L'automatisation des billets est l'utilisation de bots pour acheter des billets pour des concerts, des événements sportifs et d'autres événements à disponibilité limitée dès qu'ils sont mis en vente, souvent en vue de les revendre. Aux États-Unis, la loi BOTS de 2016 interdit de contourner les mesures de sécurité ou les règles d'achat d'un émetteur de billets.

La loi couvre le contournement de la technologie qu'un émetteur de billets utilise pour faire respecter les limites d'achat affichées ou les règles de commande, et la vente de billets obtenus de cette manière par quelqu'un qui a participé ou qui savait ou aurait dû savoir. Elle s'applique aux événements publics dans des lieux de plus de 200 sièges.

Certaines plateformes de billetterie utilisent également des systèmes de pré-inscription, tels que le Verified Fan de Ticketmaster, qui analyse les données des inscrits pour identifier et bloquer les bots et délivre aux fans vérifiés des codes d'accès uniques.

Comment fonctionnent les bots de billets

OWASP définit le scalping (OAT-005) comme l'obtention de biens à disponibilité limitée "par des méthodes déloyales". Les affaires de la FTC décrivent ces tactiques :

  • Logiciel qui trouve et réserve automatiquement des billets.
  • Des centaines ou des milliers de faux comptes ou de comptes tiers et de numéros de carte pour contourner les limites par client.
  • Adresses IP proxy ou falsifiées pour cacher les emplacements d'achat.
  • Boîtes SIM pour recevoir des codes de vérification par téléphone, et navigateurs multi-sessions.

Se défendre contre les bots de billets

OWASP recommande des contrôles en couches :

  • Limites d'achat côté serveur vérifiées par rapport au compte, au mode de paiement, à l'adresse de livraison et à l'appareil.
  • Limites de taux basées sur plus que l'adresse IP.
  • Salles d'attente virtuelles avec admission aléatoire pour les sorties limitées.
  • Vérification par e-mail ou par téléphone lors de l'inscription et limites de temps sur les réservations de panier.
  • CAPTCHAs visibles uniquement comme une vérification de dernier recours.

Termes associés