專案資訊

我們是 WebDecoy 開發團隊。WebDecoy Shopify App 已在 Shopify App Store 上架，提供 Free 方案。它把店面偵測、工作階段關聯、訂單審查及 AI 流量報表放進 Shopify 管理介面。

實際安裝：Shopify App Store
功能與設定：完整說明

開發動機：流量數字還不夠

商家看到異常流量時，真正需要回答的是「發生了哪些行為」與「是否跟這筆訂單有關」。只顯示 IP 或單一分數，很難交接給負責出貨和客服的人。

因此我們把收集、關聯與人工審查拆成不同階段，讓商家可以先看證據，再決定是否自動化。

技術架構：店面與結帳是不同的收集路徑

店面透過 Theme App Extension 的 app embed 收集瀏覽器與行為訊號。隱藏連結與表單欄位可記錄誘餌互動；每間商店的誘餌路徑透過經簽章驗證的 Shopify App Proxy 提供。伺服器端請求訊號與 IP enrichment 補充 proxy、VPN、data center 等脈絡。

結帳事件則由 Web Pixel 收集，包括 checkout started、payment information submitted 與 checkout completed。它受 pixel sandbox、同意狀態與瀏覽器環境影響，不能因為店面測試成功，就假設結帳事件也全部送達。

難題一：訂單需要能追溯的關聯

店面 cart attribute 用於工作階段與訂單的關聯。當有匹配的 session 和 detection 時，可以把相關證據寫入 Shopify 的訂單標籤、原生風險評估，以及 bot-score、risk-level metafields。功能依方案及設定而異。

Actor profiles 將相關的跨 IP 活動、session history 和 detection timeline 放在一起，方便追查重複行為。但粗略共享的身分不會把另一位訪客的彙總威脅直接加入此訂單的風險。

這裡的重點是避免把「可能相關」當成「已確認同一個人」。VPN 或資料中心 IP 本身也不是不正當付款的證明。

難題二：測試事件不能污染商家的報表

Setup & health 提供有標記的端到端店面測試。商家建立測試、打開連結後，回到管理介面確認送達。這些事件不列入正常流量統計、訂單審查或 enforcement。店面與結帳有分開的送達時間和錯誤狀態。

難題三：讓自動化保留商家的決策權

Flagged Orders 可記錄 legitimate 或 suspicious 的審查結果與備註。Pro 和 Agency 方案提供 Shopify Flow trigger，可先設定「標籤 → 通知 → 人工審查」流程。下載的範本預設不啟用。

order-created handler 不會自己停止結帳或取消訂單。取消訂單要透過商家另行設定並啟用的 Flow action。

開始使用

1. 從 Shopify App Store 安裝 WebDecoy。
2. 在主題編輯器的 App embeds 啟用 WebDecoy Bot Detection 並儲存。
3. 到 Setup & health 建立測試並確認送達。
4. 檢查偵測細節，再評估訂單標籤與 Flow 的設定。

另外，AI Crawler 與 AI Referral 有獨立報表，分別回答「觀測到誰在爬」與「哪些訪客可辨識為 AI 助手帶來」。沒有送出的 referral 無法復原；robots.txt 也不是強制存取控制。

瀏覽器腳本無法觀測所有不執行 JavaScript、也不碰誘餌的 scraper。先驗證收集路徑，再解讀安靜的儀表板，才能避免把缺資料當成沒有問題。

安裝 WebDecoy Shopify App。歡迎交流 Shopify app embed、Web Pixel 與訂單審查工作流程的實作經驗。