Comparador de precios Comparador de precios


SSL obligatorio con PayPal

Ultimas novedades en el sector, Noticias, Curiosidades
  • Anuncio
boxbonux

SSL obligatorio con PayPal

Notapor reflex_ocasion » Vie Mar 03, 2017 10:28 pm

La última publicación de Harald Ponce de Leon es una actualización del addon PayPal App (http://addons.oscommerce.com/info/9184)

En su primera línea dice claramente que a partir del 30 de Junio de 2017 PayPal va hacer obligatorio tener un certificado SSL instalado en nuestra tienda online

Como por aqui no he visto nada sobre como instalar un certificado SSL en nuestra tienda online voy a escribir los pasos a seguir

Lo primero es comprar un certificado SSL, evidentemente. Yo lo compré en https://www.redalia.es/ssl/comodo/positivessl/ que sale por 6 euros mas iva al año. No me malinterpreteis, no estoy haciendo publicidad ni me llevo comisión (ojalá), podeis comprarlo donde querais

A la hora de comprar el certificado te preguntará que si ya tienes un CSR o si te lo hacen ellos. CSR es un código imprescindible para poder instalar el certificado en nuestro hosting así diremos que lo creen ellos para lo cual introduciremos los datos necesarios. También podemos crearlo nosotros mismo en nuestro hosting pero hay un alto indice de probabilidades de que después no coincida así que recomiendo encarecidamente hacerlo en el momento de comprar el certificado para evitar todo tipo de discrepancias. Además es gratis!

Una vez comprado tendremos que esperar un rato bastante largo a que nos envíen un email con los certificados. El tiempo de espera puede variar entre unos pocos minutos hasta una hora larga así que paciencia

Nos llegarán dos emails, uno de comodo y otro de redalia que es el que nos interesa. Los certificados que vienen en el email de comodo son los mismos que vienen en el email de redalia pero donde además vendrá la llave privada o archivo private.key, otro archivo imprescindible para instalar el certificado en nuestro hosting

Dependiendo del tipo de hosting que tengamos podemos tener CPanel, Plesk, Tomcat, Apache o Microsoft IIS, en la página de documentación de redalia vienen las instrucciones para instalar nuestro flamante certificado en nuestro hosting

Habrá discrepancias sobre donde está ubicados algunos apartados porque se basan en unas versiones que actualmente no están actualizadas, valga la rebuznancia, digo redundancia, pero eso no es lo importante, lo importante es lo siguiente

En el email de redalia recibido vendrán cuatro certificados y la llave privada ¿se instala un sólo certificado o se instalan todos y si es así como se hace? ese es el quit de la cuestión

El segundo paso es la instalacion del certificado en si y para ello seguiremos las instrucciones de instalación según sea nuestro hosting, primero el certificado crt que vendrá en el email con el nombre del dominio para el que lo hayamos comprado, segundo la llave privada y tercero los otros tres certificados

Si seleccionamos instalar desde un archivo sólo podremos instalar un certificado así que seleccionaremos instalar en modo texto para lo cual editamos cada certificado, por ejemplo con el bloc de notas, copiamos todo y pegamos uno a uno en su correspondiente campo. A la hora de selecionar el certificado *CA.crt o CABUNDLE copiaremos cada uno de los otros tres certificados en dicho campo dando un salto de línea entre unos y otros. Sólo de esta manera podemos instalar todos los certificados al mismo tiempo

Si todo ha ido bien con esto ya tenemos instalado nuestro nuevo certificado SSL en nuestro hosting. Si diera un error tipo el certificado no corresponde con la llave o algo similar entonces hay que cambiar el orden de los tres certificados que van en el mismo campo

Una vez instalado vamos a nuestra tienda online para verificar que funciona y... sorpresa! no funciona!

Es porque aún no hemos terminado, tenemos que editar los dos archivos configure, el del admin y el de la parte cliente

En el admin tendremos esto
Código: Seleccionar todo
  define('HTTP_SERVER', 'http://www.nombredominio.com'); // eg, http://localhost - should not be empty for productive servers
  define('HTTPS_SERVER', 'http://www.nombredominio.com'); // eg, https://localhost - should not be empty for productive servers
  define('ENABLE_SSL', false); // secure webserver for checkout procedure?
  define('HTTP_COOKIE_DOMAIN', '');
  define('HTTPS_COOKIE_DOMAIN', '');
  define('HTTP_COOKIE_PATH', '/admin');
  define('HTTPS_COOKIE_PATH', '/admin');
  define('HTTP_CATALOG_SERVER', 'http://www.nombredominio.com');
  define('HTTPS_CATALOG_SERVER', 'http://www.nombredominio.com');
  define('ENABLE_SSL_CATALOG', 'false'); // secure webserver for catalog module


y lo tenemos que cambiar por esto otro
Código: Seleccionar todo
  define('HTTP_SERVER', 'https://www.nombredominio.com'); // eg, http://localhost - should not be empty for productive servers
  define('HTTPS_SERVER', 'https://www.nombredominio.com'); // eg, https://localhost - should not be empty for productive servers
  define('ENABLE_SSL', true); // secure webserver for checkout procedure?
  define('HTTP_COOKIE_DOMAIN', '.nombredominio.com');
  define('HTTPS_COOKIE_DOMAIN', '.nombredominio.com');
  define('HTTP_COOKIE_PATH', '/admin');
  define('HTTPS_COOKIE_PATH', '/admin');
  define('HTTP_CATALOG_SERVER', 'https://www.nombredominio.com');
  define('HTTPS_CATALOG_SERVER', 'https://www.nombredominio.com');
  define('ENABLE_SSL_CATALOG', 'true'); // secure webserver for catalog module


Añadiremos una ese a continuacion de http en todas partes donde sea necesario ya que de no ponerlo así pueden salir advertencias de seguridad al ver una imagen de un producto, una imagen que no está en la carpeta admin
Cambiaremos de false a true ENABLE_SSL y ENABLE_SSL_CATALOG
Pondremos el nombre del dominio sin las www pero con el punto que hay a continuacion en HTTP_COOKIE_DOMAIN y en HTTPS_COOKIE_DOMAIN. No se si funcionará correctamente con las www pero dicen que es mejor no ponerlas por si acaso


Ahora en la parte catalogo o parte cliente cliente tendremos esto
Código: Seleccionar todo
  define('HTTP_SERVER', 'http://www.nombredominio.com'); // eg, http://localhost - should not be empty for productive servers
  define('HTTPS_SERVER', 'http://www.nombredominio.com'); // eg, https://localhost - should not be empty for productive servers
  define('ENABLE_SSL', false); // secure webserver for checkout procedure?
  define('HTTP_COOKIE_DOMAIN', '');
  define('HTTPS_COOKIE_DOMAIN', '');


que cambiaremos por esto otro
Código: Seleccionar todo
  define('HTTP_SERVER', 'http://www.nombredominio.com'); // eg, http://localhost - should not be empty for productive servers
  define('HTTPS_SERVER', 'https://www.nombredominio.com'); // eg, https://localhost - should not be empty for productive servers
  define('ENABLE_SSL', true); // secure webserver for checkout procedure?
  define('HTTP_COOKIE_DOMAIN', '.nombredominio.com');
  define('HTTPS_COOKIE_DOMAIN', '.nombredominio.com');


Al igual que antes, aqui añadiremos una ese a continuacion de http en HTTPS_SERVER, cambiaremos de false a true ENABLE_SSL y pondremos el nombre del dominio sin las www pero con el punto que hay a continuacion en HTTP_COOKIE_DOMAIN y en HTTPS_COOKIE_DOMAIN

Es muy posible que este archivo tu hosting no te permita editarlo sin mas por motivos de seguridad así que tendrás que ir al administrador de archivos de tu panel de control y editarlo desde allí


Y con esto ya tendremos instalado y funcionando nuestro flamante certificado SSL en nuestro hosting!

Para comprobar que el certificado SSL se ha instalado correctamente iremos a https://www.digicert.com/es/ayuda/ donde pondremos la url de nuestra tienda online con las www o sin ellas, este detalle aqui no importa. Abajo deben salir todos los certificados instalados con una cadena entre ellos, si hubiera algún error la cadena estaría rota en algún punto dando error. En mi caso porque uso CPanel sólo salen dos certificados a pesar de haberlos instalados todos, en otro caso que usa Plesk salen los cuatro certificados

Pero una advertencia sobre dispositivos que usen Android 4.x o anteriores, no importa si es una tablet o un smartphone, saltarán falsas alarmas de seguridad. En mi tienda bajo CPanel saltan las falsas alarmas de seguridad, en la otra tienda bajo Plesk no salta ninguna alarma. También es cierto que es una tienda Prestashop en vez de una tienda osCommerce así que estoy en la duda ¿es por la plataforma en si o por el panel de control?

Bueno, esto es un problema conocido de Android y yo por ahora no he encontrado solución alguna, lo que encuentro es para instalar manualmente el certificado en mi dispositivo y no puedo "obligar" al visitante a que haga lo mismo, ha de haber otra solución mas sencilla. Si alguien encuentra algo que no deje de decirlo!

Espero que esto ayude a mas de uno

Saludos a tod@s
reflex_ocasion
Moderador Global
 
Mensajes: 696
Registrado: Jue Ene 13, 2011 10:25 pm
Ubicación: Mijas Costa (Málaga)

Re: SSL obligatorio con PayPal

Notapor Skualos » Lun Mar 06, 2017 1:09 pm

Muchas Gracias Reflex

Importantisima informacion.

:alabanza:
Skualos
Moderador Global
 
Mensajes: 3215
Registrado: Mié Feb 09, 2011 9:17 pm
Ubicación: Palafrugell

Re: SSL obligatorio con PayPal

Notapor lionelx » Mar Mar 07, 2017 12:00 am

Buenas, yo os recomendaria poner toda la tienda con https, siguiendo las instrucciones de reflex poner todo con https en lugar de unas con http y otras con https, google puntua mas las webs con https y si configurais http2 ganareis velocidad (yo lo tengo asi).
Si alguien no quiere o no le va bien hacer gasto teneis los certificados de https://letsencrypt.org/ que es gratuito y reconocido por los navegadores (tengo 2 subdominios con el certificado de letsencrypt y el dominio principal con comodo).
Si usais el tpv de redsys os podreis encontrar con la de dios de problemas al usar ssl, es tema de los CipherSuite, redsys sigue usando rc4 y mycript que estan obsoletos, pero sin eso no funcionara el retorno, otra condicion es tener activado TLS1 ademas de TLS1.1 y TLS2. No habiliteis SSLv2 y v3 ya que son inseguros.
Cualquier duda me lo comentais.
Ea!!!
lionelx
Currante
 
Mensajes: 335
Registrado: Sab Feb 05, 2011 1:18 am
Ubicación: Camprodon (Girona)

Re: SSL obligatorio con PayPal

Notapor lionelx » Mar Mar 07, 2017 12:03 am

Se me olvido, hacer redireccion 301 con htaccess y si os salta alguna alerta de que la pagina no es segura, sera porque hay enlaces a imagenes u otro sitio con http, estos se localizan rapido con la info del navegador para poder cambiarlos.
lionelx
Currante
 
Mensajes: 335
Registrado: Sab Feb 05, 2011 1:18 am
Ubicación: Camprodon (Girona)

Re: SSL obligatorio con PayPal

Notapor PiLLaO » Mar Mar 07, 2017 2:03 pm

lionelx en mi hosting me dijeron que redsys daba problemas con ese certificado, y al final figue descubrió que funciona sin problemas con ese SSL
PiLLaO
Administrador Foros
 
Mensajes: 1043
Registrado: Lun Ene 10, 2011 11:15 am
Ubicación: Málaga

Re: SSL obligatorio con PayPal

Notapor lionelx » Mar Mar 07, 2017 2:15 pm

PiLLaO escribió:lionelx en mi hosting me dijeron que redsys daba problemas con ese certificado, y al final figue descubrió que funciona sin problemas con ese SSL

A letsencrypt te refieres?
No se como va con los pagos, los subdominios que tengo no son para compras.
lionelx
Currante
 
Mensajes: 335
Registrado: Sab Feb 05, 2011 1:18 am
Ubicación: Camprodon (Girona)

Re: SSL obligatorio con PayPal

Notapor PiLLaO » Mar Mar 07, 2017 3:00 pm

Si, el mismo, nos aconsejaron que la url para notificaciones de pago fuera en HTTP en lugar de HTTPS, y aunque funcionaban de las 2 formas, con el HTTP mostraba error en el admin de redsys.

En ambos casos los pagos se realizaban correctamente y se generaba el pedido bien en la tienda.
PiLLaO
Administrador Foros
 
Mensajes: 1043
Registrado: Lun Ene 10, 2011 11:15 am
Ubicación: Málaga

Re: SSL obligatorio con PayPal

Notapor lionelx » Mié Mar 08, 2017 12:34 am

PiLLaO escribió:Si, el mismo, nos aconsejaron que la url para notificaciones de pago fuera en HTTP en lugar de HTTPS, y aunque funcionaban de las 2 formas, con el HTTP mostraba error en el admin de redsys.

En ambos casos los pagos se realizaban correctamente y se generaba el pedido bien en la tienda.

Hola, a mi me dijeron tambien que pusiera el retorno en http, pero claro...mi tienda esta full https y funciona bien.
Les comente el tema de el chiper rc4 y la libreria mycrypt y si iban a implementar openssl junto con la compatibilidad para php7 (mycrypt esta eliminado de php7), no estan por la labor.
Saludos
lionelx
Currante
 
Mensajes: 335
Registrado: Sab Feb 05, 2011 1:18 am
Ubicación: Camprodon (Girona)

Re: SSL obligatorio con PayPal

Notapor reflex_ocasion » Jue Mar 09, 2017 3:16 pm

lionelx escribió:Se me olvido, hacer redireccion 301 con htaccess y si os salta alguna alerta de que la pagina no es segura, sera porque hay enlaces a imagenes u otro sitio con http, estos se localizan rapido con la info del navegador para poder cambiarlos.


No te voy a decir que no porque el admin lo tengo en https y cuando veo alguna imagen de un producto, ya sea al editarlo, ya sea al verlo en el pedido del cliente, la imagen del candado aparece con una advertencia. Y curiosamente tambien ocurre lo mismo con el correo de yahoo, en el momento en que sale el banner publicitario lateral el candado tambien aparece con dicha advertencia :shocking:

Pero a lo que voy, a mi me saltan las alertas de que la página no segura cuando navego con Android version 4, con versiones posteriores no salta ninguna alarma como tampoco saltan cuando navego con el PC no importa si es Firefox o es Internet Explorer

Por si las moscas porque me has dejado en la duda, he probado a habilitar la seguridad en todas partes y me siguen saltando las alertas con mi móvil. O sea, que el problema principalmente está en Android 4 y anteriores, además de links a sitios que no tengan activada la seguridad SSL como bien dices pero eso es otra cuestión
reflex_ocasion
Moderador Global
 
Mensajes: 696
Registrado: Jue Ene 13, 2011 10:25 pm
Ubicación: Mijas Costa (Málaga)

Re: SSL obligatorio con PayPal

Notapor PiLLaO » Jue Mar 09, 2017 4:45 pm

Siempre que haya algún enlace HTTP mientras navegas en un dominio HTTPS te saldrá el mensaje de que no es seguro, tiene que estar todo en HTTPS

Salu2 :)
PiLLaO
Administrador Foros
 
Mensajes: 1043
Registrado: Lun Ene 10, 2011 11:15 am
Ubicación: Málaga

Siguiente

Volver a Noticias

¿Quién está conectado?

Usuarios navegando por este Foro: No hay usuarios registrados visitando el Foro y 0 invitados

cron