Potentiel (mangel på) sikkerhed ved ePay
Hej eksperten,Jeg har for et par dage siden oprettet en testkonto hos ePay og har i den forbindelse været i gang med, at skulle implementere en betalingsformular på min webside. Jeg vil dog lige tillade mig at høre jer ad, om noget jeg mener kunne være en potentiel mangel på sikkerhed. Altså ikke sikkerhed som i: "åh nej, mine kortinfo bliver sniffet"... men mere som i "Oh shit, kunden som skulle have betalt 10.000 kr har ændret tallet til 10 kr under betaling - og nu har vi afsendt varen, da vi hæver denne automatisk".
Problemet kan ses på følgende webside, som dokumentationen for deres integrerede betalingsform:
http://tech.epay.dk/Technical-documentation-for-implementing-integrated-payment-form_42.html
For at kunne have en betalingsform på ens egen side, skal man have et hiddenfield, som angiver den pris man vil opkræve. Altså placerer man f.eks. et beløb på 250 kr på følgende måde:
<input type="hidden" value="25000" id="amount" />
Hvad jeg ser som et problem, er at man jo kan gå ind med f.eks. FireBug/Greasemonkey/hvadend og ændre den værdi, før man trykker på submit. Jeg har ingen erfaring med dette og hvad jeg kan gøre ud over at lave udregninger og tjeks på min egen side, før en betaling bliver trukket... Men kan det gøres lettere? Er SSL noget man bruger i denne situation?
What to do?! :P
Takker..