Если вы правильно пишете код, не имеет значения, знает ли пользователь вашу конечную точку IPN. Вам следует внедрить протокол аутентификации IPN PayPal, чтобы убедиться, что полученное слушателем сообщение IPN пришло от PayPal. Вы бы просто проигнорировали любые попытки подделать вызов IPN.