Безопасный iframe на незащищенной странице в другом домене

Question

Наша компания стремится разрешить сторонним сайтам использовать нашу систему онлайн-платежей.

Клиент заявил, что он хотел бы иметь возможность использовать всплывающее окно в стиле лайтбокса для отображения оформления заказа. И они хотели бы, чтобы это было доступно на каждой странице сайта, поэтому в большинстве случаев это небезопасные страницы. Наша система оформления заказов и сайт клиента, очевидно, находятся в разных доменах.

Я предполагаю, что я мог бы использовать безопасный iframe (используя https) для отображения нашей системы оформления заказов.

Будет ли этот iframe действительно безопасным?

Это разумная вещь? (моя интуиция говорит нет, как пользователь может сказать, что страница безопасна)

Есть ли лучшие способы достижения такой же функциональности?

Answer 1

Вы видели, как работают другие подобные системы контроля? Например PayPal оформить заказ на Ebay? Они проведут вас через процесс оформления заказа "на весь экран" и вернитесь на исходный сайт после завершения транзакции.

Answer 2

Да, iframe будет безопасным, но вы правы в том, что клиент на самом деле не сможет сказать, что он безопасен. С другой стороны, большинство пользователей в любом случае не могут определить, является ли страница безопасной - несколько изображений висячих замков убедят большинство из них.

Не могли бы вы, когда они щелкают, чтобы открыть извлечение, отправить их на тот же URL-адрес в HTTPS, а затем выдать его (вам, конечно, понадобится ваш собственный SSL-сертификат)?

Answer 3

Я знаю, что это старый вопрос, но я планировал сделать то же самое. Обходной путь - либо сделать PayPal - > перейти на защищенный сайт для оплаты - > вернуться к return-url. Или вы можете создать свой собственный веб-сайт с очень общим коротким именем, например shop.com (очевидно, занято), но с тем, которое не используется.

Ваши клиенты могут иметь свое собственное пространство, например https / www.theirsitename.shop.com,
поэтому они переместятся с http / www.theirsitename.com на вышеуказанное.

Большинство пользователей даже не смогут сказать, что они перешли на новый веб-сайт, и страница будет защищена. Чтобы получить их продукты, вы можете сделать так, чтобы они POST его с самого конца, и, возможно, также заставить их POST CSS-файл, который полностью изменит макет, чтобы он выглядел как их собственный веб-сайт.