Prevenção de fraude no e-commerce para subscrições: o que verificar e quando

A prevenção de fraude no e-commerce consiste em travar os pagamentos que o titular do cartão não autorizou, e os abusos à sua volta, antes de se tornarem chargebacks, taxas e dados errados. Para uma empresa de subscrição, as principais ameaças são cartões roubados usados na inscrição, card testing no seu checkout, abuso de períodos experimentais e friendly fraud de clientes reais. Cada uma exige uma verificação diferente, num momento diferente: na inscrição, no primeiro pagamento, na renovação ou quando chega um aviso.

Este guia baseia-se na documentação dos próprios fornecedores de pagamentos: as páginas do Stripe sobre tipos de fraude, identificar fraude, card testing, verificações do cartão, Radar, abuso de períodos experimentais gratuitos, 3D Secure e como funcionam as disputas, mais a página do Braintree sobre estados das transações. Todos consultados a 9 de novembro de 2026. Os princípios aplicam-se seja qual for a sua faturação: Stripe, Braintree, Adyen, ou Chargebee, Recurly, Zuora e Maxio por cima de um gateway.

Que tipos de fraude atingem as empresas de subscrição?

A definição do Stripe é o ponto de partida: “Um pagamento é considerado fraudulento quando o titular do cartão não o autorizou.” À volta desse núcleo, as subscrições veem cinco padrões:

Tipo	O que acontece	Quando se vê
Inscrição com cartão roubado	Alguém paga com dados de um cartão que não é seu	Disputa por fraude semanas depois
Card testing	Scripts experimentam muitos cartões no seu checkout para encontrar os válidos	Pico de recusas e de pequenos pagamentos
Abuso do período experimental	Contas criadas para usar o período experimental sem intenção de pagar	Primeiro pagamento falhado, cartões repetidos
Reembolsos por outro meio	Um “cliente” paga a mais e depois pede um reembolso por outro meio	Pedido de reembolso fora do cartão
Friendly fraud	Um cliente real contesta uma cobrança que fez	Disputa numa renovação

O último envolve clientes reais em vez de cartões roubados e tem o seu próprio guia: friendly fraud nas subscrições. Este guia centra-se nos outros.

Porque é que um pagamento aprovado não é um pagamento seguro?

Porque o banco só verifica que o cartão é válido e não foi declarado. O Stripe é explícito: se o titular do cartão ainda não deu pelo roubo, “pode continuar a processar pagamentos com êxito. Mesmo que um pagamento não seja recusado, isso não significa que tenha sido autorizado.”

Quando o verdadeiro titular do cartão encontra a cobrança, contesta-a. Se a disputa lhe for favorável, a empresa perde o montante, o serviço já prestado e uma taxa de disputa. E cada disputa conta para os rácios que as redes de cartões monitorizam, ganha ou perdida. Veja gestão de chargebacks.

Que verificações deve fazer na inscrição?

A inscrição é o momento em que uma empresa de subscrição tem mais controlo, antes de qualquer serviço ter sido prestado.

1. Recolha o CVC, o código postal e a morada de faturação. O Stripe diz que, “se não for recolhida nenhuma informação, o banco emissor do cartão não pode fazer uma verificação.” As regras podem então bloquear os pagamentos que falham a verificação do CVC ou do código postal.
2. Use o 3D Secure quando se aplica. A autenticação acrescenta uma verificação pelo banco e, nas disputas por fraude elegíveis, pode transferir a responsabilidade. O Stripe insiste que uma autenticação bem-sucedida “não garante a transferência de responsabilidade”: conte com ela em geral, não para um pagamento concreto. Veja SCA e autenticação nas renovações.
3. Verifique o cartão no início do período experimental, e não na primeira cobrança. O Radar do Stripe tem um controlo do abuso de períodos experimentais gratuitos que “deteta e bloqueia automaticamente os inícios de período experimental de alto risco antes de se converterem em subscrições”. Indica “usar cartões pré-pagos ou virtuais, ou inscrever-se repetidamente com o mesmo cartão em várias contas” como padrões comuns.
4. Olhe para o meio de pagamento. O tipo de cartão é um sinal na inscrição; veja cartões pré-pagos e virtuais.
5. Envie ao seu processador todos os dados que tiver. O Stripe diz que a eficácia dos seus controlos de card testing “depende da sua integração e dos fatores de risco que envia”, como o endereço IP, o email, o nome e a morada de faturação.

Que sinais apontam para fraude?

A lista de indicadores do Stripe, adaptada às subscrições digitais:

• Dados provavelmente falsos: endereços de email ou números de telefone com ar de falsos.
• Incoerências entre compras: o mesmo email com um nome diferente, por exemplo.
• Muitas tentativas ligadas entre si: o mesmo cartão a partir do mesmo endereço IP, o mesmo email com muitos cartões, ou muitos cartões num curto espaço de tempo. O Stripe nota que, “se cada tentativa falhada estiver associada a um cartão de crédito diferente, qualquer pagamento bem-sucedido tem um risco de fraude muito maior.”
• Pedidos invulgares: dividir um pagamento por vários cartões, pedir-lhe que processe um cartão manualmente, ou cobrar mais do que o necessário e pagar a um terceiro.
• Nos bens digitais: várias contas com emails semelhantes ou o mesmo cartão, muitas cobranças para o mesmo email em pouco tempo, ou um aumento súbito de atividade numa conta.

Os pagamentos recusados também contam. O Stripe diz que “podem dar informações valiosas e também devem ser analisados regularmente.”

Como deteta e trava o card testing?

O card testing acontece quando alguém verifica se números de cartões roubados funcionam, usando o seu checkout. O Stripe lista os sintomas: “um pico de pagamentos falhados ou bloqueados”, “um pico de pedidos com erros 402” e “um pico de pagamentos suspeitos com montantes baixos, muitas vezes com nomes e emails de clientes sem sentido.”

Não é inofensivo, mesmo quando a maioria das tentativas falha. O Stripe indica as consequências: disputas nos pagamentos que passam, uma taxa de recusas mais elevada que “pode prejudicar a reputação da sua empresa junto dos bancos emissores”, taxas adicionais e receita falsa que “pode parecer, nos seus dados, bons clientes novos.”

O que ajuda:

1. Use o checkout recomendado pelo seu processador, que normalmente inclui limites de pedidos e CAPTCHA.
2. Proteja a configuração de cartões, e não só os pagamentos. O Stripe nota que a configuração de cartões é o método preferido de quem faz testes, porque as validações “normalmente não aparecem nos extratos dos titulares dos cartões.”
3. Mantenha as chaves secretas em segredo. Chaves divulgadas permitem a quem faz testes criar pagamentos diretamente.
4. Reembolse o que passou, para evitar disputas nesses pagamentos.

O que deve fazer quando chega um aviso de fraude?

Aja depressa, mas não às cegas.

• Os early fraud warnings (EFWs) vêm dos bancos emissores na Visa, Mastercard e JCB. O Stripe diz que, “se não reembolsar a cobrança, cerca de 40% dos EFWs da Visa e da Mastercard tornam-se disputas por fraude”, e que reembolsar todos os EFWs, seja qual for a probabilidade, “não é uma boa estratégia”. Veja early fraud warnings do Stripe.
• Alertas do processador: o Stripe pode avisá-lo de que suspeita que um pagamento é fraudulento depois de o banco o ter aprovado, por vezes “vários dias depois de o pagamento ser feito.”
• Reembolse apenas para o cartão original. A regra do Stripe para as burlas com reembolsos por outro meio: “Nunca reembolse pagamentos usando um meio diferente do usado originalmente.”

Um reembolso total evita uma disputa nesse pagamento. Um reembolso parcial não: o Stripe nota que as regras das redes de cartões permitem que um pagamento parcialmente reembolsado “seja contestado pelo montante total do pagamento.”

Onde ficam as ferramentas antifraude numa stack de subscrições?

Camada	Exemplos	O que deteta
Rede do cartão e banco	CVC, AVS, 3D Secure	Dados errados, pagamentos não autenticados
Ferramentas de risco do processador	Stripe Radar, rejeições do gateway Braintree por AVS, CVV ou verificações de risco	Pagamentos de alto risco, card testing
O seu fluxo de inscrição	Verificação de emails, limites de pedidos, regras de período experimental	Contas falsas, abuso do período experimental
Os seus dados de faturação e retenção	Meio de pagamento, utilização, histórico de suporte	Contas que não se comportam como clientes reais

O Braintree, por exemplo, mostra o estado “Gateway rejected” quando “as verificações AVS, CVV, de duplicados, de limiar de risco ou de fraude premium falharam.” Se vende através de um merchant of record como Paddle, Lemon Squeezy ou Polar, é a plataforma que faz as verificações antifraude enquanto vendedor; a sua parte é sobretudo a inscrição e o abuso do produto.

FAQ

O que é a prevenção de fraude no e-commerce?

O conjunto de verificações que travam os pagamentos não autorizados e os abusos relacionados: verificação do cartão, autenticação, avaliação de risco pelo processador, regras de inscrição e um processo para os avisos de fraude e os reembolsos.

Que tipos de fraude afetam as empresas de subscrição?

Inscrições com cartões roubados, card testing, abuso de períodos experimentais, burlas com reembolsos e friendly fraud, em que um cliente real contesta uma cobrança que fez.

O 3D Secure trava toda a fraude?

Não. Acrescenta uma verificação pelo banco e pode transferir a responsabilidade nas disputas por fraude elegíveis, mas o Stripe afirma que não garante a transferência de responsabilidade para nenhum pagamento concreto.

Como sei se estou a ser alvo de card testing?

Um aumento súbito das recusas, muitos pagamentos pequenos e nomes ou emails estranhos nos novos clientes. O Stripe indica estes como os sintomas comuns.

Devo reembolsar um pagamento sinalizado como fraude?

Muitas vezes sim, para o cartão original, sobretudo quando o montante é pequeno comparado com uma taxa de disputa. O Stripe sugere reembolsar os early fraud warnings de forma seletiva, e não todos.

Um cliente pode contestar um pagamento reembolsado?

Não um pagamento totalmente reembolsado. Um pagamento parcialmente reembolsado ainda pode ser contestado, pelo montante total.

Como o NoChurn ajuda

O NoChurn trabalha sobre os sinais à volta do pagamento. O score de churn de 0 a 100 começa na inscrição, a partir do meio de pagamento (cartões descartáveis ou virtuais, cartões pré-pagos e neobancos têm mais risco; carteiras digitais, Stripe Link, cartões bancários e SEPA menos), da origem da inscrição e dos dados que envia. No Stripe, os early fraud warnings vêm com um reembolso com um clique. Quando ainda assim chega uma disputa no Stripe ou no Braintree, o NoChurn reúne as provas automaticamente e redige uma resposta com IA que uma pessoa revê antes de ser enviada. O NoChurn não substitui a triagem antifraude do seu processador.

Liga-se ao Stripe num clique e funciona com Braintree, Chargebee, Recurly, Paddle e outros, ou com qualquer faturação através da API. O preço depende apenas do MRR, sem comissão (um domínio de envio próprio exige um plano pago, a partir de $9). Veja score de churn e chargebacks.