Passaggio della stringa di query in un'API stripe

Naviga le tue risposte
2

Quanto è sicuro inoltrare a un sito Web di Stripe (esterno, non al nostro sito) alcuni dati per precompilare un modulo attraverso la stringa di query? Si tratta di un sito esterno, quindi non possiamo semplicemente trasferirlo in crittografia come faremmo con i dati dei nostri siti.

Suppongo che non sarebbe male se si considera che il suo unico utilizzo è quello di eseguire il pre-compilazione del modulo e l'unico modo in cui le altre persone possono ottenere tali dati è di accedere a una certa società che abbiamo comunque per sicurezza. (Permessi)

Dati di esempio (con l'URL utilizzato): https://connect.stripe.com/oauth/authorize?response_type=code&client_id=blahblahblahxxxxxxx&stripe_user[email][email protected]&stripe_user[first_name]="billy"

Aggiungerò ulteriori informazioni se necessario ...

[modifica] I dati non sono limitati solo a quelli che ho fornito, ma sembravano adatti al momento. Abbiamo queste opzioni per il business:

[email] [Url] [nazione] [numero di telefono] [Nome commerciale] [tipo di affari] [nome di battesimo] [cognome] [Dob_day] [Dob_month] [Dob_year] [indirizzo] [città] [stato] [cerniera lampo] [Physical_product] [shipping_days] [categoria di prodotto] [Descrizione del prodotto] [Average_payment] [Past_year_volume] [Moneta]

Le informazioni che ho già ricevuto da voi ragazzi sono comunque abbastanza chiare. Le cose che considero sensibili su questo sono gli indirizzi (città, stato, ZIP ecc.) Ma questo è tutto ...

    
posta L_Church 22.02.2018 - 17:17
fonte

2 risposte

1

Suppongo che per "passare dei dati" intendessi "reindirizzare il browser dell'utente finale al seguente URL di Stripe.com"?

Quanto sei sicuro?

Se ti preoccupi delle intercettazioni sulla comunicazione, il fatto che stai reindirizzando a HTTPS significa che la stringa di query viaggerà crittografata tra il browser dell'utente e i server Stripe.

Molto probabilmente la stringa di query finirà nella cronologia del browser (chi altri esegue costantemente il browser in modalità di navigazione in incognito?). Probabilmente è più un problema per un utente, ma forse un comportamento imprevisto da parte tua.

Ora, se l'utente ha un browser compromesso, la stringa di query può essere catturata dal codice dannoso (ad esempio, estensione maligna). Non credo che la riservatezza della stringa di query sia la preoccupazione principale dell'utente finale a questo punto.

Non dovresti trasmettere dati ovviamente riservati come password o numeri di carte di credito, ma non ti proponi di farlo, quindi.

Tutta la trasmissione dei dati dovrebbe anche essere conforme alla tua politica sulla privacy, nel caso in cui ...

    
risposta data 22.02.2018 - 20:21
fonte
2

La domanda è ciò che consideri "cattivo" in questo caso. Dal momento che posso solo indovinare cosa è considerato negativo nel tuo caso d'uso:

  • Stripe avrà accesso ai dati nella richiesta GET senza ulteriore intervento da parte dell'utente se lo carichi come funziona il tuo esempio: questo potrebbe essere un problema di regolamentazione della privacy a seconda dei dettagli.
  • Chiunque veda l'URL vede i dati. Ciò significa che il browser degli utenti, ma anche chiunque visita il sito che contiene l'URL.

Tuttavia, per quanto ne so, Stripe offre già agli utenti una funzione di pre-riempimento tramite un messaggio SMS / di testo all'utente quando Stripe rileva che conosce il proprio browser - io consiglierei di utilizzarlo a meno che hai un motivo molto specifico per pre-compilare questi dati.

    
risposta data 22.02.2018 - 18:22
fonte

Leggi altre domande sui tag

Ricevo una javax.net.ssl.SSLHandshakeException ma il mio collega no, cosa potrebbe significare? Perché un URL di callback sottodominio con caratteri jolly in OAuth è considerato non sicuro?