Protégez le script PHP qui reçoive des notifications IPN PayPal

Il y a beaucoup de choses que vous pouvez faire:

1. Donnez votre script un nom obscur pour que ce ne soit pas facilement devinable.
2. Désactiver les annonces de répertoire dans le dossier
3. Vérifiez si le site d'appel est PayPal.com (ou adresse IP associée, etc.)

Si vous connaissez la propriété intellectuelle à partir duquel PayPal utilisera le script Essayez:

order deny, allow
deny from all
allow from [Paypal-IP]

Je ne recommanderais pas de fermer tous les IP, puisque vous ne pouvez pas être sûr que PayPal conserve les demandes provenant du même IP tout le temps. S'ils décident jamais de changer de gamme IP, votre configuration va casser, probablement sans notification à vous.

Je pense que le script qui traite la demande PayPal est l'endroit idéal pour gérer cela - dans ce script, vous devez vous assurer que la demande vient de PayPal. Vous pouvez le faire en utilisant une URL obscure qui n'est pas facilement devinée que cela a été suggérée.

Si possible, examinez la configuration Secret partagée pour IPN - de cette façon, vous avez une meilleure façon de vérifier que la demande provient de PayPal, bien qu'elle soit un peu plus difficile à configurer.

J'espère que cela vous aide!

maintenant je fais cela:

Dans le dossier où est stocké le script PHP et les 2 fichiers de configuration J'ai créé un autre dossier dans lequel j'ai déplacé les 2 fichiers de configuration et où j'ai placé une .htaccess Avec le code suivant: xxx

maintenant Les 2 fichiers de configuration ont une bonne protection! ... mais pas le script qui reçoit les notifications! Si j'essaie de bloquer la liste des répertoires (pour le dossier contenant le script PHP et le dossier de configuration) avec: xxx

Le sandbox PayPal me donne une erreur 500!

Donc, la seule chose que je puisse faire pour protéger le script consiste à placer, à la tête de celui-ci, une condition qui vérifie les notifications provenant de PayPal.com?

Enfin j'ai ajouté sur la tête du script PHP an Si l'instruction IF basée sur le nom de l'hôte distant: xxx

Si une personne est intéressée, il est également possible d'interroger $ € ['Remote_Host '] mais doit être configuré le fichier httpd.conf sur le serveur.