Соответствует ли модуль оплаты Промсвязьбанка новым требованиям

Добрый день!


С целью повышения безопасности проведения операций интернет-эквайринга с 12:00 14 сентября 2015 г. на web - сервере Промсвязьбанка (3ds.payment.ru) будет включен модуль безопасности (mod_security) с правилами, рекомендованными Open Web Application Security Project (OWASP) (base_rules). В соответствии с данным набором правил, добавляются требования к формату запроса. Просим Вас убедиться, что в направляемых от вашего сервера запросах к web-серверу ПСБ в заголовках HTTP запроса:

1. Присутствует заголовок Host, он не пустой, и он содержит доменное имя сервера, а не IP адрес.

2. Присутствует заголовок Accept и он не пустой.

3. Присутствует заголовок User-Agent и он не пустой.

4. Присутствует заголовок Content-Type и он не пустой.

Для проверки успешного соединения можно отправить запрос на https://test.3ds.pay...eck_http_access Если запрос от ваш системы удовлетворяет новым требования, то в ответ будет выдана страница с сообщением OK! В противном случае, будет выдана страница Access Forbidden. Пример корректного запроса приведен ниже синим шрифтом.

Для обеспечения бесперебойности работы услуги интернет-эквайринга просим Вас подтвердить получение данного письма, а также готовность внести изменения в настройки на вашей стороне и осуществить описанную выше проверку до 11 сентября 2015 года.

Приносим извинения за доставленные неудобства.

Пример корректного запроса:
POST /cgi-bin/check_http_access HTTP/1.1
TE: deflate,gzip;q=0.3
Connection: TE, close
Host: test.3ds.payment.ru
User-Agent: libwww-perl/5.833
Accept: */*
Content-Length: 15
Content-Type: application/x-www-form-urlencoded


С уважением,
Керимов Руслан

Управление электронной коммерции
Департамент электронного бизнеса
ПАО "Промсвязьбанк"
тел.: +7 495 777-10-20 вн. 777-210
моб.: +7 985 464-03-64
e:mail: kerimovrv@psbank.ru

Мы видим от Вас только одни блокировки ден. средств.
Запросов на списание не поступает.

Вероятно, это связано с некорректной отправкой запросов на спиание.

Передайте разработчикам, которые проводили интеграцию, следующую информацию:

Необходимо убедиться, что в запросах к web - серверу в заголовках HTTP запроса:

1. Присутствует заголовок Host, и он не пустой, и он содержит доменное имя сервера, а не IP

2. Присутствует заголовок Accept и он не пустой

3. Присутствует заголовок User-Agent и он не пустой

4. Присутствует заголовок Content-Type и он не пустой

Для проверки соединения можно отправить запрос на https://test.3ds.pay...eck_http_access

Если запрос от клиента удовлетворяет наш web - сервер, то в ответ будет выдана страница с сообщением OK!
В противном случае, будет выдана страница Access Forbidden

Пример корректного запроса:

POST /cgi-bin/check_http_access HTTP/1.1
TE: deflate,gzip;q=0.3
Connection: TE, close
Host: test.3ds.payment.ru
User-Agent: libwww-perl/5.833
Accept: */*
Content-Length: 15
Content-Type: application/x-www-form-urlencoded