# Checklist — rate limiting API REST WooCommerce

## Volade · Ressource publique · juillet 2026

> À imprimer ou cocher pendant votre mise en place **WC API Rate Limiter by Volade**.

---

## Phase 0 — Cadrage (15 min)

- [ ] Boutique en **production** WooCommerce active
- [ ] Accès admin + staging de test identifié
- [ ] Paiement en ligne actif (Stripe, PayPal, Mollie…)
- [ ] Contact technique désigné (vous ou agence)
- [ ] Sauvegarde complète avant tout changement

## Phase 1 — Signaux d'alerte card testing

- [ ] Pics de **commandes à 0 €** ou micro-montants
- [ ] Emails clients **aléatoires** (`test@`, `asdf@`, domaines jetables)
- [ ] Erreurs **paiement refusé** en rafale dans les logs passerelle
- [ ] Requêtes **REST** `/wc/v3/orders` ou `/customers` anormalement élevées
- [ ] Alertes chargeback ou mail banque acquéreur

## Phase 2 — Installation plugin

- [ ] Télécharger **WC API Rate Limiter by Volade** (ZIP Volade ou wp-admin)
- [ ] Activer sur **staging** d'abord
- [ ] Vérifier **Site Health** → section WARL
- [ ] Appliquer preset **Card testing shield** sur staging

## Phase 3 — Preset et périmètre

- [ ] Preset choisi : card_testing / woocommerce / agency / api_keys
- [ ] Scope vérifié (`wc_sensitive` vs `wc_all`)
- [ ] Fenêtre : __________ req / __________ secondes
- [ ] Mode blocage activé (`block`)
- [ ] Headers `X-RateLimit-*` activés si intégration headless

## Phase 4 — Allowlist et exceptions

- [ ] IP bureau / VPN agence en allowlist
- [ ] IP serveur import ERP ou middleware listée
- [ ] Clés API WooCommerce légitimes testées (preset `api_keys` si besoin)
- [ ] Webhooks passerelle **non** bloqués (hors REST WC)

## Phase 5 — Tests staging

- [ ] 10 requêtes REST rapides → **429** attendu sur routes sensibles
- [ ] Commande test checkout **normale** OK
- [ ] Import produits headless OK (preset agency si faux positifs)
- [ ] Journal 429 visible dans admin WARL
- [ ] Export JSON des événements généré

## Phase 6 — Production

- [ ] Fenêtre maintenance courte annoncée
- [ ] Preset appliqué en production
- [ ] Monitoring 24 h : taux 429, commandes réelles
- [ ] Runbook agence documenté dans dossier client

## Phase 7 — Suivi mensuel

- [ ] Revue journal 429 (top IP, routes)
- [ ] Ajustement seuils si faux positifs
- [ ] Sync avec équipe sécurité / hébergeur
- [ ] `wp warl status` dans rapport maintenance

---

**Plugin :** [WC API Rate Limiter by Volade](https://volade.com/fr/cms/wordpress/extensions/wc-api-rate-limiter-by-volade)  
**Article :** [Card testing WooCommerce — limiter l'API REST](https://volade.com/fr/blog/woocommerce-api-rate-limiting-2026)