Préparer son environnement
Il est donc primordial de s'assurer du bon fonctionnement des notifications.
Voici quelques recommandations à suivre :
- Les notifications sont envoyées depuis une adresse IP comprise dans la plage 194.50.38.0/24, port par défaut 443 (HTTPS) en mode Test et en mode Production. Il faut autoriser cette plage d'adresses d'IP en cas de restriction mise en place du côté du site marchand.
- Le marchand doit s'assurer que cette URL soit joignable par la plateforme
de paiement sans redirection. Les redirections entraînent la perte des données
présentes dans le POST.
C'est le cas s'il existe une configuration sur vos équipements ou chez votre hébergeur qui redirige les URL de type "https://www.example.com" vers "https://example.com" ou "http://example.com" vers "https://example.com".
- La page ne doit pas comporter d'affichage HTML. L'accès aux ressources telles que les images ou feuilles de styles ralentissent les échanges entre la plateforme de paiement et le site marchand.
- Evitez au maximum d'intégrer des tâches consommatrices de temps comme la
génération de facture PDF ou l'envoi d'e-mail dans votre script.
Le temps de traitement influe directement sur le délai d'affichage de la page de résumé du paiement.
Plus le traitement de la notification est long, plus l'affichage du ticket à l'acheteur est retardé.
L'acheteur pourrait être tenté de fermer son navigateur et de repasser une commande.
Au delà de 10s, la plateforme considère que l'appel a échoué (timeout).
- Assurez-vous que le temps de traitement de l'IPN soit le plus court possible
(10s maximum). Ceci vous permettra :
- d'apporter une expérience utilisateur fluide lors du paiement et augmenter les chances de conversion de paiement;
- de fiabiliser la synchronisation du statut de la transaction dans votre SI afin que celui-ci soit conforme au résultat du paiement.
- Si votre page n'est accessible qu'en https, testez votre URL
sur le site de Qualys SSL Labs (https://www.ssllabs.com/ssltest/ et modifiez votre configuration si nécessaire afin
d'obtenir un grade A.
Votre certificat SSL doit être signé par une autorité de certification connue et reconnue sur le marché.
Assurez-vous d'utiliser les dernières versions du protocole TLS afin de maintenir un haut niveau de sécurité.