Comment une entreprise axée sur les API a résolu la fraude à la vérification des inscriptions et réduit ses coûts de 62 %

Fondée en 2017, SerpApi convertit les pages de résultats non structurées des moteurs de recherche en données structurées et lisibles par machine. Elle alimente ainsi de nombreux cas d'usage, du suivi de positionnement SEO à la recherche universitaire, en passant par l'entraînement de grands modèles de langage. Son équipe d'environ 60 personnes accompagne des développeurs et des entreprises du monde entier, des créateurs indépendants jusqu'à la majorité du Fortune 500. Contrairement à une marketplace ou à une application grand public, les clients de SerpApi ne naviguent pas sur un site de e-commerce : ce sont des comptes qui récupèrent des données via une API. Par conséquent, le problème de la fraude y est bien différent.

Pour permettre aux développeurs de tester le produit avant de s'engager, SerpApi propose une offre gratuite généreuse : 250 recherches par mois. Cette ouverture est précisément ce qui la rend vulnérable aux abus, car il est un jeu d'enfant de générer de fausses adresses e-mail à grande échelle. SerpApi a donc ajouté la vérification par téléphone comme second filtre, en partant du principe que l'obligation de fournir un numéro de téléphone réel suffirait à empêcher quiconque de créer des dizaines de comptes gratuits pour multiplier son quota de recherche gratuit.

Nous nous sommes entretenus avec Thilo Rusche, ingénieur senior chez SerpApi, pour comprendre comment les plaintes d'utilisateurs légitimes ont mené à une enquête révélant un préjudice à six chiffres, et ce que le passage à Prelude a changé.

La vérification de l'offre gratuite de SerpApi devient la cible de l'arnaque au SMS surtaxé (SMS pumping)

Le résumé de l'histoire par Thilo lui-même va droit au but :

« Ce n'est pas que la vérification ne fonctionnait pas, c'est qu'elle fonctionnait trop bien, et des personnes en ont abusé pour envoyer des SMS surtaxés sans jamais avoir l'intention de créer un compte chez nous. »

En d'autres termes, le filtre mis en place par SerpApi pour stopper les abus sur l'offre gratuite n'était pas l'obstacle que les attaquants cherchaient à contourner. C'était la cible directe qu'ils visaient, en y envoyant du trafic uniquement pour générer des frais de SMS surtaxés, sans « aucune intention d'utiliser l'API de recherche de SerpApi ».

Thilo a découvert le problème en enquêtant sur une hausse des échecs de vérification qui ressemblait au départ à des abus classiques de l'offre gratuite :

« Personne n'avait vraiment le SMS pumping sur son radar, moi y compris. Nous avons d'abord essayé de comprendre pourquoi tant de vérifications échouaient d'un coup ; il y avait un pic particulier. J'ai donc plongé dans nos factures Twilio, et les montants s'élevaient, en moyenne, à 30 000 $ par mois. Cela semblait extrêmement élevé. »

L'analyse détaillée des profils d'utilisation a révélé des pics bien distincts concentrés dans des pays spécifiques, notamment, comme le formule Thilo, « quelque part au milieu de l'Afrique, où nous n'avons pas beaucoup d'utilisateurs, mais où les frais de terminaison sont très élevés. » L'analyse assistée par IA a confirmé le diagnostic : un SMS pumping classique, exploitant le flux de vérification même que SerpApi avait conçu pour empêcher les abus de l'offre gratuite, et non l'offre gratuite elle-même.

Twilio n'a jamais alerté proactivement SerpApi du problème. SerpApi n'a découvert la situation que parce que son équipe de support client a commencé à recevoir des plaintes d'utilisateurs légitimes en Europe qui ne parvenaient plus du tout à vérifier leur numéro de téléphone :

« Il s'est avéré que le peu de prévention de la fraude mis en place par Twilio était très grossier. Lorsqu'ils détectaient un comportement suspect, ils bloquaient des préfixes entiers pendant douze heures, et ces blocages impactaient les utilisateurs légitimes qui essayaient de valider leur numéro. C'est comme cela que nous l'avons découvert au départ. »

Obtenir de l'aide directement de Twilio s'est révélé être un autre parcours du combattant. Bien que payant environ 30 000 $ par mois, SerpApi se trouvait sur une offre de support sans conseiller dédié :

« La première réponse au ticket a pris des semaines, et elle était inutile, probablement automatisée. J'ai dû faire de nombreux allers-retours. Au bout d'un mois, aucune solution, aucune aide, rien. C'est à ce moment-là que nous avons été assez frustrés pour chercher des alternatives. »

La facture elle-même posait problème : des lignes distinctes pour « Verify » et « Programmable Messaging » avec des totaux qui ne correspondaient pas clairement à l'un ou l'autre chiffre, alors que SerpApi n'utilisait que le point de terminaison Verify. C'est une confusion qui touche de nombreux clients de Twilio, pas seulement SerpApi, comme nous l'avons abordé dans Top 10 Twilio Competitors for OTP & SMS APIs. Thilo avait demandé des explications directement au support de Twilio, sans obtenir plus de clarté :

« J'ai posé cette question dans un ticket de support concernant la différence entre le service programmable messaging et verify. Je trouve simplement que cela n'a pas été très bien expliqué. »

SerpApi passe à Prelude sans perdre un instant

SerpApi n'a pas mené un long processus de sélection de prestataires. Thilo a utilisé la recherche assistée par IA pour passer en revue les alternatives, a trouvé Prelude, a lancé un essai, et n'a pas cherché plus loin :

« J'ai trouvé Prelude parmi quelques autres et nous avons décidé de faire un essai. Je ne pense pas en avoir testé d'autres. L'essai s'est très bien passé, et nous voilà. »

Ce qui a immédiatement sauté aux yeux, c'est la visibilité, chose que Twilio rendait presque impossible. Thilo en était réduit à exporter des fichiers CSV bruts (limités à environ 9 000 lignes) et à les analyser lui-même simplement pour comprendre ce qui se passait sur son propre trafic :

« C'est sans comparaison, même sans parler du support, qui est fantastique. Rien qu'au niveau des outils : les graphiques sont superbes, on peut filtrer par pays, par code d'erreur, sur n'importe quelle période. Avec Twilio, tout était bridé artificiellement. Même l'historique des factures : on ne peut remonter que sur 12 mois, ce qui me semble être une restriction totalement artificielle, car les données sont là. L'accès aux données semble inutilement complexe. »

Le travail technique requis a été minime. SerpApi s'intègre directement à l'API via HTTP plutôt que de s'appuyer sur des SDK. Ainsi, remplacer les points de terminaison presque identiques de Twilio n'a pris que quelques heures de développement, le reste de la migration consistant simplement à se coordonner avec l'équipe de support client :

« Ce n'est pas un problème particulièrement difficile, l'API est très bonne, et la plupart des API d'envoi de SMS sont assez simples. Nous avons développé le code de notre côté en quelques heures. C'était essentiellement une modification de celui que nous avions déjà avec Twilio. »

Avoir une ligne directe avec l'équipe de Prelude a également changé le quotidien. SerpApi applique ce même modèle d'assistance pour ses plus grands clients, le contraste avec le silence de Twilio a donc été immédiat :

« C'est littéralement sans comparaison, car je n'ai rien à comparer. Nous n'avions pas de support chez Twilio. Maintenant, nous travaillons de la même manière que nous le faisons pour nos plus grands clients : avec un canal Slack dédié. Nous en sommes vraiment reconnaissants. »

Les résultats : coûts en baisse, conversion en hausse, fraudeurs bloqués

En comparant des échantillons de trafic représentatifs entre Twilio et Prelude :

• Facture mensuelle réduite de 62 %

• Frais d'utilisation de la messagerie réduits de 69 %

• Coût par vérification réussie réduit de 47 %

• Taux de conversion global en hausse de 14 points de pourcentage

L'Italie a montré le cas de figure avant/après le plus net de tous les marchés. C'est l'un des pays où le blocage massif de préfixes par Twilio empêchait les utilisateurs légitimes d'accéder au service, et où une attaque automatisée et nocturne de SMS pumping tournait en boucle avant la migration. Une fois ces deux problèmes résolus, les frais de messagerie mensuels en Italie ont chuté de 99,7 %, et le taux de conversion a bondi de 2,4 % à 91,5 %.

Thilo a décrit cette attaque en Italie en détail pour illustrer la rapidité de réaction de Prelude dès la transition effectuée. Il suivait ce comportement suspect depuis un moment, programmé de manière automatisée chaque nuit, et s'attendait à ce qu'il se manifeste à nouveau le jour du lancement de SerpApi sur Prelude :

« La première attaque que nous attendions le jour du changement était celle provenant d'Italie, car elle était clairement programmée par script. Elle se lançait tous les jours à minuit, pendant une heure ou deux. Elle a donc pointé le bout de son nez quand nous sommes passés sur Prelude, mais elle s'est pratiquement arrêtée dès le lendemain. Je ne sais pas si elle a été activement bloquée par Prelude ou si les fraudeurs ont simplement réalisé que cela ne passait plus. »

Une attaque plus récente, venant du Pakistan, est apparue quelques jours avant notre échange. Cette fois, l'équipe de Prelude l'a détectée avant même que SerpApi ne s'en rende compte :

« Je l'ai remarquée le matin, mais le temps que je me connecte sur Slack, l'équipe de support avait déjà écrit : 'hé, nous constatons un pic ici.' Cela a pris quelques jours, mais c'est aujourd'hui presque revenu à zéro. Les fraudeurs essaient toujours, mais ils sont activement bloqués. »

Lorsqu'on lui demande de chiffrer globalement ce changement :

« Nous avons essentiellement réduit notre facture à un tiers de ce qu'elle était. »

La suite pour SerpApi : intégrer WhatsApp dans l'équation

Les coûts de vérification et la fraude étant désormais maîtrisés, SerpApi s'intéresse à WhatsApp comme canal supplémentaire, non pas pour remplacer le SMS partout, mais pour améliorer la délivrabilité et les coûts sur les marchés où WhatsApp est le moyen de communication ultra-dominant :

« Nous étudions l'intégration de WhatsApp comme canal de communication, car dans certains pays, WhatsApp est extrêmement répandu alors que la délivrabilité des SMS laisse à désirer, au Brésil par exemple. Dès que notre compte WhatsApp Business sera configuré, nous ferons un essai sur un marché pour voir si cela améliore la conversion et réduit les coûts d'envoi. Si cela fonctionne, nous pourrions l'activer à l'échelle mondiale. »

À la question de savoir s'il recommanderait Prelude à une autre entreprise d'infrastructure ou axée sur les API confrontée à des problèmes similaires de fraude ou de visibilité, Thilo répond oui sans hésiter, en particulier pour toute équipe cherchant déjà une alternative à Twilio en raison d'une mauvaise expérience avec leur support client.

L'expérience de SerpApi montre ce qui se passe lorsqu'une barrière de sécurité contre la fraude devient elle-même la cible, et tout ce qui change lorsque le prestataire choisi offre une réelle visibilité sur ce qui se passe. Prêt à obtenir des résultats similaires ?

Commencez à optimiser votre flux d'Auth

Envoyez des SMS de vérification partout dans le monde au meilleur prix, avec la meilleure délivrabilité et sans spam.

Commencer · Réserver une démo