用 Stripe 收款怕被盗刷？先把这几道防线设好

先说清楚“盗刷争议”是怎么回事。有人用偷来的信用卡在你这里付了钱，真正的持卡人发现后找银行投诉，这就叫争议（也叫拒付、chargeback）。按 Stripe 的规则，争议一发生，Stripe 会从你的账户里先扣走这笔货款，再加一笔争议费；在美国，收到一次争议的费用是 15 美元，而且不管最后输赢都不退。

所以对小产品来说，一笔 9.9 美元的订单被盗刷，最后可能倒亏二十多美元。争议多了，还会被卡组织盯上，影响整个账户。下面三道防线，越靠前越省事。

01第一道：别让脚本在你的付款页上“试卡”

很多盗刷是从“试卡”（card testing）开始的：骗子手里有一大批卡号，不知道哪些还能用，就写脚本在小网站上反复下小额订单试。试成功的卡，再拿去别处大笔消费。Stripe 文档说，被试卡最明显的迹象是：短时间内大量付款失败，或者冒出一堆小额订单，顾客名字和邮箱看起来是乱写的。

怎么挡：

• 如果你用的是 Stripe 自带的收银台（Checkout、Payment Links）或最新的 Payment Element，Stripe 已经内置了限速、风险模型和人机验证，被攻击时会自动拦截，这些订单在后台显示为 Blocked by Stripe。能用官方收银台就尽量用。
• 如果付款页是自己写的，就在付款前加一道人机验证（CAPTCHA）。Cloudflare 的 Turnstile 是免费的，用户大多数时候不用点图片。Stripe 特别提醒：验证要在服务器端校验，而且每一个能发起付款或绑卡的请求都要验证，只在前端放个框是挡不住脚本的。
• 让用户先登录再付款，不开放“游客结账”，脚本就很难批量下单。
• 给付款接口加频率限制，比如同一个 IP 一天内最多创建几个新客户、最多试几张卡。

02第二道：可疑订单走一次 3D Secure

3D Secure（简称 3DS）就是付款时银行弹出来让持卡人再确认一次，比如输入短信验证码或在银行 App 里点确认。它的关键好处是“责任转移”：Stripe 文档写明，通过 3DS 验证的付款，如果之后出现盗刷类争议，损失通常由发卡银行承担，而不是你。

但 3DS 会多一个步骤，全部订单都开会让一部分正常顾客放弃付款。比较稳的做法是只对可疑订单开：

• Stripe 的风控系统 Radar 默认会给每笔付款打风险等级，并且在银行要求或法规要求（如欧洲的强客户认证）时自动触发 3DS，这部分不用你设置。
• 想自己定规则（比如“风险等级不是正常、金额超过 25 美元就要求 3DS”，或“新卡第一次付款要求 3DS”），需要在 Stripe 后台 Radar 的 Rules 页面添加自定义规则。注意：自定义规则要求你的 Radar 方案支持（Radar for Fraud Teams，按笔或按月另外收费），而且只对 Checkout、Payment Intents、Setup Intents 这几种接入方式生效。
• 规则加好后先点 Test rule，Stripe 会拿你过去 6 个月的订单模拟一遍，看会影响多少正常订单，再决定要不要启用。

Request 3D Secure if :risk_level: != 'normal' and :amount_in_usd: > 25

03第三道：收到“欺诈预警”，小单先退款

很多盗刷在变成正式争议之前，会先有一个信号：早期欺诈预警（Early Fraud Warning）。这是 Visa、Mastercard 等卡组织根据发卡行的报告发出的，意思是“这笔付款可能是盗刷”。Stripe 的数据是，如果不处理，Visa 和 Mastercard 的预警里大约 40% 会变成正式的盗刷争议。

这时主动退款，持卡人通常就不会再去发起争议，你也就省下了争议费。但 Stripe 也明确说，不要所有预警一律退款：退款会退掉你本来能赚的钱，而有些预警根本不会变成争议。官方给的经验是：

1. 订单金额小于或接近争议费（美国是 15 美元）的，收到预警就退款，划算。
2. 订单金额比争议费高出 35% 以上的，通常不值得主动退，可以等等看。
3. 如果你的争议率已经偏高、担心账户被卡组织监控，就更积极地退款。

预警可以在 Stripe 后台的付款详情里看到；会写代码的话，可以监听 Stripe 的 Early Fraud Warning 事件（radar.early_fraud_warning.created），自动给小额订单退款并封掉对应账号。另外，Radar 的风险控制设置里也能直接开启基于预警的自动拦截。

04我会怎么排先后

刚起步、订单不多的话，先做第一道和第三道：用官方收银台或加 Turnstile，再养成每天看一眼预警、小单及时退款的习惯，基本能挡住大部分麻烦。等订单量上来、出现过几次争议，再考虑付费开 Radar 自定义规则，对可疑订单上 3DS。