Problemas de seguridad con sistema de cobro online.

florlangosta · #1 (**permalink**) 10/05/2009, 16:04

Hola
Les cuento mi duda...
Tengo un sitio web donde vendo un ebook.

Los pago los acepto con tarjeta de credito por medio de la empresa DineroMail. (similar a Paypal pero en latinoamerica)

En el sitio de esta empresa, uno ingresa los datos del producto que vende (mi ebook) y el sistema solo le crea un codigo que se debe insertar como BOTON en el sitio web donde se vende el producto digital (en este casi mi sitio donde vendo el ebook)
El usuario al clikear este boton, lo lleva a la pagina de DineroMail con los datos de mi producto para procesar el pago con tarjeta. Luego, una vez aceptado el pago, lo redirige a una pagina PHP de mi sitio (que la creé yo) para que se pueda descargar el ebook.

El problema es que ahora veo el codigo HTML de este boton en mi sitio, y observo que ahi figura la pagina PHP a donde debe redirigirse una vez terminado el pago. Esa pagina es la de descarga del ebook.
Pero, si uno esta en la pagina de la carta de ventas de mi sitio en donde figura ese boton, y va a las opciones del navegado y seleccion "Ver codigo fuente...", se daria cuenta a que pagina se redirige para la descarga, una vez finalizado el pago. Entonces, podrian hacer Copy/Paste y saltear el sistema de pago y descargar directamente el ebook sin pagar.

Esto es un problema gravisimo de seguridad.
Hay alguna manerda de poder mejorar esto???
gracias.

newboy_master · #2 (**permalink**) 10/05/2009, 16:15

Es un poco liosa tu explicación, si puedes aportar algo de código para facilitar la comprensión y poder ayudarte.

Una solución que se me ocurre si he entendido bien sería redireccionar con php a la página una vez que esté procesado el pago, así no saldría en el código fuente.

Salu2.

florlangosta · #3 (**permalink**) 10/05/2009, 16:44

Cita:

Iniciado por newboy_master

Es un poco liosa tu explicación, si puedes aportar algo de código para facilitar la comprensión y poder ayudarte.

Una solución que se me ocurre si he entendido bien sería redireccionar con php a la página una vez que esté procesado el pago, así no saldría en el código fuente.

Salu2.

te explico como es, con las paginas:

1- Pagina HTML
En esta pagina de mi sitio esta insertado el boton de PAGAR.
Ese foton esta dentro de un form que contiene un campo oculto con la URL de la pagina a la cual debe ir una vez procesado el pago.

2 - pagina en DineroMail
Al presionar el boton de la pagina anterior (pagina 1), nos lleva a la pagina de DineroMail en la cual, luego de procesar el pago, nos redirige a la URL que estaba en el campo oculto de la pagina anterior (pagina 1).
En esta pagina esta el link de descargar.

Ahora el tema es el siguiente:
Si yo mientras veo la pagina 1 (donde esta el boton PAGAR) voy a la opcion "Ver codigo fuente..." del navegador, puedo ver el campo oculto en el form, que contiene la URL desde donde puedo descagar directamente el ebook.
Entonces, si copio esa URL del codigo, y la pego en el navegador, puedo descargar el ebook gratuitamente.

Se entiende???

GatorV · #4 (**permalink**) 11/05/2009, 09:54

Debes de verificar si DineroMail te brinda alguna especie de confirmación como por ejemplo Paypal soporta IPN, que te envia un Post a un script PHP oculto en tu server con los datos del pago, y si fue exitoso o no, y en base a eso le permites o bloqueas el que pueda descargar o pasar a un area oculta.

Tema trasladado desde PHP

Saludos.

florlangosta · #5 (**permalink**) 11/05/2009, 17:02

Cita:

Iniciado por GatorV

Debes de verificar si DineroMail te brinda alguna especie de confirmación como por ejemplo Paypal soporta IPN, que te envia un Post a un script PHP oculto en tu server con los datos del pago, y si fue exitoso o no, y en base a eso le permites o bloqueas el que pueda descargar o pasar a un area oculta.

Tema trasladado desde PHP

Saludos.

gracias, lo voy a averiguar con DineroMail.

davidhiren · #6 (**permalink**) 12/05/2009, 04:23

Te conteste en el otro post que abriste pero aquí te añado que a lo mejor te conviene integrar una API y olvidarte de los botones, ya que estos botones no se suelen utilizar mucho para descargas sino para ventas de productos.
Para temas más complicados se debe integrar la API con firma digital para evitar spoofing, PayPal, HooPay o Moneybookers lo tienen, pregunta si dineromail lo tiene (debería si son una empresa seria).
Saludos