature
Guide, conduite à tenir
Version
1.3 du 12 novembre 2026
Lecture
34 min
Vérification
sources officielles vérifiées le 12 novembre 2026

En résumé

  1. Identifiez d’abord l’incident. Une boutique clonée qui détourne vos publicités, un bot qui aspire votre catalogue (scraping), une attaque de test de cartes volées sur votre paiement (card testing) et une rétrofacturation bancaire (chargeback) sont quatre problèmes distincts. Ils n’ont ni les mêmes auteurs, ni les mêmes preuves, ni les mêmes interlocuteurs.

  2. Ne comptez pas sur une application « anti-bots » installée dans votre thème pour empêcher le clonage ou les attaques sur le paiement. Les bots de card testing n’ont pas toujours besoin de charger votre thème. À l’inverse, un filtrage pare-feu trop agressif ou non testé peut bloquer vos clients, vos API partenaires ou les robots de recherche utiles (Googlebot, OAI-SearchBot, PerplexityBot).

  3. Pendant une attaque de card testing, la capture manuelle des paiements n’arrête pas les demandes d’autorisation bancaire. Elle diffère l’encaissement. Elle ne garantit ni « zéro frais » ni « zéro fraude », et elle impose un tri humain avant l’expiration des autorisations légitimes.

  4. En France, ne comptez pas sur un remboursement automatique des litiges par Shopify Protect. Au 12 novembre 2026, l’aide de Shopify réserve cette couverture aux commandes éligibles payées par Shop Pay, le paiement accéléré de Shopify, pour des marchands situés aux États-Unis et titulaires d’un compte Shopify Payments américain. Son extension au-delà de Shop Pay est annoncée, sans date ni liste de pays.

  5. Respectez l’ordre d’intervention. Conservez vos preuves avant de signaler quoi que ce soit, prévenez votre prestataire de services de paiement (PSP), distinguez les procédures américaines du droit français et déposez vos pièces avant l’échéance affichée dans l’interface de votre PSP.

Identifier l’incident avant d’agir

Un matin, vous découvrez qu’un site inconnu utilise vos photographies sur Instagram, que votre back-office affiche des centaines de paniers abandonnés au nom de « John Doe », ou que votre prestataire de paiement vient de retenir plusieurs centaines d’euros après des contestations bancaires. La première erreur consiste à traiter ces symptômes comme une seule et même attaque informatique.

Dans la précipitation, beaucoup de marchands installent dans leur thème une application censée « bloquer les bots et la copie », modifient à l’aveugle leur fichier robots.txt ou écrivent un message furieux à l’adresse de contact du site copieur. Le résultat peut être le suivant : le site copieur change de nom de domaine avant que vous ayez conservé la moindre preuve, les faux paniers continuent d’arriver, et les vraies ventes reculent parce que les nouveaux filtres gênent les acheteurs sur mobile ou bloquent les robots d’indexation.

Pour protéger votre trésorerie sans dégrader vos ventes légitimes, séparez quatre incidents et appliquez à chacun une réponse proportionnée. Le tableau placé en fin de guide résume, pour chaque incident, la preuve à conserver en premier, la première action prudente, l’interlocuteur compétent et la limite à connaître.

Boutique clonée et usurpation de marque

Le clonage consiste, pour un tiers, à reproduire tout ou partie de votre design, de vos photographies et de vos textes sur un autre nom de domaine, hébergé sur une plateforme e-commerce ou sur un serveur placé derrière un CDN (réseau de diffusion de contenu), afin de capter vos clients par des publicités sociales ou un référencement usurpé.

Au-delà du détournement d’acheteurs, cette pratique peut alimenter une fraude par triangulation. Visa la décrit ainsi : un faux marchand prend la commande d’un vrai consommateur et l’encaisse, puis règle la marchandise avec des données de paiement volées (Visa, « Fraud schemes in retail and ecommerce: What merchants need to know »). Quand le vendeur légitime est votre boutique, vous expédiez l’article ; plus tard, le titulaire de la carte volée conteste le paiement. Vous perdez alors le montant de la vente et la marchandise déjà livrée, et vous payez des frais de litige (Stripe, « Common types of online fraud »).

Signaux d’alerte

Des clients vous signalent une promotion suspecte, vue sur Facebook ou Instagram, qui renvoie vers un domaine proche du vôtre. Ou bien vous observez des commandes inhabituelles, facturées à un nom et expédiées à des destinataires sans lien apparent avec le payeur.

Preuves à conserver avant d’agir

Tant que vos preuves ne sont pas figées, évitez d’écrire à l’adresse de contact ou au formulaire du site copieur : une page peut être modifiée ou déplacée rapidement. C’est une question d’ordre, pas une interdiction. La mise en demeure fait partie des démarches que décrit l’INPI (INPI, « Agir contre les contrefacteurs »), et votre signalement sera de toute façon porté à la connaissance de l’exploitant du clone : Shopify indique qu’il peut transmettre une copie de la notification, coordonnées comprises, à la personne visée, et Cloudflare transmet les plaintes à l’exploitant du site et à son hébergeur. Décidez avec votre conseil du moment et de la forme d’un premier contact direct.

Avant tout signalement, réunissez cinq éléments :

  1. Une capture d’écran de chaque page copiée, et pas seulement de la page d’accueil, où l’adresse (URL) et la date sont lisibles.
  2. Une copie archivée par un tiers, par exemple sur la Wayback Machine d’Internet Archive, qui enregistre l’état d’une page à un instant donné.
  3. Une sauvegarde du code source HTML des pages du clone. Un copieur pressé y laisse parfois vos noms de fichiers d’images, vos textes alternatifs ou le nom de votre marque.
  4. Un relevé des enregistrements DNS et WHOIS du domaine (serveurs de noms, bureau d’enregistrement, CDN), qui sert à identifier les intermédiaires à saisir.
  5. Vos preuves d’antériorité : fichiers originaux de l’appareil photo avec leurs métadonnées de date, dates de création des fiches produits dans votre administration, factures de votre photographe.

Si l’enjeu le justifie, l’INPI recommande aussi de réunir le maximum de preuves de la contrefaçon et de faire établir un constat « sous contrôle d’huissier ».

Signaler le clone

Dressez un tableau qui met en regard, page par page, l’URL de votre produit original et l’URL exacte de la page copiée, avec la description de l’élément repris (par exemple « deuxième photo de la galerie et deux premiers paragraphes »).

Chez Shopify, cette précision est une condition écrite. Sa politique demande la liste de chaque page contenant le contenu en cause, précise qu’un lien général vers la boutique ne sera pas accepté, et réclame les liens vers l’œuvre originale ainsi qu’une déclaration sous peine de parjure (Shopify, « Copyright and DMCA policy »). Les autres plateformes ont leurs propres formulaires et leurs propres exigences : lisez-les avant d’envoyer. En Europe, le règlement sur les services numériques oblige les hébergeurs à proposer un mécanisme de notification et prévoit que la notification indique l’emplacement exact du contenu, « comme l’URL ou les URL exact(s) » (EUR-Lex, règlement (UE) 2022/2065, article 16).

Un dossier complet ne garantit pas le retrait, quelle que soit la plateforme qui héberge le clone. Shopify écrit qu’il retire en général le contenu signalé et qu’il peut, dans certains cas, ne pas le faire. Ne signalez que ce que vous pouvez prouver : une notification sciemment inexacte engage votre responsabilité aux États-Unis (17 U.S.C. § 512(f)) et, en France, est punie d’un an d’emprisonnement et de 15 000 euros d’amende (Légifrance, loi n° 2004-575 du 21 juin 2004, article 6).

Qui contacter

  • Le clone est sur une plateforme identifiée. Utilisez le formulaire officiel d’atteinte aux droits de cette plateforme. Chez Shopify, le droit d’auteur (photos, textes) et la marque (nom, logo, habillage) relèvent de deux politiques et de deux formulaires distincts (Shopify, « Trademark and trade dress policy »).
  • Le clone est sur un serveur indépendant. Adressez-vous à l’hébergeur. Si le site est derrière Cloudflare, sachez que Cloudflare explique ne pas héberger les contenus et ne pas pouvoir les retirer : il transmet la plainte à l’exploitant et à l’hébergeur, et communique à ce dernier l’adresse IP d’origine (Cloudflare, « Our approach to abuse »). Vous pouvez aussi saisir le bureau d’enregistrement du domaine (registrar) et le prestataire de paiement visible sur la page de paiement du clone. Chacun applique ses propres règles, et aucun n’est tenu de vous donner raison.
  • L’usurpation passe par des publicités ou des comptes Facebook ou Instagram. Meta propose des formulaires de signalement pour atteinte à la propriété intellectuelle et un outil nommé Brand Rights Protection (Meta, « About Brand Rights Protection »). Les conditions d’accès et les pièces demandées sont celles que Meta affiche au moment de votre demande : lisez-les avant de monter votre dossier.

Procédures américaines et droit français

Quand vous signalez une copie de photos ou de textes à une plateforme américaine, vous utilisez en général la procédure du DMCA (Digital Millennium Copyright Act, 17 U.S.C. § 512). Elle comporte un mécanisme que tout marchand français doit connaître : la contre-notification (counter-notice). Si le copieur conteste le retrait, la loi prévoit que la plateforme remet le contenu en ligne entre 10 et 14 jours ouvrés après réception de la contre-notification, sauf si vous l’avez informée, avant cette remise en ligne, que vous avez saisi un tribunal (U.S. Copyright Office, titre 17 du Code des États-Unis, chapitre 5, § 512(g)). Une réclamation portée devant le Copyright Claims Board, l’instance américaine des petits litiges de droit d’auteur, vaut action en justice à cet effet si la plateforme en est avisée avant la remise en ligne et si la réclamation vise le même contenu (U.S. Copyright Office, titre 17, chapitre 15, § 1507(d)). Le texte ne cite ni la lettre d’avocat ni un second signalement parmi les événements qui empêchent la remise en ligne. Shopify reprend ce délai de 10 à 14 jours ouvrés dans sa propre politique.

Un signalement fondé sur une marque ne passe pas par le DMCA, mais il n’est pas définitif pour autant. Chez Shopify, le marchand visé peut répondre, et la plateforme indique qu’elle l’autorise alors en général à republier le contenu contesté. Sur une autre plateforme, lisez la politique applicable.

Ces règles relèvent du droit américain. Face à un site qui vise la France ou qui est hébergé en Europe, vos recours relèvent du droit français et européen. Examinez-les avec un avocat ou un conseil en propriété industrielle :

  • le dépôt de marque, auprès de l’INPI pour la France (INPI, « Déposer sa marque ») ou de l’EUIPO pour une protection dans tous les pays de l’Union européenne (EUIPO, « Où faire enregistrer une marque ») ;
  • l'action en contrefaçon, civile ou pénale. L’INPI recommande fortement de consulter un conseil en propriété industrielle avant de saisir le tribunal et rappelle qu’il faut être représenté par un avocat pour agir en justice ;
  • la notification à l’hébergeur, dans le cadre de l’article 6 de la loi pour la confiance dans l’économie numérique et du règlement européen sur les services numériques ;
  • les procédures extrajudiciaires sur les noms de domaine. Pour un nom géré par l’Afnic, comme le .fr, la procédure SYRELI permet de demander la transmission ou la suppression du nom, avec une décision dans un délai de deux mois (Afnic, « Règlement du système de résolution de litiges SYRELI »). Pour un domaine générique comme .com ou .net, la procédure UDRP suppose de démontrer, entre autres, un droit de marque et la mauvaise foi du titulaire (OMPI, « WIPO Guide to the Uniform Domain Name Dispute Resolution Policy »).

Coût et limites

Aucun outil anti-bots installé sur votre boutique n’empêche un tiers de copier vos pages publiques. Monter un dossier page par page et surveiller les réapparitions sous de nouveaux domaines prend du temps, et aucun signalement ne garantit un retrait immédiat et définitif.

Scraping et bots abusifs

Le deuxième incident concerne le trafic automatisé qui aspire vos prix et vos fiches produits, ou qui surcharge vos pages, sans intention d’achat.

Signaux d’alerte

Vous constatez une hausse soudaine des requêtes vers vos fichiers de catalogue (par exemple /products.json sur une boutique Shopify), un ralentissement des temps de réponse, ou un volume anormal de requêtes qui se présentent dans vos journaux comme des robots d’intelligence artificielle, tel GPTBot.

Les limites d’une protection dans le thème

Une application qui injecte du JavaScript dans votre thème pour « bloquer le clic droit » ou « filtrer les IP » a deux défauts. D’une part, un robot d’aspiration lit le code HTML ou les flux de données sans exécuter vos scripts. D’autre part, ces scripts alourdissent vos pages, et Shopify prévient que certaines applications ajoutent au thème du code qui n’est pas retiré automatiquement à la désinstallation (Shopify, « Uninstalling apps »).

Qualifier puis filtrer sans faux positifs

Le filtrage d’un trafic automatisé abusif se fait en amont du site, au niveau du CDN et du pare-feu applicatif (WAF, web application firewall). Sur une boutique hébergée par Shopify, cette couche est gérée par la plateforme : les requêtes passent par Cloudflare, actif en permanence et sans action de votre part. Shopify liste ce qui reste entre vos mains : vérifier que hCaptcha est actif, tenir thème et applications à jour, surveiller les pics de trafic (Shopify, « Protecting your store from bots »). La procédure qui suit concerne donc surtout les boutiques dont vous administrez vous-même le CDN ou le WAF.

Comparer une adresse IP aux plages publiées par un opérateur donne un indice, pas une garantie. Ces listes évoluent, et des services légitimes peuvent relayer des requêtes.

  1. Lisez ce que le robot déclare. Dans vos journaux, relevez la chaîne User-Agent complète (l’identité que le robot annonce), la fréquence des appels et les chemins demandés.
  2. Comparez l’adresse IP aux listes officielles à jour. OpenAI publie une liste par robot : gptbot.json, searchbot.json, chatgpt-user.json et adsbot.json (OpenAI, « Overview of OpenAI Crawlers »). Perplexity fait de même et demande d’utiliser toujours les plages les plus récentes (Perplexity, « Perplexity Crawlers »). Google décrit une vérification par résolution DNS inverse puis directe, ou par comparaison avec ses plages publiées (Google, « Verify requests from Google crawlers and fetchers »).
  3. Classez le trafic en trois catégories : les requêtes légitimes vérifiées ; les requêtes manifestement abusives, comme un nom de robot connu annoncé depuis des adresses absentes de ses listes, à une cadence anormale ; les cas incertains.
  4. Testez chaque règle avant de bloquer. Observez d’abord ce que la règle intercepte. Chez Cloudflare, l’action Log sert à valider une règle avant une mesure plus sévère, mais elle est réservée aux offres Enterprise (Cloudflare, « Actions »). À défaut, commencez par un défi géré (managed challenge) ou une limitation de débit (rate limiting) plutôt que par un blocage.
  5. Surveillez les faux positifs. Vérifiez qu’aucune règle générique « anti-bots IA » ne bloque Googlebot, dont dépendent Google Search et toutes ses fonctionnalités, OAI-SearchBot (résultats de recherche de ChatGPT), OAI-AdsBot (contrôle des pages soumises comme publicités sur ChatGPT) ou PerplexityBot (résultats de recherche de Perplexity), ni vos appels d’API partenaires et vos webhooks de paiement (les notifications automatiques que vous envoie votre prestataire). À ne pas confondre : Google-Extended est un jeton de robots.txt, sans effet sur la présence d’un site dans Google Search (Google, « Google’s common crawlers »).
  6. Prévoyez le retour arrière (rollback). Documentez chaque règle ajoutée pour pouvoir la désactiver vite si le trafic ou l’indexation chute.

Card testing et fausses commandes

Le troisième incident est éprouvant pour l’exploitation. Dans une attaque par test de cartes (card testing, ou carding), des fraudeurs lancent un grand nombre de petites tentatives de paiement pour repérer les cartes volées encore actives (Shopify, « Preventing fraud »). Stripe en liste les conséquences : litiges pour fraude, hausse du taux de refus qui peut ensuite toucher vos paiements légitimes, frais supplémentaires et surcharge de l’infrastructure (Stripe, « Protect yourself from card testing »).

Signaux d’alerte

De nombreuses tentatives de paiement échouées ou de nombreux paniers abandonnés (abandoned checkouts) apparaissent d’un coup, avec des noms répétitifs ou fantaisistes, du type « John Doe », et des adresses e-mail générées en série. Ils s’accompagnent parfois de petites commandes validées que l’analyse de fraude n’a pas signalées.

Paniers abandonnés et e-mails de relance

Ces bots ne passent pas nécessairement par votre thème, ce qui limite l’effet des applications de blocage qui n’agissent que là. Stripe note de son côté qu’un filtre fondé sur un seul critère, comme l’adresse IP, suffit rarement.

Sur le traitement de ces tentatives, la documentation de Shopify établit quatre points (Shopify, « Recovering abandoned checkouts ») :

  • Un filtrage natif existe, mais il est partiel. Certaines tentatives identifiées comme du test de cartes ou une activité de bots ne sont pas comptées dans les paniers abandonnés. Shopify précise que toute l’activité automatisée n’est pas filtrée et que certains paniers abandonnés peuvent donc venir de bots.
  • L’e-mail de relance de Shopify n’est pas envoyé quand Shopify Payments bloque le paiement parce que la tentative est jugée à haut risque.
  • Un panier abandonné ne se supprime pas à la main. Shopify indique qu’il n’existe aucun moyen de supprimer manuellement un panier abandonné donné.
  • Les paniers abandonnés de plus de trois mois sont supprimés automatiquement de l’administration.

N’attendez pas trois mois sans agir si votre boutique synchronise ses événements de paiement avec un outil d’e-mailing externe. Des séquences de relance envoyées à des adresses fictives peuvent faire monter vos taux de rebond et de plaintes, et dégrader votre réputation d’expéditeur.

Premières actions prudentes

  1. Coupez la pollution dans vos e-mails. Suspendez vos relances de paniers abandonnés pendant la vague, ou ajoutez un filtre d’exclusion dans votre outil d’e-mailing. Exemple : ne pas relancer un nouveau client dont le panier ne contient que l’article visé, pour un montant très faible.
  2. Évaluez avec votre PSP le retrait temporaire de l’article visé. Si les tentatives se concentrent sur un produit à très bas prix (échantillon, accessoire, carte cadeau), envisagez de le dépublier ou d’en restreindre la vente le temps de l’attaque, en mesurant la perte de ventes légitimes.
  3. Vérifiez les protections réellement disponibles, sans en attendre plus qu’elles ne promettent :
    • hCaptcha est activé par défaut sur toutes les boutiques Shopify pour limiter le spam sur les formulaires de contact et de commentaire et sur les pages de compte client. Shopify ne le présente pas comme une protection du paiement.
    • Les filtres AVS et CVV de Shopify Payments. L’AVS compare l’adresse de facturation aux données de la banque, le CVV est le cryptogramme de la carte. Ils se règlent dans les paramètres de Shopify Payments (Shopify, « Configuring Shopify Payments »). Shopify précise que l’AVS est désactivé par défaut, que son activation peut augmenter le nombre de transactions échouées, que toutes les banques ne prennent pas en charge ces contrôles et que les paiements par carte enregistrée, comme Shop Pay, passent sans vérification du CVV. Shopify recommande par ailleurs le contrôle AVS pour les biens expédiés aux États-Unis, au Royaume-Uni ou au Canada : son intérêt pour une clientèle française est à vérifier avec votre PSP.
    • Fraud Control, l’application de Shopify, propose des règles de paiement qui filtrent des e-mails, des adresses ou des adresses IP. Ces règles sont réservées aux marchands qui utilisent Shopify Payments, et Shopify appelle à la prudence pour ne pas empêcher des clients légitimes de payer (Shopify, « Fraud Control app overview »).
    • La protection anti-bots du paiement est réservée au forfait Shopify Plus. Elle vise les ventes à stock limité, et Shopify écrit qu’elle n’est pas conçue pour combattre les fraudes liées à l’activité de bots (Shopify, « Protecting your store from selling to bots »).
  4. Prévenez votre PSP. Transmettez à son support un relevé horodaté de la vague. Ce qu’il peut faire dépend de lui et de votre contrat. Stripe, par exemple, publie une liste d’actions (identifier l’activité, rembourser les paiements frauduleux pour éviter les litiges, ajouter des protections) et invite à contacter son support si l’attaque continue, avec les paiements concernés et les mesures déjà prises (Stripe, « I suspect my account is experiencing a card testing attack, what do I do? »).
  5. Retenez les commandes suspectes avant expédition, selon la méthode décrite ci-dessous.

Retenir les commandes suspectes avec Shopify Flow

Shopify Flow est l’outil d’automatisation gratuit de Shopify, disponible sur les forfaits Basic, Grow, Advanced et Plus (Shopify, « Shopify Flow »). Pour traiter les commandes à risque, Shopify demande de partir du déclencheur « Order risk analyzed » plutôt que de « Order created », parce que l’analyse de fraude prend un peu de temps après la création de la commande (Shopify, « Managing high-risk orders with Shopify Flow »). Ce déclencheur ne réagit qu’aux évaluations de risque de Shopify, pas à celles d’une application tierce (Shopify, « Order risk analyzed »).

Commencez par deux actions réversibles. La première met l’expédition en attente : avec l’action « Hold fulfillment order », la commande passe au statut « On hold » et n’est pas expédiée tant que la mise en attente n’est pas levée (Shopify, « Hold fulfillment order »). La seconde pose une étiquette (tag) sur la commande, par exemple « à vérifier », pour que l’équipe retrouve les commandes concernées. Une personne examine ensuite chaque commande retenue, puis lève la mise en attente ou annule. La mise en attente bloque l’expédition, pas le paiement.

Limitez les faux positifs par des conditions explicites :

  • cumulez plusieurs conditions au lieu d’une seule, par exemple un niveau de risque élevé selon Shopify et une correspondance avec ce que vous observez pendant la vague (article visé, montant très faible) ;
  • activez l’option qui prévient l’équipe à chaque mise en attente et fixez un délai de revue compatible avec vos délais d’expédition ;
  • relisez chaque jour les commandes retenues et notez combien étaient légitimes ;
  • désactivez la règle quand la vague est passée.

L’annulation automatique reste une option, pas un réglage par défaut. Elle existe dans Flow : Shopify documente un modèle qui annule les commandes à risque élevé et remet les articles en stock. L’action « Cancel order » annule la commande et l’autorisation de paiement et peut, selon les cases cochées, rembourser le client, remettre en stock et le prévenir ; elle n’annule pas une étiquette d’expédition déjà achetée (Shopify, « Cancel order »). Un client légitime annulé à tort doit recommander. Réservez donc l’annulation automatique à une règle dont vous avez mesuré le résultat pendant la phase de mise en attente, avec des seuils écrits, un responsable désigné et un relevé régulier des commandes annulées.

Limites de la capture manuelle

Passer l’encaissement en mode manuel permet d’examiner les commandes à risque avant de prélever les fonds. Shopify cite d’ailleurs cette option parmi les réponses au test de cartes. Discutez-en avec votre PSP en connaissant ses limites :

  • Elle n’arrête pas les demandes d’autorisation. L’autorisation vérifie que la carte est valide et provisionnée. Seule la capture, c’est-à-dire l’encaissement, est différée (Shopify, « Payment authorization and capture »).
  • Elle ne garantit ni « zéro frais » ni « zéro fraude ». Selon votre contrat, des frais peuvent s’appliquer aux autorisations. Stripe mentionne par exemple des frais d’autorisation pour les comptes à tarification sur mesure, en plus des frais de litige.
  • Elle a un coût humain et un risque pour vos vrais clients. Tant que le mode manuel est actif, votre équipe doit capturer chaque commande légitime avant la fin de la période d’autorisation, qui est de 7 jours chez Shopify Payments. Passé ce délai, vous ne recevez pas l’argent de la commande.

Chargebacks et litiges bancaires

Le quatrième incident survient lorsqu’un porteur de carte conteste un paiement auprès de sa banque, ce qui déclenche une rétrofacturation (chargeback).

Frais de litige pour un marchand français

À l’ouverture d’un litige, le montant contesté est prélevé : Shopify le déduit de votre prochain versement (Shopify, « Chargebacks and inquiries »), Stripe le débite de votre solde avec les frais de litige. Ces frais dépendent du prestataire, du pays et du contrat. Le tableau reprend les grilles publiques françaises lues le 12 novembre 2026. Votre interface et votre contrat prévalent.

Prestataire Frais affichés pour la France Si vous gagnez le litige
Shopify Payments 15 € par rétrofacturation Les frais sont restitués
Stripe 20 € par litige reçu, plus 20 € si vous y répondez manuellement Seuls les frais de réponse sont remboursés
PayPal 14 € par litige au tarif standard, 28 € au tarif « volume élevé » Pas de frais standard pour un litige résolu en votre faveur

Ces montants viennent des pages suivantes : Shopify, « Responding to chargebacks and inquiries », Stripe, « Tarifs et frais » pour la France, Stripe, « Fonctionnement des litiges », PayPal, « Tarifs : frais PayPal pour les marchands » et PayPal, « Conditions d’utilisation du service PayPal ».

Deux précisions comptent pour une boutique française :

  • Chez Stripe, une entreprise de la zone SEPA ne paie pas de frais de réception pour un litige traité sur le réseau Cartes Bancaires. Stripe range par ailleurs ces litiges parmi ceux que le marchand ne peut pas contester. Vérifiez dans votre tableau de bord sur quel réseau vos paiements sont traités.
  • Chez PayPal, le tarif « volume élevé » s’applique quand le ratio de litiges atteint 1,5 % avec plus de 100 ventes sur les trois derniers mois calendaires complets. PayPal affiche en outre des frais d’opposition bancaire distincts, de 16 €, pour certains paiements par carte ; ses conditions d’utilisation précisent lesquels.

Programmes de surveillance et seuils

Un taux de 1 % ou une réserve de 10 % ne sont pas des règles universelles. Distinguez les programmes des réseaux de cartes et les conditions de votre PSP.

Chez Visa, le programme VAMP (Visa Acquirer Monitoring Program) calcule chaque mois un ratio en nombre d’opérations : fraudes déclarées plus litiges, divisés par les transactions réglées. Depuis le 1er avril 2026, un marchand est classé « Excessive » dans l’Union européenne à partir de 1,5 %, avec au moins 1 500 fraudes et litiges dans le mois (Visa, « Visa Acquirer Monitoring Program Fact Sheet »). Visa surveille aussi le portefeuille des acquéreurs, c’est-à-dire des banques et prestataires qui encaissent pour le compte des marchands, à des seuils plus bas : 0,5 % (« Above Standard ») et 0,7 % (« Excessive »). Shopify résume ce programme et ceux de Mastercard dans son aide (Shopify, « Fraud and dispute monitoring programs »).

Chez votre PSP, les seuils sont contractuels. Shopify affiche dans les paramètres de paiement un taux de rétrofacturation sur 90 jours glissants, calculé sur tous les litiges ouverts et pas seulement sur ceux que vous perdez. Il indique qu’un taux élevé peut affecter le statut de votre compte Shopify Payments et l’accès à certaines fonctions, et que les conditions d’une éventuelle réserve vous sont communiquées par e-mail (Shopify, « Monitoring your store’s chargebacks »). Les pages consultées ne publient ni seuil chiffré ni pourcentage de réserve : lisez votre interface et votre contrat.

Shopify Protect : ce qui vaut en France

Trois dispositifs portent des noms proches.

  1. L’analyse de fraude vous aide à examiner les commandes avant expédition : indicateurs à partir du forfait Basic, recommandations à partir du forfait Grow ou avec Shopify Payments. Elle ne rembourse rien. Shopify rappelle qu’il ne couvre pas les annulations de paiement décidées par les banques (Shopify, « Reviewing orders with fraud analysis »).
  2. La couverture des rétrofacturations Shopify Protect rembourse le montant contesté et les frais associés quand une commande protégée fait l’objet d’une rétrofacturation pour fraude. La page d’aide la limite aux commandes payées par Shop Pay et pose comme condition d’être situé aux États-Unis avec un compte Shopify Payments américain (Shopify, « Protecting an order with Shopify Protect »). Que Shopify Payments soit disponible en France ne rend donc pas une boutique française éligible. Shopify décrit cette couverture comme visant les rétrofacturations pour fraude ou pour transaction non reconnue : un litige pour produit non reçu ou non conforme n’entre pas dans le périmètre ainsi décrit.
  3. Les annonces de l’automne 2026. Depuis le 28 octobre 2026, Shopify regroupe sous le nom Shopify Protect ses outils de prévention de la fraude et de gestion des litiges, et annonce qu’ils sont actifs pour toute boutique qui utilise Shopify Payments (Shopify, « Introducing Shopify Protect: block fraud, not customers »). Le nom ne vaut donc pas garantie de remboursement. Sur la page de l’édition Fall '26, la rubrique consacrée à Shopify Protect porte la mention « Features rolling out soon » et l’extension de la protection aux commandes hors Shop Pay la mention « Coming soon », sans indication de pays (Shopify, « Shopify Editions Fall '26 »). Une application de règles personnalisées, Shopify Protect: Rule Builder, facturée à la transaction analysée, a été lancée fin octobre ; l’annonce de Shopify renvoie vers une liste d’attente (Shopify App Store, « Shopify Protect: Rule Builder »).

Ne fondez pas votre gestion du risque sur une couverture que vous n’avez pas vue confirmée sur votre propre compte.

Préparer le dossier de preuves

La décision appartient à la banque ou à l’émetteur de la carte. Shopify précise qu’il n’existe pas d’appel une fois la décision rendue, et Stripe que le résultat est définitif pour toutes les parties. L’examen peut prendre jusqu’à 75 jours après l’envoi de votre réponse selon Shopify. Stripe évoque 60 à 75 jours pour l’émetteur et deux à trois mois pour le cycle complet.

  • Relevez la date limite dans l’interface de votre PSP. Le délai de réponse est en général de 7 à 21 jours. Sur Shopify Payments, la date s’affiche dans le fuseau horaire de la boutique et, si aucune heure n’est indiquée, l’échéance tombe à 23 h 59 ce jour-là. La réponse part automatiquement à l’échéance, même sans pièce ajoutée, et un envoi anticipé interdit toute modification ultérieure (Shopify, « Managing chargebacks in the Shopify admin »).
  • Respectez le format demandé par votre PSP. À titre d’exemple, Shopify n’accepte que des fichiers PDF, JPEG ou PNG, de 2 Mo au plus chacun et 4 Mo au total, avec des PDF de moins de 50 pages, et demande de n’inclure ni fichier audio ou vidéo, ni lien externe. Ces limites sont celles de Shopify à la date de consultation. Un autre prestataire a les siennes.
  • Adaptez les pièces au motif du litige. Selon le cas : page de suivi du transporteur et confirmation de livraison, journaux d’accès horodatés pour un produit numérique, acceptation des conditions générales de vente, échanges avec le client. Shopify recommande le suivi en ligne et la confirmation de livraison quand c’est possible, une politique de retour claire et des réponses rapides aux clients (Shopify, « Preventing chargebacks and inquiries »). La signature à la livraison n’est pas une obligation. Stripe la cite parmi les mesures qui peuvent aider contre la fraude dite « amicale », quand un client conteste un achat qu’il a bien effectué. À vous d’arbitrer entre son coût et la valeur de vos paniers.

Les quatre incidents en un coup d’œil

Ce premier tableau indique par où commencer.

Incident Signal d’alerte Preuve à conserver d’abord Première action prudente
Clone de boutique et usurpation Publicité copiée signalée par des clients ; commandes livrées à des tiers sans lien avec le payeur Captures datées avec URL visible, copie archivée, code HTML, relevé DNS et WHOIS, originaux datés Figer les preuves avant tout contact, puis dresser la liste URL originale et URL copiée, page par page
Scraping et bots abusifs Pic de requêtes sur le catalogue ; robots IA prétendus dans les journaux Journaux du serveur ou du CDN : adresses IP, User-Agent complet, fréquences Comparer les adresses IP aux listes officielles à jour et tester toute règle avant de bloquer
Card testing et fausses commandes Afflux de paiements échoués et de paniers abandonnés aux noms répétitifs ; petites commandes Export horodaté des tentatives (adresses répétées, article visé) pour le PSP Filtrer les relances par e-mail, prévenir le PSP, mettre en attente et étiqueter les commandes suspectes pour revue humaine
Chargeback et litige bancaire Notification de litige dans l’interface du PSP, avec prélèvement du montant et échéance Suivi du transporteur, confirmation de livraison, conditions générales acceptées, échanges avec le client Relever la date limite dans l’interface du PSP et assembler un dossier au format demandé

Le second indique à qui s’adresser et ce qu’il faut en attendre.

Incident Qui contacter Coût humain et faux positifs Limite à connaître
Clone de boutique et usurpation Formulaire d’atteinte aux droits de la plateforme ; hébergeur, CDN, bureau d’enregistrement ou PSP du clone ; Meta si des publicités sont en cause Coût humain élevé : dossier page par page. Aucun risque pour vos clients Aucun signalement ne garantit le retrait. Sur une plateforme américaine, une contre-notification DMCA entraîne la remise en ligne sous 10 à 14 jours ouvrés, sauf action en justice notifiée à temps
Scraping et bots abusifs Équipe technique ou administrateur du CDN et du WAF ; support de la plateforme si elle gère cette couche Coût modéré. Une règle non testée peut bloquer Googlebot, OAI-SearchBot, PerplexityBot, des API ou des clients robots.txt n’arrête pas un robot malveillant. Une vérification d’adresse IP est un indice, pas une garantie
Card testing et fausses commandes Support du PSP ; personne chargée de la revue des commandes Coût élevé : revue des commandes retenues, tri avant expiration des autorisations en capture manuelle. Une annulation automatique mal réglée annule de vraies commandes Le filtre natif de Shopify laisse passer une partie des bots. Un panier abandonné ne se supprime pas à la main et disparaît après trois mois. La capture manuelle n’arrête pas les autorisations
Chargeback et litige bancaire Banque émettrice, par l’interface de litige du PSP Montage dossier par dossier. La signature à la livraison est une option, pas une obligation Décision de la banque sans appel. Pas de couverture Shopify Protect confirmée pour un marchand français au 12 novembre 2026

Ce que ce guide ne fait pas

  • Ce n’est pas un conseil juridique personnalisé.
  • Les procédures et les frais dépendent de votre prestataire et de votre contrat.
  • En cas de fraude en cours, contactez d’abord votre prestataire de paiement.

Sources principales

Shopify, centre d’aide (pages en anglais) :

Shopify, annonces et App Store :

Autres prestataires de paiement et réseaux de cartes :

Robots, CDN et pare-feu :

Textes et organismes publics :