Paypal имеет образец кода IPN на своем веб-сайте. По сути, вы должны проверить, что Paypal отправил вам уведомление (отправив обратно информацию, которую вы получили, с помощью cmd = notify_validate или что-то в этом роде ... это было давно, так как я использовал IPN), и проверить ваша база данных, чтобы удостовериться, что информация, которую они вам отправили, совпадает с информацией, которую вы намеревались передать ей в первую очередь. Особенно имя получателя и сумма платежа.
Если вы делаете эти проверки, у вас должно быть все в порядке, используете ли вы HTTPS или нет. Но если вы беспокоитесь о том, что какой-то злой сетевой администратор знает, что кто-то заплатил за товар, вы сможете настроить IPN для использования HTTPS.