Mal wieder Paypal

Hallo allerseits.

Ich habe heute morgen ein Mail von Paypal im Briefkasten.

Wie wir Ihnen bereits mitgeteilt haben, aktualisiert PayPal das Zertifikat für www.paypal.com auf SHA-256. Dieser Endpunkt wird auch für die Validierung der sofortigen Zahlungsbestätigung (IPN) eingesetzt.

Das Upgrade ist für den 30.09.2015 geplant. Es kann jedoch sein, dass wir es kurzfristig vorziehen müssen, um geltende Sicherheitsstandards einzuhalten.

Sie erhalten diese Benachrichtigung, weil Sie als Händler im letzten Jahr die PayPal IPN eingesetzt haben. Wenn Sie die erforderlichen Änderungen noch nicht vorgenommen haben, sollten Sie dies möglichst sofort tun, um Service-Unterbrechungen zu vermeiden.

Irgendwie habe ich das Gefühl da was verpasst zu haben???

Hatten wir das Thema hier schon? Gibt es schon eine Lösung? Und hat das schon jemand bei SIQ angefragt?

Grüße

Jürgen

Ich habe die gleiche Mail bekommen. Da ich keine Zeit habe, in der Siquando-Hotline zu "versauern" und von Siquando auch kein Email-Service angeboten wird, habe ich gerade IT-Service Rhein-Ruhr gebeten, sich für mich bei Siquando schlau zu machen. Herr Czogalla und sein Team machen bekanntlich den Support für Siquando.

Sobald ich was weiß, melde ich mich zurück. Aber das Thema war hier irgendwo schon mal da. So in dem Sinne, Siquando sieht keine Notwendigkeit, hier was zu tun bzw. PP stellt Siq keine technischen Infos zur Behebung des Problems zur Verfügung. Ich bitte um Entschuldigung, falls ich die Aussagen falsch zusammengestellt habe.

Also, das Mail klingt schon verdammt nach Problemen, wenn da nichts getan wird ...

Wär toll, wenn du uns hier auf dem Laufenden hältst.

Noch toller wäre es, wenn Siquando sich endlich mal herablassen würde, mit seinen Kunden zu reden!

Oh ja ich hätte da auch Interesse , ich denke alle haben diese email bekommen.

Und wenn ich mir diese Anleitung bei Paypal so durchlese verstehe ich echt nur Bahnhof.

Wenn mich nicht alles täuscht war das Ende letzten Jahres ein Thema.

Das besagte Thema ist hier zu finden.

Ah, verstehe, Volker, meine Erinnerung betraf PayPal Plus. Das scheint mit der heutigen Email nichts zu tun zu haben. 

Entweder betrifft es die sofortige Zahlungsbestätigung bei Download-Produkten (die ich nicht habe) oder aber die alte API aus DB-Zeiten. Christian Czogalla meinte, es beträfe seiner Erinnerung nach die Download-Geschichte. Seiner Meinung nach sind die "normalen" Zahlungsvorgänge davon nicht betroffen. Das würde sich auch mit der Rückmeldung von Thomas aus Beitrag #5 decken. Ich bekomme aber noch eine definitive Rückmeldung nach entsprechender Klärung.

Aber wenn du das Mail bekommen hast, dann steht ja explizit drin, dass du die Dingsbumswasauchimmerpaypal genutzt hast.

Danke, Bettina.

Nachtrag:

Interessant (für mich, der keinen Online-Shop auf Basis von Siquando Shop betreibt, jedoch die Plugins "Jetzt kaufen" nutzt) wäre auch zu wissen, wie sich die Angelegenheit mit den Plugins "Jetzt kaufen" für sowohl Siquando Web als auch für Siquando Pro Web verhält.

Sind diese auch von einer bevorstehenden Umstellung bei PayPal betroffen? Beide Versionen bieten PayPal als Zahlungsart an und unterstützen ebenfalls Download-Produkte (mit Freischaltung des Downloads direkt nach Zahlung via PayPal).

Hat da jemand entsprechende Infos oder sonst eine Ahnung?

Richtig, Jürgen. Von daher vermute ich, dass es sich tatsächlich um die alte API und nicht um die Downloadgeschichte handelt.

Zum Plug-in "Jetzt kaufen" kann ich leider nichts sagen. Als ShopbetreiberIn macht es normalerweise keinen Sinn, dieses einzusetzen.

Wieder mal rausgeflogen...

Inzwischen habe ich Rückmeldung bekommen: Der Hinweis von Paypal beziehe sich auf die automatische Zahlungserfassung IPN, die z.B. bei Downloadprodukten verwendet wird, um diese automatisch abzuwickeln. Auf die PayPal-Schnittstelle, die SIQUANDO verwendet, habe dies keinen Einfluss. 

Die Umstellung von Paypal zum jetzigen Zeitpunkt betreffe nur die reine Serverkommunikation. Man solle prüfen, ob der jeweilige Web-Provider sichere Verbindungen per SHA-256-Zertifikat unterstützt, damit die automatische Zahlungserfassung funktioniert. All-inkl.com, der Provider, den ich nutze, unterstützt das verlangte Zertifikat.

Aber sowohl Siquando Shop 8 (mit ESD-Modul) als auch das Plugin Jetzt kaufen (Web sowie Pro Web Version) unterstützen den Verkauf von digitalen Gütern, also Download-Produkten inkl. automatischer Zahlungserfassung via PayPal und Freischaltung der Downloads.

Wie sieht es denn damit aus?

Das finde ich mal gut.

Ich kopiere jetzt einfach mal die komplette Antwort:

Zitat: "Der Hinweis von Paypal bezieht sich alleine auf die automatische Zahlungserfassung IPN, die z.B. bei Downloadprodukten verwendet wird, um diese automatisch abzuwickeln. 

Der eigentliche Zahlvorgang ist davon nicht betroffen. Die Umstellung von Paypal zum jetzigen Zeitpunkt betrifft nur die reine Serverkommunikation. D.h. Ihr Web-Provider, muss sichere Verbindungen per SHA-256-Zertifikat unterstützen, damit die automatische Zahlungserfassung funktioniert. 

Bitte informieren Sie sich bei Ihrem Provider, ob er bereits sichere Verbindungen per SHA-256 Zertifikat unterstützt.

Auf die PayPal-Schnittstelle, die SIQUANDO verwendet, hat dies keinen Einfluss. D.h. Ihre Kunden können per PayPal bezahlen und Sie erhalten dann per E-Mail eine Benachrichtigung, dass die Zahlung erfolgt ist." Zitat Ende

U.a. genau dies können ja Siquando Shop 8 mit Erweiterung "Digitale Güter" (ESD) und die Plugins "Jetzt kaufen" für Web sowie Pro Web.

Weiß jemand, wie es damit nach der PayPal-Umstellung aussieht?

Guten Morgen,

die Fragestellung nach den digitalen Gütern möge bitte "jemand anderes" versuchen zu klären. Ich hatte für meine Fragestellung (ich biete keine digitalen Güter an) einen externen Dienstleister beauftragt, sich in meinem Auftrag mit Siquando in Verbindung zu setzen - weil Siquando keinen Email-Support anbieten und für den Telefonsupport weder Zeit habe, mich auf das enge Zeitfenster von Siquando einzuschießen noch in der Warteschlange zu warten. 

@Volker: Ob die Domain bzw. der Provider Verbindungen per SHA256 unterstützt sollte man recht einfach auf https://www.digicert.com/help/ überprüfen können.


@Bettina: Ich kann bisher nichts Schlechtes über den Produktsupport von Siquando berichten. Dass der Support über ein Ticket-System und nicht per E-Mail erfolgt finde ich fair und legitim. Und prinzipiell hast du auch nichts anderes gemacht als den Siquando-Support kontaktiert ob du dabei eine befriedigende Antwort früher oder später erhalten hast bleibt Spekulation.

Meine Seite hab ich gerad mal auf Verbindungen per SHA256 mit der von Dir angegebenen Seite überprüft, Thomas.

Es war alles in Ordnung bzw. alles grüne Häkchen, ausser in einer Sache gabs ein rotes Kreuz. Und zwar, verwendet mein SSL-Zertifikat einen veralteten Signatur-Hash. Ich denke aber damit würden weiterhin meine Digitalen Güter funktionieren. Also alles ok und bin bei 1und1. LG

Das ist NICHT ok. Deine Seite verwendet ein SHA1 Zertifikat, ich zitiere mal das Ergebnis: "SHA1 certificates expiring in 2017 are no longer trusted in all browsers", bereits jetzt "mag" solch ein Zertifikat nicht jeder Browser (siehe Screenshot in Google Chrome). Besonders vertrauenswürdig sieht das also nicht aus, eher das Gegenteil.

Außerdem unterstützt der Server nur TLS 1.0.

 

@Thomas: Klar, unterm Strich war es der Siquando-Support über Umwege und kostenpflichtig. Es war einfach eine Zeitfrage - ich habe am Nachmittag zwischen 14:00 Uhr und 16:00 Uhr einfach keine Zeit, mich in die telefonische Warteschleife zu hängen. Schlechte Erfahrungen habe ich bisher weder mit dem direkten noch mit dem "indirekten" Siquando-Support gemacht.

Und mit Ticketsystemen habe ich auch kein Problem, das weißt Du ja . Siquando weist jedoch bei allgemeinen Fragen auf deren Spezialisten-Hotline hin. Und somit schließt sich der Kreis und wir sind wieder bei der Warteschlaufe von 14:00 bis 16:00 Uhr.

Das ist mir klar (mein Provider unterstützt dies ja) und darum ging es sich in meiner Frage auch nicht.

Die Frage ist, ob Siquando diesbezüglich Anpassungen vornehmen muß, um für die für den 30.09.2015 angekündigte Umstellung bei PayPal technisch gerüstet zu sein.

Betroffen wären dann Shop 8 mit Plugin "Digitale Güter" (ESD) sowie die Plugins "Jetzt kaufen" für Web und Pro Web, welche alle die automatische Zahlungsabwicklung von Download-Produkten mit automatisierter Freischaltung der Download-Links unterstützen.

@Thomas,

danke für die Infos. Das hört sich nicht gut an. Also muss ich jetzt bei 1und1 das bessere SSL-Zertifikat mit einer Verbindung per SHA256 beantragen oder was ist zu tun?

Dann wird das mit der autom. Zahlungsabwicklung u. Freischaltung bei digitalen Gütern wohl auch nicht mehr funktionieren. Ich erwarte ja, dass ein Produkt ohne das man viel ändern muss länger als 1 Jahr seine Dienste verrichtet. Wohl zu viel verlangt. LG

@Volker: Siquando muss keine Änderungen vornehmen.

@Kroko300: Spätestens 2017 solltest du das machen, allerdings kann es bereits jetzt nicht falsch sein, wenn deine https-Seiten in allen Browsern als sicher eingestuft werden.

Das Produkt selber verrichtet seine Dienste wie es soll, nur DU musst auch die Vorraussetzungen dafür schaffen. Du kannst Siquando dafür keinen Vorwurf machen.

Weil ich auch Digitaler Güter anbiete, muss ich ja sofort auf SHA-256 umsteigen. So wie ich das verstanden habe, haut sonst ja die automatische Freischaltung des Digitalen Gutes nicht mehr hin. LG

Der Server muss mit SHA-256 signierte Zertifikate unterstützen und damit umgehen können, das heißt nicht dass dein Zertifikat selber SHA-256 sein muss, empfehlenswert ist es dennoch. Sicherlich wird dir dein Hoster helfen können.

O.K., dann ist ja alles gut!

Andernfalls wärst ja auch Du mit Deinem Design-Shop einer der direkt davon betroffenen.

Hallo,

ich hab mir schon alles durchgelesen, aber ich benötige bitte trotzdem Eure Hilfe.

Nach der Anfrage ob sichere Verbindungen per SHA-256-Zertifikat unterstützt werden habe ich diese Antwort vom Provider bekommen

"wir unterstuetzen dies schon, nur muss dazu ein beglaubigtes Zertifikat eingerichtet werden. Die Kosten belaufen sich hierfuer wie folgt: Einmal pro Jahr wird das Zertifikat mit 39,- Euro berechnet. Fuer die Verschluesselung an sich werden nach Einrichtung eines Zertifikates monatlich 9,- Euro zusaetzlich berechnet"

Ich habe keine digitalen Güter, benötige ich dieses Zertifikat trotzdem? - werden bei Euch auch diese Kosten berechnet?

Danke schon mal im Voraus.

Liebe Grüße

Elisabeth

Meiner Meinung nach benötigst Du dieses Zertifikat in diesem Fall nicht. Mehr dazu weiß bestimmt Thomas.

Ich bin bei all-inkl.com. Die unterstützen diese Verbindungen per SHA-256-Zertifikat. Deren Hotline sagte mir nichts dergleichen, dass ich dazu noch zusätzlich etwas abschliessen muss. Ich werde meine Zahlungsabläufe aber nach dem 30.09.15 testen lassen, um ganz sicher zu gehen, dass alles läuft. Digitale Güter biete ich keine an. 

Elisabeth, ich kenne deine Anfrage beim Hoster nicht, deshalb möchte ich nicht behaupten, dass der Support etwas falsch verstanden hat. Grundsätzlich benötigst du kein Zertifikat, um weiter Paypal Zahlungen zu erhalten.

Ein Shop ohne verschlüsselter Kauf-Abwicklung halte ich übrigens für wenig vertrauerserweckend. Ich möchte nicht das meine sensiblen Daten unverschlüsselt im Internet rumschwirren, irgendwie muss ich da die ganze Zeit an die Kondom Werbung mit Hella von Sinnen denken. Ein lesenswerter Artikel dazu findet ihr auf web-haeppchen.de

9,- zusätzlich zum Hostingpreis, und dann nochmal 39,- jährlich? Das scheint wohl ein Premium-Paket zu sein. Genauere Eckdaten würden mich einmal interessieren, was für ein Zertifikat, wieviel Speicherplatz, Anzahl der Domains ....