Ayer estuve enredando un poco con oscommerce y la verdad es que quedé gratamente sorprendido, quizás debido a que era mi primera incursión en este sistema de comercio electrónico libre (estoy mucho más habituado a trabajar con sistemas de comercio electrónico cerrados y de pago en los que no puedes hacer nada de nada). El tema era que había que conseguir hacer andar una pasarela de pago con el oscommerce que andaba dando alguna guerra.
Al final, entre foros y otros ejemplos que teníamos de pasarelas de pago de otras entidades bancarias funcionó el tema (aunque el checkout_process nos diese alguna guerra y tuviésemos que parchearlo un poco). Lo que más me soprendió (y que más nos costó encontrar) fue un pequeño bug, por llamarlo así, que apareció en la devolución de respuesta por parte de la pasarela de pago sobre el estado de la transacción.
Me explico, al hacer una transacción, la paserala de pago devuelve una url con un montón de parámetros entre los que no figuraba la firma electrónica que había utilizado, con lo que era imposible compararla con la firma que el oscomerce genera para verificar si ha habido algún intento de hacking.
Total, que después de mirar un buen rato, descubrimos que el problema no era que el sha1 (el algoritmo para generar la firma electrónica) no fuese correcto, sino que la pasarela no nos devolvía la firma que ella había generado, haciéndose imposible compararla (tampoco resulta muy fiable generar una firma sha1 con los parámetros devueltos por si hay una introsión y alguien falsifica esa url). A si que, como en muchos otros casos, solución salomónica: no podemos comprobar si la firma electrónica de la pasarela ha sido crackeada porque no la tenemos (hay que saltarse esa comprobación).
Aún así, como comentaba al comienzo del post, me quedé gratamente sorprendido por lo fácil que me resulto hacer andar este tema (y muy en particular por el oscommerce). Está bastante bien organizado y documentado, y como siempre en estos casos, los foros son de gran ayuda. A si que a todos aquellos que esteis pensando en montar un comercio electrónico os recomiendo que lo miréis con detenimiento porque merece la pena.
Al final, entre foros y otros ejemplos que teníamos de pasarelas de pago de otras entidades bancarias funcionó el tema (aunque el checkout_process nos diese alguna guerra y tuviésemos que parchearlo un poco). Lo que más me soprendió (y que más nos costó encontrar) fue un pequeño bug, por llamarlo así, que apareció en la devolución de respuesta por parte de la pasarela de pago sobre el estado de la transacción.
Me explico, al hacer una transacción, la paserala de pago devuelve una url con un montón de parámetros entre los que no figuraba la firma electrónica que había utilizado, con lo que era imposible compararla con la firma que el oscomerce genera para verificar si ha habido algún intento de hacking.
Total, que después de mirar un buen rato, descubrimos que el problema no era que el sha1 (el algoritmo para generar la firma electrónica) no fuese correcto, sino que la pasarela no nos devolvía la firma que ella había generado, haciéndose imposible compararla (tampoco resulta muy fiable generar una firma sha1 con los parámetros devueltos por si hay una introsión y alguien falsifica esa url). A si que, como en muchos otros casos, solución salomónica: no podemos comprobar si la firma electrónica de la pasarela ha sido crackeada porque no la tenemos (hay que saltarse esa comprobación).
Aún así, como comentaba al comienzo del post, me quedé gratamente sorprendido por lo fácil que me resulto hacer andar este tema (y muy en particular por el oscommerce). Está bastante bien organizado y documentado, y como siempre en estos casos, los foros son de gran ayuda. A si que a todos aquellos que esteis pensando en montar un comercio electrónico os recomiendo que lo miréis con detenimiento porque merece la pena.
