La capacidad de incluir ‘demo=Y’ para volver a la dirección URL de transacción aprobada definida por el proveedor sin realizar un pedido válido no es un error o falla de seguridad, sino que es la finalidad de este parámetro. Está incluido en el conjunto de parámetros para permitirle al proveedor realizar una prueba, desde el inicio del proceso de pedido (transmisión de los parámetros a la rutina de compra de 2Checkout), hasta la finalización del proceso de pedido (devolución a la dirección URL de transacción aprobada definida por el proveedor).
Es verdad que si un proveedor define una dirección URL de transacción aprobada que permite el acceso a su producto o servicio para descargar de Internet y no toma otras medidas de seguridad, alguien podría descargar el producto o servicio mediante la inclusión del parámetro ‘demo=Y’.
La habilidad de controlar el parámetro ‘demo’ está disponible desde dentro del sistema de 2Checkout.com. Usted podrá elegir entre las siguientes 3 opciones dentro de su cuenta de 2Checkout.com para controlar el uso del parámetro ‘demo’:
- On (encendido): el uso de este parámetro tratará a todas las ventas como de demostración, sin importar el valor de los parámetros.
- Off (apagado): el uso de este parámetro tratará a todas las ventas como reales, sin importar el valor de los parámetros.
- Parámetro: al usar esta configuración, un parámetro de demostración enviado a la rutina de compra controlará la configuración de demostración.
Para acceder a la configuración Demo (demostración) en su cuenta necesitará ingresar en la misma y luego hacer click en la pestilla de Account (Cuenta). En la página de Cuenta hará click en la pestilla de Site Management (Manejo del Sitio). Luego de que haya elegido la configuración que mejor se adapta a sus necesidades, hará click en el botón azul de Save Changes (Guardar Cambios) que se encuentra al final de la página.
No se recomienda suministrar un producto o servicio para descargar a un cliente inmediatamente después de completada la venta mediante una devolución a la dirección URL de transacción aprobada. Por el contrario, se recomienda esperar hasta que se haya completado el proceso de revisión de fraude antes de suministrar al cliente el producto o servicio.
Reconocemos que algunos proveedores no estarán dispuestos a esperar hasta que el proceso de revisión de fraude se haya completado para suministrar al cliente un producto o servicio para descargar de Internet. La función hash MD5 se brinda para ayudar a estos proveedores a verificar la autenticidad de una venta. Cuando se utiliza el parámetro ‘demo=Y’, separamos intencionalmente el código hash que se transmite. Puede comparar el valor del hash que retransmitimos con el valor que debería tener el hash (esta tarea debe ser realizada por el proveedor). Esto le permitirá determinar si le suministra al cliente el producto o servicio para descargar. Cabe señalar que cuando se utiliza este método para suministrar inmediatamente un producto o servicio para descargar, corre el riesgo de que alguien que realiza un pedido fraudulento con una tarjeta de crédito robada le robe el producto o servicio.
Para recibir más información acerca del uso del hash MD5, consulte el siguiente artículo de Mesa de ayuda: Cómo se utiliza el hash MD5?
Si elige suministrar inmediatamente un producto o servicio para descargar después de la venta mediante la dirección URL de transacción aprobada y no comprueba la clave MD5 que se transmite a la dirección URL de transacción aprobada para verificar la validez de la venta antes de suministrar el producto al cliente, significa que acepta el riesgo de que alguien que incluya el parámetro ‘demo=Y’ pueda tomar su producto sin pagar.
