[Problème] PayPal certificat SHA-256

[jhautier]

Bonjour,

J'ai réceptionné un email de PAYPAL me précisant que :

Comme nous vous l'avons déjà annoncé, PayPal passe au certificat SHA-256 pour www.paypal.com. Ce point de terminaison est également utilisé par les marchands se servant du produit Notification instantanée de paiement (IPN).

Cette mise à niveau est prévue le 30/09/2015. Cependant, nous serons peut-être amenés à modifier cette date au pied levé pour respecter la norme de sécurité du secteur.

Vous recevez cette notification car vous avez été identifié comme un marchand ayant utilisé les points de terminaison IPN au cours de l'année passée. Si vous n'avez pas effectué les modifications nécessaires, nous vous invitons à procéder à ces changements immédiatement afin d'éviter toute interruption de votre service.
Les changements étant techniques, nous vous conseillons de consulter les personnes responsables de votre intégration PayPal. Elles pourront identifier les modifications nécessaires. Transférez-leur cet email, les liens hypertextes ci-dessous et les coordonnées de votre responsable technique pour évaluation.
L'un des meilleurs moyens de vous assurer que votre intégration fonctionne est de l'essayer dans l'environnement de test. Les points de terminaison de l'environnement de test ont été mis à jour de façon à accepter les connexions sécurisées via les certificats SHA-256.

Je souhaite savoir si vous êtes au courant de cette modification et l'impact sur VIRTUEMART au niveau du plugin PAYPAL déjà implémenté sur ma boutique ?

Merci d'avance et bonne journée :-)

Jérôme

[django29]

Re : PayPal certificat SHA-256

Bonjour

J'ai reçu le même message, pour un site utilisant Event Booking, et je ne comprends rien aux pages d'explications techniques.

Si quelqu'un pouvait nous expliquer très concrètement la procédure de mise à jour ...

[jhautier]

Re : PayPal certificat SHA-256

Bonjour

J'ai reçu le même message, pour un site utilisant Event Booking, et je ne comprends rien aux pages d'explications techniques.

Si quelqu'un pouvait nous expliquer très concrètement la procédure de mise à jour ...

Voici les liens vers les pages techniques qui figurent dans l'email reçu... assez incompréhensible (modife à faire ? côté joomla/virtuemart ? Serveur ?):

Pour plus d'informations techniques, consultez notre guide Sécurité des marchands – Guide de mise à jour du système. Pour le calendrier de nos mises à jour de service, rendez-vous sur notre microsite sur la modification des certificats SSL 2015-2016.

[-Tony-]

Re : PayPal certificat SHA-256

Bonjour
Recu le mail également.
Ouaip...il est écrit en langue de bois.
De ce que j'ai compris : je pense qu'il s'agit pour les sites en https /ssl d'être en certificat ssl SHA-256, donc à voir sur le serveur si c'est ok. Pour les sites en http...ben...amha il n'y a rien à faire.

[jhautier]

Re : PayPal certificat SHA-256

Bonjour
Recu le mail également.
Ouaip...il est écrit en langue de bois.
De ce que j'ai compris : je pense qu'il s'agit pour les sites en https /ssl d'être en certificat ssl SHA-256, donc à voir sur le serveur si c'est ok. Pour les sites en http...ben...amha il n'y a rien à faire.

Bonsoir,

Je ne comprends pas car mon site est en HTTP et non en HTTPS, hors dans l'email reçu, il est indiqué: "Vous recevez cette notification car vous avez été identifié comme un marchand ayant utilisé les points de terminaison IPN au cours de l'année passée."

S'agit-il de HTTP / HTTPS au niveau du site ou au niveau de la page de paiement Paypal ? Par défaut la page de paiement paypal est forcément en https ?

Bonne soirée,

Jérôme

[-Tony-]

Re : PayPal certificat SHA-256

Paypal passe en SHA-256 en clé de cryptage et ne va plus pouvoir (et vouloir) faire la causette avec la version antérieure.
La page paypal est en https - ssl 256 bits
Il faut donc que le site si il utilise le https soit idem.
donc rien à voir avec virtuemart, ni avec le site, mais avec le serveur et le certificat ssl.
Moi aussi je suis en http.
IPN c'est le service de notification instantanée de paiement, que tu sois en https ou http tu l'utilises de la même manière.

[ced1870]

Re : PayPal certificat SHA-256

salut

Je ne comprends pas car mon site est en HTTP et non en HTTPS, hors dans l'email reçu, il est indiqué: "Vous recevez cette notification car vous avez été identifié comme un marchand ayant utilisé les points de terminaison IPN au cours de l'année passée."

oui tu es identifié comme utilisant les IPN qui permettent de renvoyer les infos Paypal vers ton site après la transaction, afin de la confirmer et que tu puisses stocker les infos (n° transation, date, montant, nom... etc)
Ils ne t'ont pas identifié comme ayant un certificat SSL, c'est à toi de savoir comment tu te connectes à paypal.

Je suis d'accord avec le point de vue de Tony
CEd

[moha]

Re : PayPal certificat SHA-256

salut

oui tu es identifié comme utilisant les IPN qui permettent de renvoyer les infos Paypal vers ton site après la transaction, afin de la confirmer et que tu puisses stocker les infos (n° transation, date, montant, nom... etc)
Ils ne t'ont pas identifié comme ayant un certificat SSL, c'est à toi de savoir comment tu te connectes à paypal.

Je suis d'accord avec le point de vue de Tony
CEd

Bonjour,
Pour ceux qui ont reçu ce message de la part de paypal et qui n'ont pas apportés les modifications nécessaires, les commandes passées sur les sites ne seront plus confirmées dans l'admin ce qui pose un vrai problème.
à partir du 1er octobre, paypal ne communique plus avec les sites qui ne sont pas en 256.
alors que faire??
Je suis exactement dans cette situation et à mon avis il va y avoir du monde.
j'ai regardé le fichier log:

ERROR validateIpnContent: Validation IPN invalide: NO ANSWER FROM PAYPAL

Version virtuemart : 2.6.10

[RobertG]

Re : PayPal certificat SHA-256

Ton site fonctionne-t-il en https ou simplement en http ?

Je viens de vérifier par acquit de conscience sur 2 sites VM que je gère et qui n'utilisent pas de certificat SSL, aucun problème avec PayPal depuis leur date butoir.
Manifestement, seuls les sites qui disposeraient d'un certificat 128 devraient être concernés, ou peut-être aussi ceux qui gèrent directement dans le site le paiement PayPal ?

[moha]

Re : PayPal certificat SHA-256

Le site concerné tourne bien http. La variante ce qu'il est hébergé sur un serveur mutualisé (ovh).
Je me demande si cet hébergement est en mesure de saisir les messages envoyés par Paypal et qui sont dorénavant cryptésSHA-256 ???

[RobertG]

Re : PayPal certificat SHA-256

PayPal n'a pas de raison de crypter les messages envoyés au site, il signale seulement que la transaction a réussi ou échoué.

[moha]

Re : PayPal certificat SHA-256

PayPal n'a pas de raison de crypter les messages envoyés au site, il signale seulement que la transaction a réussi ou échoué.

Franchement, je trouve cette situation incompréhensible. Je m'attendais pas du tout à ça d'autant plus, comme cité ci-dessus, le site en question n'utilise aucun certificat (il est en http).
La seule piste que j'ai, pour le moment, c'est ce message d'erreur :

ERROR validateIpnContent: Validation IPN invalide: NO ANSWER FROM PAYPAL.

Je vais continuer à creuser un peu, mais je n'ai pas envie d'appelé les gars d'OVH. Une chose est sûr, Paypl ne répond pas...silence radio

[RobertG]

Re : PayPal certificat SHA-256

Pour info, les deux sites dont j'ai parlé et qui n'ont pas le moindre souci avec PayPal sont l'un en 3.0.9, l'autre en 3.0.10 de Virtuemart.

[moha]

Re : PayPal certificat SHA-256

D'accord. C'est une très bonne information. Je ferai la mise à jour ce week end.

[moha]

Re : PayPal certificat SHA-256

Bonjour,
Le problème a été résolu. Même sur un site qui n'a pas été mis à jour (VirtueMart 2.6.10) tout est rentré dans l'ordre, ne me demandez pas comment car je n'ai rien touché.
En revanche, pour réaliser les mises à jour, VirtueMart 2.6.10 --> 3.0.10 et Joomla 2.5.28 vers 3.4, j'avoue que ce n'était pas une partie de plaisir.
Merci à ceux qui ont participé à cette discussion, notamment à RobertG. Vous pouvez mettre ce fil en Résolu.