Quand l'antivirus Avast empêche le paiement en ligne

Cet article relate un problème que plusieurs de nos clients rencontrent sur leur e-commerce du fait de paiements qui n'aboutissent jamais à cause de l'antivirus Avast.

Son but est de faire comprendre la diversité des problèmes techniques auxquels une agence ou un propriétaire de site doivent faire face. Le cas spécifique n'est abordé que pour l'exemple.

Accès à la page de paiement impossible

Début juillet, une de nos clientes qui possède une boutique en ligne nous prévient.  Elle reçoit des appels de certains clients qui lui expliquent qu'après avoir cliqué sur le bouton de paiement à la fin du processus de commande, ils se trouvent face à une page blanche ! Impossible de payer par CB.

C'est ballot non ? Quand on sait combien les e-commerçants se démènent pour convertir. Puis un second client nous informe du même souci, il y a donc un vrai problème quelque part.

Branle-bas de combat et contrôles

Tout le monde sur le pont chez AxeNet. On contrôle tout le code, on fait des tests, on se renseigne auprès des prestataires de paiement sécurisés, tout est OK, la vérité est ailleurs.
L'enquête risque d'être difficile. Reste à comprendre ce qu'est le point commun chez les différents utilisateurs concernés (peu nombreux). OS, navigateur, extensions installées, tout est passé au crible.

Inutile de dire que la remontée d'informations n'est pas simple. Ce sont nos clients e-commerçants qui enquêtent à chaque appel ou lors de commandes perdues quand le visiteur est identifié (Merci les stats Piwik). Une bonne partie des personnes concernées ne sait absolument pas ce qu'est un système d'exploitation, encore moins quel navigateur ils utilisent, autant dire que ce n'est pas simplissime...

Début de piste

Un point commun se dessine. A chaque fois, les utilisateurs ont la version gratuite de l'antivirus AVAST. Allez hop, on installe la bête, on teste, pas de problème. Grrr, mais il est où le loup ?

La réponse

Le problème ne concerne visiblement que certaines versions gratuites d'Avast qui ont été mises à jour fin juin.
Pour ceux qui aiment la technique, quand Avast scanne les données du formulaire envoyé en « POST » dans le cas d'une URL en HTTPS, il les supprime. Alors forcément, rien n'arrive à l'autre bout. Pire, si l'utilisateur recommence, tout fonctionne, va comprendre Charles ?
En fait, c'est compréhensible, mais d'autant plus complexe pour valider le bug. Vous voulez plus de détails techniques, en voilà ici.

Où en est-on aujourd'hui ?

On ne sait pas... Avast a répondu ceci (à notre contact chez le prestataire de transaction sécurisée)  : Une version corrective du logiciel est à disposition des utilisateurs depuis le 17/09/2015.
Autant dire que si ce n'est pas une mise à jour automatique, mais une action volontaire que le possesseur d'Avast doit faire, cette mise à jour n'est pas près d'être appliquée !
Aucune info non plus sur les forums Avast en ce qui concerne l'éventuelle solution mise en place et pour quelle date.

À ce jour, nos clients constatent toujours des paiements non aboutis. On notera qu'Avast est un spécialiste du genre, car déjà en 2014 il empêchait le paiement avec 3D secure en supprimant là aussi une partie des données transmises. En prime, on se doute bien qu'ils ne vont pas déployer les grands moyens pour une version gratuite...

Pour conclure

Cet exemple est l'occasion de montrer qu'un bug n'est pas toujours simple à identifier et encore moins à résoudre quand des parties tierces sont impliquées.

Nous avons rencontré des cas ou une extension de navigateur mettait le bazar chez l'utilisateur. D'autres cas où c'est un couple navigateur/antivirus ou Firewall/paramétrage de box. Et tant que vous n'avez pas testé des centaines ou milliers de possibilités et de croisements, impossible de le débusquer. C'est d'autant moins simple que le problème est situé sur la machine d'un utilisateur et que vous n'y avez pas accès...  Passons aussi sur les problèmes qui se situent entre la chaise et le clavier, mais c'est une autre histoire...

Solution temporaire côté utilisateur pour le souci spécifique d'AVAST.

• Ouvrez votre antivirus AVASTgratuit.
• Cliquez sur "Paramètres" en bas à gauche dans le menu
• Cliquez sur "protection active" en haut dans le menu de la nouvelle fenêtre
• Cliquez sur "Personnaliser" au niveau de la ligne "Agent web"
• Décochez la case " Autoriser l'analyse HTTPS".
• Explication en image.

Un bisou à tous nos amis développeurs qui perdent de nombreuses nuits à résoudre des bugs...