Безопасный iframe на незащищенной странице в другом домене

Question

Наша компания стремится разрешить сторонним сайтам использовать нашу систему онлайн-платежей.

Клиент заявил, что он хотел бы иметь возможность использовать всплывающее окно в стиле лайтбокса для отображения оформления заказа. И они хотели бы, чтобы это было доступно на каждой странице сайта, поэтому в большинстве случаев это небезопасные страницы. Наша система оформления заказов и сайт клиента, очевидно, находятся в разных доменах.

Я предполагаю, что я мог бы использовать безопасный iframe (используя https) для отображения нашей системы проверки.

Будет ли этот iframe действительно безопасным?

Разумно ли это делать? (моя интуиция говорит нет, как пользователь может сказать, что страница безопасна)

Существуют ли лучшие способы достижения этой же функциональности?

Answer 1

Да, iframe будет безопасным, но вы правы, что клиент не сможет сказать, что он безопасен. С другой стороны, большинство пользователей не могут определить, является ли страница в любом случае безопасной - несколько изображений висячих замков убедят большинство из них.

Не могли бы вы, когда они щелкают, чтобы открыть кассу, отправить их на тот же URL-адрес в HTTPS, а затем выдать его (вам, конечно, понадобится ваш собственный сертификат SSL)?

Answer 2

Вы видели, как работают другие подобные системы контроля? Например PayPal оформить заказ на Ebay? Они проведут вас через процесс проверки «на весь экран» и вернутся на исходный сайт, когда транзакция будет завершена.

Answer 3

Я знаю, что это старый вопрос, но я планировал сделать то же самое. Обходной путь - либо сделать PayPal -> перейти на безопасный сайт для оплаты -> вернуться к return-url. Или вы можете создать свой собственный веб-сайт с очень общим коротким именем, например shop.com (очевидно, занято), но не используемым.

Ваши клиенты могут иметь свое собственное пространство, например https / www.theirsitename.shop.com,
поэтому они перейдут с http / www.theirsitename.com на вышеуказанное.

Большинство пользователей даже не смогут сказать, что перешли на новый сайт, и страница будет защищена. Чтобы получить их продукты, вы можете сделать так, чтобы они POST его с самого конца, и, возможно, также заставить их POST CSS-файл, который полностью изменил бы макет, чтобы он выглядел как их собственный сайт.